2.10. ビルドでの Red Hat サブスクリプションの使用

手順

1. etc-pki-entitlement シークレットをビルド設定の Docker ストラテジーでビルドボリュームとして追加します。

   strategy:
     dockerStrategy:
       from:
         kind: ImageStreamTag
         name: ubi:latest
       volumes:
       - name: etc-pki-entitlement
         mounts:
         - destinationPath: /etc/pki/entitlement
         source:
           type: Secret
           secret:
             secretName: etc-pki-entitlement

手順

1. YAML コンテンツでoc applyを使用して、SharedSecret CR インスタンスを使用するための builder サービスアカウント RBAC 権限を付与します。

   注記

   現在、 kubectlとocには、use 動詞を Pod セキュリティーを中心としたロールに制限する特別な場合のロジックがハードコーディングされています。したがって、oc create role …​ を使用して、SharedSecret CR インスタンスの使用に必要なロールを作成することはできません。

   YAML Role オブジェクト定義を使用した oc apply -f コマンドの例

   $ oc apply -f - <<EOF
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: shared-resource-my-share
     namespace: my-namespace
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - my-share
       verbs:
         - use
   EOF

2. oc コマンドを使用して、ロールに関連付けられた RoleBinding を作成します。

   oc create rolebinding コマンドの例

   $ oc create rolebinding shared-resource-my-share --role=shared-resource-my-share --serviceaccount=my-namespace:builder

3. RHEL エンタイトルメントにアクセスする BuildConfig オブジェクトを作成します。

   YAML BuildConfig オブジェクト定義の例

   apiVersion: build.openshift.io/v1
   kind: BuildConfig
   metadata:
     name: my-csi-bc
     namespace: my-csi-app-namespace
   spec:
     runPolicy: Serial
     source:
       dockerfile: |
         FROM registry.redhat.io/ubi8/ubi:latest
         RUN ls -la /etc/pki/entitlement
         RUN rm /etc/rhsm-host
         RUN yum repolist --disablerepo=*
         RUN subscription-manager repos --enable rhocp-4.9-for-rhel-8-x86_64-rpms
         RUN yum -y update
         RUN yum install -y openshift-clients.x86_64
     strategy:
       type: Docker
       dockerStrategy:
         volumes:
           - mounts:
               - destinationPath: "/etc/pki/entitlement"
             name: my-csi-shared-secret
             source:
               csi:
                 driver: csi.sharedresource.openshift.io
                 readOnly: true
                 volumeAttributes:
                   sharedSecret: my-share-bc
               type: CSI

4. BuildConfig オブジェクトからビルドを開始し、oc コマンドでログを追跡します。

   oc start-build コマンドの例

   $ oc start-build my-csi-bc -F

   例2.1 oc start-build コマンドからの出力例

   注記

   次の出力の一部のセクションは … に置き換えられました。

   build.build.openshift.io/my-csi-bc-1 started
   Caching blobs under "/var/cache/blobs".
   
   Pulling image registry.redhat.io/ubi8/ubi:latest ...
   Trying to pull registry.redhat.io/ubi8/ubi:latest...
   Getting image source signatures
   Copying blob sha256:5dcbdc60ea6b60326f98e2b49d6ebcb7771df4b70c6297ddf2d7dede6692df6e
   Copying blob sha256:8671113e1c57d3106acaef2383f9bbfe1c45a26eacb03ec82786a494e15956c3
   Copying config sha256:b81e86a2cb9a001916dc4697d7ed4777a60f757f0b8dcc2c4d8df42f2f7edb3a
   Writing manifest to image destination
   Storing signatures
   Adding transient rw bind mount for /run/secrets/rhsm
   STEP 1/9: FROM registry.redhat.io/ubi8/ubi:latest
   STEP 2/9: RUN ls -la /etc/pki/entitlement
   total 360
   drwxrwxrwt. 2 root root 	80 Feb  3 20:28 .
   drwxr-xr-x. 10 root root	154 Jan 27 15:53 ..
   -rw-r--r--. 1 root root   3243 Feb  3 20:28 entitlement-key.pem
   -rw-r--r--. 1 root root 362540 Feb  3 20:28 entitlement.pem
   time="2022-02-03T20:28:32Z" level=warning msg="Adding metacopy option, configured globally"
   --> 1ef7c6d8c1a
   STEP 3/9: RUN rm /etc/rhsm-host
   time="2022-02-03T20:28:33Z" level=warning msg="Adding metacopy option, configured globally"
   --> b1c61f88b39
   STEP 4/9: RUN yum repolist --disablerepo=*
   Updating Subscription Management repositories.
   
   
   ...
   
   --> b067f1d63eb
   STEP 5/9: RUN subscription-manager repos --enable rhocp-4.9-for-rhel-8-x86_64-rpms
   Repository 'rhocp-4.9-for-rhel-8-x86_64-rpms' is enabled for this system.
   time="2022-02-03T20:28:40Z" level=warning msg="Adding metacopy option, configured globally"
   --> 03927607ebd
   STEP 6/9: RUN yum -y update
   Updating Subscription Management repositories.
   
   ...
   
   Upgraded:
     systemd-239-51.el8_5.3.x86_64      	systemd-libs-239-51.el8_5.3.x86_64
     systemd-pam-239-51.el8_5.3.x86_64
   Installed:
     diffutils-3.6-6.el8.x86_64           	libxkbcommon-0.9.1-1.el8.x86_64
     xkeyboard-config-2.28-1.el8.noarch
   
   Complete!
   time="2022-02-03T20:29:05Z" level=warning msg="Adding metacopy option, configured globally"
   --> db57e92ff63
   STEP 7/9: RUN yum install -y openshift-clients.x86_64
   Updating Subscription Management repositories.
   
   ...
   
   Installed:
     bash-completion-1:2.7-5.el8.noarch
     libpkgconf-1.4.2-1.el8.x86_64
     openshift-clients-4.9.0-202201211735.p0.g3f16530.assembly.stream.el8.x86_64
     pkgconf-1.4.2-1.el8.x86_64
     pkgconf-m4-1.4.2-1.el8.noarch
     pkgconf-pkg-config-1.4.2-1.el8.x86_64
   
   Complete!
   time="2022-02-03T20:29:19Z" level=warning msg="Adding metacopy option, configured globally"
   --> 609507b059e
   STEP 8/9: ENV "OPENSHIFT_BUILD_NAME"="my-csi-bc-1" "OPENSHIFT_BUILD_NAMESPACE"="my-csi-app-namespace"
   --> cab2da3efc4
   STEP 9/9: LABEL "io.openshift.build.name"="my-csi-bc-1" "io.openshift.build.namespace"="my-csi-app-namespace"
   COMMIT temp.builder.openshift.io/my-csi-app-namespace/my-csi-bc-1:edfe12ca
   --> 821b582320b
   Successfully tagged temp.builder.openshift.io/my-csi-app-namespace/my-csi-bc-1:edfe12ca
   821b582320b41f1d7bab4001395133f86fa9cc99cc0b2b64c5a53f2b6750db91
   Build complete, no image push requested