9.2. イメージレジストリーの設定

手順

• image.config.openshift.io/cluster カスタムリソースを編集します。

  $ oc edit image.config.openshift.io/cluster

  以下は、許可リストを含む image.config.openshift.io/cluster リソースの例になります。

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  コンテナーランタイムがビルドおよび Pod のイメージへのアクセス時に個々のレジストリーを処理する方法を決定する設定が含まれます。内部クラスターレジストリーの設定は含まれません。

  2

  レジストリー、およびイメージのプルおよびプッシュアクションに使用するレジストリー内のリポジトリーを指定します。他のすべてのレジストリーはブロックされます。

  注記

  allowedRegistries パラメーターまたは blockedRegistries パラメーターのいずれかを設定できますが、両方を設定することはできません。

  Machine Config Operator (MCO) は、image.config.openshift.io/cluster リソースでレジストリーへの変更の有無を監視します。MCO が変更を検出すると、machine config pool (MCP) 内のノードでロールアウトがトリガーされます。許可されたレジストリーのリストは、各ノードの /etc/containers/policy.json ファイルでイメージ署名ポリシーを更新するために使用されます。/etc/containers/policy.json ファイルへの変更において、ノードをドレインする必要はありません。

検証

• 次のコマンドを入力して、ノードのリストを取得します。

  $ oc get nodes

  出力例

  NAME               STATUS   ROLES                  AGE   VERSION
  <node_name>        Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 次のコマンドを実行し、ノード上でデバッグモードに入ります。

     $ oc debug node/<node_name>

  2. プロンプトが表示されたら、ターミナルに chroot /host を入力します。

     sh-4.4# chroot /host

  3. 次のコマンドを入力して、レジストリーがポリシーファイルに追加されたことを確認します。

     sh-5.1# cat /etc/containers/policy.json | jq '.'

     以下のポリシーは、イメージのプルおよびプッシュで、example.com、quay.io、および registry.redhat.io レジストリーからのイメージのみを許可されることを示しています。

     例9.1 イメージ署名ポリシーファイルの例

     {
        "default":[
           {
              "type":"reject"
           }
        ],
        "transports":{
           "atomic":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker-daemon":{
              "":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           }
        }
     }

手順

• image.config.openshift.io/cluster カスタムリソースを編集します。

  $ oc edit image.config.openshift.io/cluster

  以下は、ブロックリストを含む image.config.openshift.io/cluster CR の例です。

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      blockedRegistries: 2
      - untrusted.com
      - reg1.io/myrepo/myapp:latest
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  コンテナーランタイムがビルドおよび Pod のイメージへのアクセス時に個々のレジストリーを処理する方法を決定する設定が含まれます。内部クラスターレジストリーの設定は含まれません。

  2

  レジストリー、およびオプションでイメージのプルおよびプッシュアクションに使用できないレジストリー内のリポジトリーを指定します。他のすべてのレジストリーは許可されます。

  注記

  blockedRegistries レジストリーまたは allowedRegistries レジストリーのいずれかを設定できますが、両方を設定することはできません。

  Machine Config Operator (MCO) は、image.config.openshift.io/cluster リソースでレジストリーへの変更の有無を監視します。MCO が変更を検出すると、これはノードをドレイン (解放) し、その変更を適用してノードの遮断を解除します。ノードが Ready 状態に戻った後に、ブロックされたレジストリーへの変更は各ノードの /etc/containers/registries.conf ファイルに表示されます。

検証

• 次のコマンドを入力して、ノードのリストを取得します。

  $ oc get nodes

  出力例

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 次のコマンドを実行し、ノード上でデバッグモードに入ります。

     $ oc debug node/<node_name>

  2. プロンプトが表示されたら、ターミナルに chroot /host を入力します。

     sh-4.4# chroot /host

  3. 次のコマンドを入力して、レジストリーがポリシーファイルに追加されたことを確認します。

     sh-5.1# cat etc/containers/registries.conf

     以下の例では、untrusted.com レジストリーからのイメージが、イメージのプルおよびプッシュで許可されないことを示しています。

     出力例

     unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
     
     [[registry]]
       prefix = ""
       location = "untrusted.com"
       blocked = true

