レジストリー

1. 追加の CA を設定するには、以下を実行します。

   $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config
   $ oc edit image.config.openshift.io cluster
   spec:
     additionalTrustedCA:
       name: registry-config

   Copy to Clipboard Toggle word wrap

2. image-registry Pod 内のイメージを確認します。

   $ oc rsh image-registry-xxxxx
   sh-4.2
   $ ls /etc/pki/ca-trust/source/anchors
   <external_registry_address> image-registry.openshift-image-registry.svc..5000 image-registry.openshift-image-registry.svc.cluster.local..5000

   Copy to Clipboard Toggle word wrap

1. ノードのアドレスを取得することにより、ノードにアクセスします。

   $ oc get nodes
   $ oc debug nodes/<node_address>

   Copy to Clipboard Toggle word wrap

2. アクセストークンを使用してコンテナーイメージレジストリーにログインします。

   $ oc login -u kubeadmin -p <password_from_install_log>
   $ podman login -u kubeadmin -p $(oc whoami -t) image-registry.openshift-image-registry.svc:5000

   Copy to Clipboard Toggle word wrap

   以下のようなログインを確認するメッセージが表示されるはずです。

   Login Succeeded!

   Copy to Clipboard Toggle word wrap
   注記

   ユーザー名には任意の値を指定でき、トークンには必要な情報がすべて含まれます。コロンが含まれるユーザー名を指定すると、ログインに失敗します。

   イメージレジストリー Operator はルートを作成するため、 default-route-openshift-image-registry.<cluster_name> のようになります。

3. レジストリーに対して podman pull および podman push 操作を実行します。

   重要

   任意のイメージをプルできますが、system:registry ロールを追加している場合は、各自のプロジェクトにあるレジストリーにのみイメージをプッシュすることができます。

   次の例では、以下を使用します。

   Expand

   Component	値
   <registry_ip>	172.30.124.220
   <port>	5000
   <project>	openshift
   <image>	image
   <tag>	省略 (デフォルトは latest)

   Show more

   1. 任意のイメージをプルします。

      $ podman pull name.io/image

      Copy to Clipboard Toggle word wrap

   2. 新規イメージに <registry_ip>:<port>/<project>/<image> 形式でタグ付けします。プロジェクト名は、イメージを正しくレジストリーに配置し、これに後でアクセスできるようにするために OpenShift Container Platform のプル仕様に表示される必要があります。

      $ podman tag name.io/image image-registry.openshift-image-registry.svc:5000/openshift/image

      Copy to Clipboard Toggle word wrap
      注記

      指定されたプロジェクトについて system:image-builder ロールを持っている必要があります。このロールにより、ユーザーはイメージの書き出しやプッシュを実行できます。このロールが設定されていない場合には次の手順の podman push が失敗します。 新規プロジェクトを作成し、イメージをプッシュしてテストできます。

   3. 新しくタグ付けされたイメージをレジストリーにプッシュします。

      $ podman push image-registry.openshift-image-registry.svc:5000/openshift/image

      Copy to Clipboard Toggle word wrap

手順

1. プロジェクト openshift-image-registry の下で Pod を確認します。

   # oc get pods
   NAME READY STATUS RESTARTS AGE
   cluster-image-registry-operator-764bd7f846-qqtpb 1/1 Running 0 78m
   image-registry-79fb4469f6-llrln 1/1 Running 0 77m
   node-ca-hjksc 1/1 Running 0 73m
   node-ca-tftj6 1/1 Running 0 77m
   node-ca-wb6ht 1/1 Running 0 77m
   node-ca-zvt9q 1/1 Running 0 74m

   Copy to Clipboard Toggle word wrap

手順

1. デプロイメントで oc logs コマンドを使用して、コンテナーイメージレジストリーのログを表示します。

   $ oc logs deployments/image-registry
   2015-05-01T19:48:36.300593110Z time="2015-05-01T19:48:36Z" level=info msg="version=v2.0.0+unknown"
   2015-05-01T19:48:36.303294724Z time="2015-05-01T19:48:36Z" level=info msg="redis not configured" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303422845Z time="2015-05-01T19:48:36Z" level=info msg="using inmemory layerinfo cache" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303433991Z time="2015-05-01T19:48:36Z" level=info msg="Using OpenShift Auth handler"
   2015-05-01T19:48:36.303439084Z time="2015-05-01T19:48:36Z" level=info msg="listening on :5000" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002

