レジストリー

1. 追加の CA を設定するには、以下を実行します。

   $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config
   $ oc edit image.config.openshift.io cluster
   spec:
     additionalTrustedCA:
       name: registry-config

2. image-registry Pod 内のイメージを確認します。

   $ oc rsh image-registry-xxxxx
   sh-4.2
   $ ls /etc/pki/ca-trust/source/anchors
   <external_registry_address> image-registry.openshift-image-registry.svc..5000 image-registry.openshift-image-registry.svc.cluster.local..5000

1. ノードのアドレスを取得することにより、ノードにアクセスします。

   $ oc get nodes
   $ oc debug nodes/<node_address>

2. アクセストークンを使用してコンテナーイメージレジストリーにログインします。

   $ oc login -u kubeadmin -p <password_from_install_log>
   $ podman login -u kubeadmin -p $(oc whoami -t) image-registry.openshift-image-registry.svc:5000

   以下のようなログインを確認するメッセージが表示されるはずです。

   Login Succeeded!

   注記

   ユーザー名には任意の値を指定でき、トークンには必要な情報がすべて含まれます。コロンが含まれるユーザー名を指定すると、ログインに失敗します。

   イメージレジストリー Operator はルートを作成するため、 default-route-openshift-image-registry.<cluster_name> のようになります。

3. レジストリーに対して podman pull および podman push 操作を実行します。

   重要

   任意のイメージをプルできますが、system:registry ロールを追加している場合は、各自のプロジェクトにあるレジストリーにのみイメージをプッシュすることができます。

   次の例では、以下を使用します。

   Component	値
   <registry_ip>	172.30.124.220
   <port>	5000
   <project>	openshift
   <image>	image
   <tag>	省略 (デフォルトは latest)

   1. 任意のイメージをプルします。

      $ podman pull name.io/image

   2. 新規イメージに <registry_ip>:<port>/<project>/<image> 形式でタグ付けします。プロジェクト名は、イメージを正しくレジストリーに配置し、これに後でアクセスできるようにするために OpenShift Container Platform のプル仕様に表示される必要があります。

      $ podman tag name.io/image image-registry.openshift-image-registry.svc:5000/openshift/image

      注記

      指定されたプロジェクトについて system:image-builder ロールを持っている必要があります。このロールにより、ユーザーはイメージの書き出しやプッシュを実行できます。このロールが設定されていない場合には次の手順の podman push が失敗します。 新規プロジェクトを作成し、イメージをプッシュしてテストできます。

   3. 新しくタグ付けされたイメージをレジストリーにプッシュします。

      $ podman push image-registry.openshift-image-registry.svc:5000/openshift/image

手順

1. プロジェクト openshift-image-registry の下で Pod を確認します。

   # oc get pods
   NAME READY STATUS RESTARTS AGE
   cluster-image-registry-operator-764bd7f846-qqtpb 1/1 Running 0 78m
   image-registry-79fb4469f6-llrln 1/1 Running 0 77m
   node-ca-hjksc 1/1 Running 0 73m
   node-ca-tftj6 1/1 Running 0 77m
   node-ca-wb6ht 1/1 Running 0 77m
   node-ca-zvt9q 1/1 Running 0 74m

手順

1. デプロイメントで oc logs コマンドを使用して、コンテナーイメージレジストリーのログを表示します。

   $ oc logs deployments/image-registry
   2015-05-01T19:48:36.300593110Z time="2015-05-01T19:48:36Z" level=info msg="version=v2.0.0+unknown"
   2015-05-01T19:48:36.303294724Z time="2015-05-01T19:48:36Z" level=info msg="redis not configured" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303422845Z time="2015-05-01T19:48:36Z" level=info msg="using inmemory layerinfo cache" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303433991Z time="2015-05-01T19:48:36Z" level=info msg="Using OpenShift Auth handler"
   2015-05-01T19:48:36.303439084Z time="2015-05-01T19:48:36Z" level=info msg="listening on :5000" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002