手順

• image.config.openshift.io/cluster カスタムリソースを編集します。

  $ oc edit image.config.openshift.io/cluster

  以下は、非セキュアなレジストリーのリストを含む image.config.openshift.io/cluster CR の例になります。

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      insecureRegistries: 2
      - insecure.com
      - reg4.io/myrepo/myapp:latest
      allowedRegistries:
      - example.com
      - quay.io
      - registry.redhat.io
      - insecure.com 3
      - reg4.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  コンテナーランタイムがビルドおよび Pod のイメージへのアクセス時に個々のレジストリーを処理する方法を決定する設定が含まれます。内部クラスターレジストリーの設定は含まれません。

  2

  非セキュアなレジストリーを指定します。そのレジストリーでリポジトリーを指定できます。

  3

  非セキュアなレジストリーが allowedRegistries 一覧に含まれていることを確認します。

  注記

  allowedRegistries パラメーターが定義されると、明示的に一覧表示されない限り、registry.redhat.io レジストリーと quay.io レジストリー、およびデフォルトの OpenShift イメージレジストリーを含むすべてのレジストリーがブロックされます。パラメーターを使用する場合は、Pod の失敗を防ぐために、registry.redhat.io レジストリーと quay.io レジストリー、および internalRegistryHostname を含むすべてのレジストリーを allowedRegistries リストに追加します。これらは、お使いの環境内のペイロードイメージで必要とされます。非接続クラスターの場合、ミラーレジストリーも追加する必要があります。

  Machine Config Operator (MCO) は、image.config.openshift.io/cluster CR でレジストリーへの変更の有無を監視し、変更を検出するとノードをドレイン (解放) し、遮断を解除します。ノードが Ready 状態に戻った後に、非セキュアな、およびブロックされたレジストリーへの変更は、各ノードの /etc/containers/registries.conf ファイルに表示されます。

検証

• レジストリーがポリシーファイルに追加されていることを確認するには、ノードで以下のコマンドを使用します。

  $ cat /etc/containers/registries.conf

  以下の例は、insecure.com レジストリーからのイメージが非セキュアであり、イメージのプルおよびプッシュで許可されることを示しています。

  出力例

  unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
  
  [[registry]]
    prefix = ""
    location = "insecure.com"
    insecure = true

手順

• image.config.openshift.io/cluster カスタムリソースを編集します。

  $ oc edit image.config.openshift.io/cluster

  以下は、image.config.openshift.io/cluster CR の例になります。

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    allowedRegistriesForImport:
      - domainName: quay.io
        insecure: false
    additionalTrustedCA:
      name: myconfigmap
    registrySources:
      containerRuntimeSearchRegistries: 1
      - reg1.io
      - reg2.io
      - reg3.io
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io
      - reg2.io
      - reg3.io
      - image-registry.openshift-image-registry.svc:5000
  ...
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  イメージの短縮名で使用するレジストリーを指定します。セキュリティー上のリスクが発生する可能性を軽減するために、内部レジストリーまたはプライベートレジストリーでのみイメージの短縮名を使用する必要があります。

  2

  containerRuntimeSearchRegistries に一覧表示されるレジストリーが allowedRegistries 一覧に含まれることを確認します。

  注記

  allowedRegistries パラメーターが定義されると、明示的に一覧表示されない限り、registry.redhat.io レジストリーと quay.io レジストリー、およびデフォルトの OpenShift イメージレジストリーを含むすべてのレジストリーがブロックされます。このパラメーターを使用する場合は、Pod の失敗を防ぐために、registry.redhat.io レジストリーと quay.io レジストリー、および internalRegistryHostname を含むすべてのレジストリーを allowedRegistries リストに追加します。これらは、お使いの環境内のペイロードイメージで必要とされます。非接続クラスターの場合、ミラーレジストリーも追加する必要があります。

検証

• 次のコマンドを入力して、ノードのリストを取得します。

  $ oc get nodes

  出力例

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 次のコマンドを実行し、ノード上でデバッグモードに入ります。

     $ oc debug node/<node_name>

  2. プロンプトが表示されたら、ターミナルに chroot /host を入力します。

     sh-4.4# chroot /host

  3. 次のコマンドを入力して、レジストリーがポリシーファイルに追加されたことを確認します。

     sh-5.1# cat /etc/containers/registries.conf.d/01-image-searchRegistries.conf

     出力例

     unqualified-search-registries = ['reg1.io', 'reg2.io', 'reg3.io']

前提条件

• 認証局 (CA) は PEM でエンコードされている。

• 追加の CA を設定するには、以下を実行します。

  $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

  $ oc edit image.config.openshift.io cluster

  spec:
    additionalTrustedCA:
      name: registry-config