2.10. ビルドでの Red Hat サブスクリプションの使用

手順

1. 次のコマンドを実行して、openshift-config-managed namespace からビルドの namespace にエンタイトルメントシークレットをコピーします。

   $ cat << EOF > secret-template.txt
   kind: Secret
   apiVersion: v1
   metadata:
     name: etc-pki-entitlement
   type: Opaque
   data: {{ range \$key, \$value := .data }}
     {{ \$key }}: {{ \$value }} {{ end }}
   EOF
   $ oc get secret etc-pki-entitlement -n openshift-config-managed -o=go-template-file --template=secret-template.txt | oc apply -f -

2. etc-pki-entitlement シークレットをビルド設定の Docker ストラテジーでビルドボリュームとして追加します。

   strategy:
     dockerStrategy:
       from:
         kind: ImageStreamTag
         name: ubi9:latest
       volumes:
       - name: etc-pki-entitlement
         mounts:
         - destinationPath: /etc/pki/entitlement
         source:
           type: Secret
           secret:
             secretName: etc-pki-entitlement

手順

1. oc apply を使用して、クラスターのエンタイトルメントシークレットで SharedSecret オブジェクトインスタンスを作成します。

   重要

   SharedSecret オブジェクトを作成するには、クラスター管理者の権限が必要です。

   YAML Role オブジェクト定義を使用した oc apply -f コマンドの例

   $ oc apply -f - <<EOF
   kind: SharedSecret
   apiVersion: sharedresource.openshift.io/v1alpha1
   metadata:
     name: etc-pki-entitlement
   spec:
     secretRef:
       name: etc-pki-entitlement
       namespace: openshift-config-managed
   EOF

2. SharedSecret オブジェクトにアクセスするための権限を builder サービスアカウントに付与するロールを作成します。

   oc apply -f コマンドの例

   $ oc apply -f - <<EOF
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: builder-etc-pki-entitlement
     namespace: build-namespace
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - use
   EOF

3. 次のコマンドを実行して、builder サービスアカウントに SharedSecret オブジェクトにアクセスするための権限を付与する RoleBinding オブジェクトを作成します。

   oc create rolebinding コマンドの例

   $ oc create rolebinding builder-etc-pki-entitlement --role=builder-etc-pki-entitlement --serviceaccount=build-namespace:builder

4. CSI ボリュームマウントを使用して、エンタイトルメントシークレットを BuildConfig オブジェクトに追加します。

   YAML BuildConfig オブジェクト定義の例

   apiVersion: build.openshift.io/v1
   kind: BuildConfig
   metadata:
     name: uid-wrapper-rhel9
     namespace: build-namespace
   spec:
     runPolicy: Serial
     source:
       dockerfile: |
         FROM registry.redhat.io/ubi9/ubi:latest
         RUN rm -rf /etc/rhsm-host 1
         RUN yum --enablerepo=codeready-builder-for-rhel-9-x86_64-rpms install \ 2
             nss_wrapper \
             uid_wrapper -y && \
             yum clean all -y
         RUN ln -s /run/secrets/rhsm /etc/rhsm-host 3
     strategy:
       type: Docker
       dockerStrategy:
         volumes:
           - mounts:
               - destinationPath: "/etc/pki/entitlement"
             name: etc-pki-entitlement
             source:
               csi:
                 driver: csi.sharedresource.openshift.io
                 readOnly: true 4
                 volumeAttributes:
                   sharedSecret: etc-pki-entitlement 5
               type: CSI

   1

   yum または dnf コマンドを実行する前に、/etc/rhsm-host ディレクトリーとそのすべての内容を削除するコマンドを Dockerfile に含める必要があります。

   2

   Red Hat Package Browser を使用して、インストールされているパッケージの正しいリポジトリーを見つけます。

   3

   イメージと他の Red Hat コンテナーイメージとの互換性を維持するために、/etc/rhsm-host のシンボリックリンクを復元する必要があります。

   4

   ビルドで共有リソースをマウントするには、readOnly を true に設定する必要があります。

   5

   ビルドに含める SharedSecret オブジェクトの名前を参照します。

5. BuildConfig オブジェクトからビルドを開始し、oc コマンドを使用してログを追跡します。

   $ oc start-build uid-wrapper-rhel9 -n build-namespace -F