1. 以下のようにメトリクスクエリーを実行します。

   $ curl --insecure -s -u <user>:<secret> \ 1
       https://image-registry.openshift-image-registry.svc:5000/extensions/v2/metrics | grep imageregistry | head -n 20
   # HELP imageregistry_build_info A metric with a constant '1' value labeled by major, minor, git commit & git version from which the image registry was built.
   # TYPE imageregistry_build_info gauge
   imageregistry_build_info{gitCommit="9f72191",gitVersion="v3.11.0+9f72191-135-dirty",major="3",minor="11+"} 1
   # HELP imageregistry_digest_cache_requests_total Total number of requests without scope to the digest cache.
   # TYPE imageregistry_digest_cache_requests_total counter
   imageregistry_digest_cache_requests_total{type="Hit"} 5
   imageregistry_digest_cache_requests_total{type="Miss"} 24
   # HELP imageregistry_digest_cache_scoped_requests_total Total number of scoped requests to the digest cache.
   # TYPE imageregistry_digest_cache_scoped_requests_total counter
   imageregistry_digest_cache_scoped_requests_total{type="Hit"} 33
   imageregistry_digest_cache_scoped_requests_total{type="Miss"} 44
   # HELP imageregistry_http_in_flight_requests A gauge of requests currently being served by the registry.
   # TYPE imageregistry_http_in_flight_requests gauge
   imageregistry_http_in_flight_requests 1
   # HELP imageregistry_http_request_duration_seconds A histogram of latencies for requests to the registry.
   # TYPE imageregistry_http_request_duration_seconds summary
   imageregistry_http_request_duration_seconds{method="get",quantile="0.5"} 0.01296087
   imageregistry_http_request_duration_seconds{method="get",quantile="0.9"} 0.014847248
   imageregistry_http_request_duration_seconds{method="get",quantile="0.99"} 0.015981195
   imageregistry_http_request_duration_seconds_sum{method="get"} 12.260727916000022

   1

   <user> は任意ですが、<secret> はレジストリー設定で指定された値と一致していなければなりません。

1. メトリクスにアクセスするために必要なクラスターロールがない場合、これを作成します。

   $ cat <<EOF |
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: prometheus-scraper
   rules:
   - apiGroups:
     - image.openshift.io
     resources:
     - registry/metrics
     verbs:
     - get
   EOF
   $ oc create -f -

2. このロールをユーザーに追加し、以下のコマンドを実行します。

   $ oc adm policy add-cluster-role-to-user prometheus-scraper <username>

3. クラスターロールを使用してメトリクスにアクセスします。設定ファイルのメトリクスに対応する部分は以下のようになります。

   openshift:
     version: 1.0
     metrics:
       enabled: true
   ...

1. DefaultRoute を True に設定します。

   $ oc patch configs.imageregistry.operator.openshift.io/cluster --patch '{"spec":{"defaultRoute":true}}' --type=merge

2. Podman でログインします。

   $ HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')
   $ podman login -u $(oc whoami) -p $(oc whoami -t) --tls-verify=false $HOST 1

   1

   --tls-verify=false は、ルートのクラスターのデフォルト証明書が信頼されない場合に必要になります。Ingress Operator で、信頼されるカスタム証明書をデフォルト証明書として設定できます。

1. ルートの TLS キーでシークレットを作成します。

   $ oc create secret tls public-route-tls \
       -n image-registry \
       --cert=</path/to/tls.crt> \
       --key=</path/to/tls.key>

   この手順はオプションです。シークレットを作成しない場合、ルートは Ingress Operator からデフォルトの TLS 設定を使用します。

2. レジストリー Operator では、以下のようになります。

   spec:
     routes:
       - name: public-routes
         hostname: myregistry.mycorp.organization
         secretName: public-route-tls
   ...

   レジストリーのルートのカスタム TLS 設定を指定している場合は secretName のみを設定します。