5.4. イメージプルシークレットの使用

手順

• 既存の認証ファイルからシークレットを作成します。

  • .docker/config.json を使用する Docker クライアントの場合は、次のコマンドを入力します。

    $ oc create secret generic <pull_secret_name> \
        --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
        --type=kubernetes.io/dockerconfigjson

    Copy to Clipboard Toggle word wrap

  • .config/containers/auth.json を使用する Podman クライアントの場合は、次のコマンドを入力します。

    $ oc create secret generic <pull_secret_name> \
         --from-file=<path/to/.config/containers/auth.json> \
         --type=kubernetes.io/podmanconfigjson

    Copy to Clipboard Toggle word wrap

• セキュアなレジストリーの Docker 認証情報ファイルがまだない場合は、次のコマンドを実行してシークレットを作成できます。

  $ oc create secret docker-registry <pull_secret_name> \
      --docker-server=<registry_server> \
      --docker-username=<user_name> \
      --docker-password=<password> \
      --docker-email=<email>

  Copy to Clipboard Toggle word wrap

• シークレットを ServiceAccount にリンクする。これにより、そのサービスアカウントを使用するすべての Pod にシークレットが自動的に適用されます。
• ワークロード設定で imagePullSecrets を直接定義する。これは GitOps や ArgoCD などの環境に役立ちます。

手順

• サービスアカウントにシークレットを追加することで、Pod のイメージをプルするためのシークレットを使用できます。サービスアカウントの名前は、Pod が使用するサービスアカウントの名前と一致する必要があることに注意してください。デフォルトのサービスアカウントは default です。

  • 次のコマンドを入力してプルシークレットを ServiceAccount にリンクします。

    $ oc secrets link default <pull_secret_name> --for=pull

    Copy to Clipboard Toggle word wrap

  • 変更を確認するために、次のコマンドを入力します。

    $ oc get serviceaccount default -o yaml

    Copy to Clipboard Toggle word wrap

    出力例

    apiVersion: v1
    imagePullSecrets:
    - name: default-dockercfg-123456
    - name: <pull_secret_name>
    kind: ServiceAccount
    metadata:
      annotations:
        openshift.io/internal-registry-pull-secret-ref: <internal_registry_pull_secret>
      creationTimestamp: "2025-03-03T20:07:52Z"
      name: default
      namespace: default
      resourceVersion: "13914"
      uid: 9f62dd88-110d-4879-9e27-1ffe269poe3
    secrets:
    - name: <pull_secret_name>

    Copy to Clipboard Toggle word wrap

• シークレットをサービスアカウントにリンクする代わりに、Pod またはワークロード定義で直接参照することもできます。これは ArgoCD などの GitOps ワークフローに役立ちます。以下に例を示します。

  Pod 仕様の例

  apiVersion: v1
  kind: Pod
  metadata:
    name: <secure_pod_name>
  spec:
    containers:
    - name: <container_name>
      image: quay.io/my-private-image
    imagePullSecrets:
    - name: <pull_secret_name>

  Copy to Clipboard Toggle word wrap

  ArgoCD ワークフローの例

  apiVersion: argoproj.io/v1alpha1
  kind: Workflow
  metadata:
    generateName: <example_workflow>
  spec:
    entrypoint: <main_task>
    imagePullSecrets:
    - name: <pull_secret_name>

  Copy to Clipboard Toggle word wrap