   Copy to Clipboard Toggle word wrap

1. 以下のようにメトリクスクエリーを実行します。

   $ curl --insecure -s -u <user>:<secret> \ 

   1

   
       https://image-registry.openshift-image-registry.svc:5000/extensions/v2/metrics | grep imageregistry | head -n 20
   # HELP imageregistry_build_info A metric with a constant '1' value labeled by major, minor, git commit & git version from which the image registry was built.
   # TYPE imageregistry_build_info gauge
   imageregistry_build_info{gitCommit="9f72191",gitVersion="v3.11.0+9f72191-135-dirty",major="3",minor="11+"} 1
   # HELP imageregistry_digest_cache_requests_total Total number of requests without scope to the digest cache.
   # TYPE imageregistry_digest_cache_requests_total counter
   imageregistry_digest_cache_requests_total{type="Hit"} 5
   imageregistry_digest_cache_requests_total{type="Miss"} 24
   # HELP imageregistry_digest_cache_scoped_requests_total Total number of scoped requests to the digest cache.
   # TYPE imageregistry_digest_cache_scoped_requests_total counter
   imageregistry_digest_cache_scoped_requests_total{type="Hit"} 33
   imageregistry_digest_cache_scoped_requests_total{type="Miss"} 44
   # HELP imageregistry_http_in_flight_requests A gauge of requests currently being served by the registry.
   # TYPE imageregistry_http_in_flight_requests gauge
   imageregistry_http_in_flight_requests 1
   # HELP imageregistry_http_request_duration_seconds A histogram of latencies for requests to the registry.
   # TYPE imageregistry_http_request_duration_seconds summary
   imageregistry_http_request_duration_seconds{method="get",quantile="0.5"} 0.01296087
   imageregistry_http_request_duration_seconds{method="get",quantile="0.9"} 0.014847248
   imageregistry_http_request_duration_seconds{method="get",quantile="0.99"} 0.015981195
   imageregistry_http_request_duration_seconds_sum{method="get"} 12.260727916000022

   Copy to Clipboard Toggle word wrap

   1

   <user> は任意ですが、<secret> はレジストリー設定で指定された値と一致していなければなりません。

1. メトリクスにアクセスするために必要なクラスターロールがない場合、これを作成します。

   $ cat <<EOF |
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: prometheus-scraper
   rules:
   - apiGroups:
     - image.openshift.io
     resources:
     - registry/metrics
     verbs:
     - get
   EOF
   $ oc create -f -

   Copy to Clipboard Toggle word wrap

2. このロールをユーザーに追加し、以下のコマンドを実行します。

   $ oc adm policy add-cluster-role-to-user prometheus-scraper <username>

   Copy to Clipboard Toggle word wrap

3. クラスターロールを使用してメトリクスにアクセスします。設定ファイルのメトリクスに対応する部分は以下のようになります。

   openshift:
     version: 1.0
     metrics:
       enabled: true
   ...

   Copy to Clipboard Toggle word wrap

1. DefaultRoute を True に設定します。

   $ oc patch configs.imageregistry.operator.openshift.io/cluster --patch '{"spec":{"defaultRoute":true}}' --type=merge

   Copy to Clipboard Toggle word wrap

2. Podman でログインします。

   $ HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')
   $ podman login -u $(oc whoami) -p $(oc whoami -t) --tls-verify=false $HOST 

   1

   Copy to Clipboard Toggle word wrap

   1

   --tls-verify=false は、ルートのクラスターのデフォルト証明書が信頼されない場合に必要になります。Ingress Operator で、信頼されるカスタム証明書をデフォルト証明書として設定できます。

1. ルートの TLS キーでシークレットを作成します。

   $ oc create secret tls public-route-tls \
       -n image-registry \
       --cert=</path/to/tls.crt> \
       --key=</path/to/tls.key>

   Copy to Clipboard Toggle word wrap

   この手順はオプションです。シークレットを作成しない場合、ルートは Ingress Operator からデフォルトの TLS 設定を使用します。

2. レジストリー Operator では、以下のようになります。

   spec:
     routes:
       - name: public-routes
         hostname: myregistry.mycorp.organization
         secretName: public-route-tls
   ...

   Copy to Clipboard Toggle word wrap

   レジストリーのルートのカスタム TLS 設定を指定している場合は secretName のみを設定します。