13.6. イメージの手動プルーニング

経過時間とタグによるイメージのプルーニングは、デフォルトのプルーニングストラテジーです。--keep-younger-than および --keep-tag-revisions フラグを使用して、削除するイメージを識別します。イメージを経過時間とタグでプルーニングする場合は、イメージが --keep-younger-than しきい値よりも古く、最新のタグリビジョンの 1 つではなく、アクティブなワークロードによって使用されていないことが条件となります。

イメージを経過時間とタグでプルーニングするには、次の条件 すべて を満たす必要があります。

イメージは、古く、最近のタグリビジョンではなく、システムコンポーネントによるアクティブな参照がないことが確認された場合にのみ削除されます。

サイズ制限によってイメージをプルーニングするには、--prune-over-size-limit フラグを使用します。この方法は、プロジェクトを定義されたイメージストレージ制限内に戻すために使用されます。

この方法を使用してイメージをプルーニングするには、次の条件がすべて満たされている必要があります。

この方法では、主なトリガーはプロジェクトのサイズですが、イメージがアクティブに使用されていないことを確認するための安全性チェックも実行されます。

--prune-registry=false フラグを渡すことで、OpenShift Container Platform イメージ API オブジェクトの削除とレジストリー内のイメージデータの削除を分離できます。たとえば、次のコマンドは、レジストリーストレージはそのまま残し、API オブジェクトのみを削除します。

oc adm prune images --keep-tag-revisions=3 --keep-younger-than=60m --confirm --prune-registry=false

$ oc adm prune images --keep-tag-revisions=3 --keep-younger-than=60m --confirm --prune-registry=false

次に、レジストリーのハードプルーニングを実行して、関連するイメージデータを削除します。このアプローチでは、1 つのコマンドで両方を削除する場合と比較して、競合状態のが発生し得るタイミングウィンドウを短くできます。

ただし、タイミングウィンドウは完全になくなるわけではありません。たとえば、イメージがプルーニング対象として識別されていても、そのイメージを参照する Pod が作成されることがあります。プルーニング中に作成された API オブジェクトを追跡し、削除されたコンテンツを参照していないことを確認する必要があります。

--prune-registry オプションを指定せずに、または --prune-registry=true を指定してプルーニングを再実行しても、以前に --prune-registry=false を指定してプルーニングされたイメージに関連付けられたレジストリーストレージは削除されません。これらのイメージは、レジストリーのハードプルーニングを実行することによってのみ、レジストリーストレージから削除できます。詳細は、「レジストリーのハードプルーニング」を参照してください。

イメージが蓄積し続け、prune コマンドが予想よりも小規模な削除を実行する場合、プルーニング候補のイメージについて満たすべきイメージプルーティングの条件があることを確認します。

とくに削除する必要のあるイメージが、それぞれのタグ履歴において選択したタグリビジョンのしきい値よりも高い位置にあることを確認します。たとえば、sha256:abz という名前の古く陳腐化したイメージがあるとします。イメージがタグ付けされている namespace で以下のコマンドを実行すると、イメージが myapp という単一イメージストリームで 3 回タグ付けされていることに気づかれるでしょう。

oc get is -n <namespace> -o go-template='{{range $isi, $is := .items}}{{range $ti, $tag := $is.status.tags}}'\
'{{range $ii, $item := $tag.items}}{{if eq $item.image "sha256:<hash>"}}{{$is.metadata.name}}:{{$tag.tag}} at position {{$ii}} out of {{len $tag.items}}\n'\
'{{end}}{{end}}{{end}}{{end}}'

$ oc get is -n <namespace> -o go-template='{{range $isi, $is := .items}}{{range $ti, $tag := $is.status.tags}}'\
'{{range $ii, $item := $tag.items}}{{if eq $item.image "sha256:<hash>"}}{{$is.metadata.name}}:{{$tag.tag}} at position {{$ii}} out of {{len $tag.items}}\n'\
'{{end}}{{end}}{{end}}{{end}}'

myapp:v2 at position 4 out of 5
myapp:v2.1 at position 2 out of 2
myapp:v2.1-may-2016 at position 0 out of 1

myapp:v2 at position 4 out of 5
myapp:v2.1 at position 2 out of 2
myapp:v2.1-may-2016 at position 0 out of 1

デフォルトオプションが使用される場合、イメージは myapp:v2.1-may-2016 タグの履歴の 0 の位置にあるためプルーニングされません。イメージがプルーニングの対象とみなされるようにするには、管理者は以下を実行する必要があります。

特定のイメージのビルド日時が名前の一部になっているタグは、その使用を避ける必要があります (イメージが未定義の期間保持される必要がある場合を除きます)。このようなタグは履歴内で 1 つのイメージのみに関連付けられる可能性があり、その場合にこれらをプルーニングできなくなります。

oc adm prune images コマンドの出力で以下のようなメッセージが表示される場合、レジストリーのセキュリティーは保護されておらず、oc adm prune images クライアントがセキュアな接続の使用を試行することを示しています。

error: error communicating with registry: Get https://172.30.30.30:5000/healthz: http: server gave HTTP response to HTTPS client

error: error communicating with registry: Get https://172.30.30.30:5000/healthz: http: server gave HTTP response to HTTPS client

oc adm prune images コマンドの出力に以下のエラーのいずれかが表示される場合、レジストリーのセキュリティー保護に使用されている認証局で署名された証明書が、接続の検証用に oc adm prune images クライアントで使用されるものとは異なることを意味します。

error: error communicating with registry: Get http://172.30.30.30:5000/healthz: malformed HTTP response "\x15\x03\x01\x00\x02\x02"
error: error communicating with registry: [Get https://172.30.30.30:5000/healthz: x509: certificate signed by unknown authority, Get http://172.30.30.30:5000/healthz: malformed HTTP response "\x15\x03\x01\x00\x02\x02"]

error: error communicating with registry: Get http://172.30.30.30:5000/healthz: malformed HTTP response "\x15\x03\x01\x00\x02\x02"
error: error communicating with registry: [Get https://172.30.30.30:5000/healthz: x509: certificate signed by unknown authority, Get http://172.30.30.30:5000/healthz: malformed HTTP response "\x15\x03\x01\x00\x02\x02"]

デフォルトでは、ユーザーの接続ファイルに保存されている認証局データが使用されます。これはマスター API との通信の場合も同様です。

--certificate-authority オプションを使用してコンテナーイメージレジストリーサーバーに適切な認証局を指定します。

以下のエラーは、セキュリティーが保護されたコンテナーイメージレジストリーの証明書の署名に使用される認証局がクライアントで使用される認証局とは異なることを示しています。

error: error communicating with registry: Get https://172.30.30.30:5000/: x509: certificate signed by unknown authority

error: error communicating with registry: Get https://172.30.30.30:5000/: x509: certificate signed by unknown authority

フラグ --certificate-authority を使用して適切な認証局を指定します。

回避策として、--force-insecure フラグを代わりに追加することもできます。ただし、これは推奨される方法ではありません。