3.5. oc-mirror プラグイン v2 を使用した非接続インストールのイメージのミラーリング

1. イメージセット設定ファイルを作成します。

2. 次のいずれかのワークフローを使用して、イメージセットをターゲットミラーレジストリーにミラーリングします。

   • イメージセットをターゲットミラーレジストリーに直接 (ミラーからミラーに) ミラーリングします。
   • イメージセットをディスクにミラーリングし (ミラーからディスクへのミラーリング)、tar ファイルをターゲット環境に転送してから、イメージセットをターゲットミラーレジストリーにミラーリングします (ディスクからミラーへのミラーリング)。
3. oc-mirror プラグイン v2 が生成したリソースを使用するようにクラスターを設定します。
4. 必要に応じてこれらの手順を繰り返して、ターゲットミラーレジストリーを更新します。

手順

1. oc-mirror CLI プラグインをダウンロードします。

   1. Red Hat Hybrid Cloud Console の Downloads ページに移動します。
   2. OpenShift disconnected installation tools セクションで、ドロップダウンメニューから OpenShift Client (oc) mirror plugin の OS type と Architecture type を選択します。
   3. Download をクリックしてファイルを保存します。

2. 次のコマンドを実行してアーカイブを展開します。

   $ tar xvzf oc-mirror.tar.gz

3. 必要に応じて、次のコマンドを実行し、プラグインファイルを更新して実行可能にします。

   $ chmod +x oc-mirror

   注記

   oc-mirror ファイルの名前を変更しないでください。

4. 次のコマンドを実行して、PATH (例: /usr/local/bin) にファイルを配置し、oc-mirror CLI プラグインをインストールします。

   $ sudo mv oc-mirror /usr/local/bin/.

1. registry.redhat.io プルシークレットを Red Hat OpenShift Cluster Manager からダウンロードします。

2. 次のコマンドを実行して、プルシークレットのコピーを JSON 形式で作成します。

   $ cat ./pull-secret | jq . > <path>/<pull_secret_file_in_json> 1

   1

   プルシークレットを保存するフォルダーへのパスおよび作成する JSON ファイルの名前を指定します。

   プルシークレットの例

   {
     "auths": {
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

3. $XDG_RUNTIME_DIR/containers ディレクトリーが存在しない場合は、次のコマンドを入力して作成します。

   $ mkdir -p $XDG_RUNTIME_DIR/containers

4. プルシークレットファイルを $XDG_RUNTIME_DIR/containers/auth.json として保存します。

5. 次のコマンドを実行して、ミラーレジストリーの base64 でエンコードされたユーザー名とパスワードまたはトークンを生成します。

   $ echo -n '<user_name>:<password>' | base64 -w0 1

   1

   <user_name> および <password> には、レジストリーに設定したユーザー名およびパスワードを指定します。

   出力例

   BGVtbYk3ZHAtqXs=

6. JSON ファイルを編集し、レジストリーを記述するセクションをこれに追加します。

     "auths": {
       "<mirror_registry>": { 1
         "auth": "<credentials>", 2
         "email": "you@example.com"
       }
     },

   1

   ミラーレジストリーがコンテンツを提供するために使用するレジストリーのドメイン名およびポート (オプション) を指定します。例: registry.example.com または registry.example.com:8443

   2

   ミラーレジストリーの base64 でエンコードされたユーザー名およびパスワードを指定します。

   変更済みのプルシークレットの例

   {
     "auths": {
       "registry.example.com": {
         "auth": "BGVtbYk3ZHAtqXs=",
         "email": "you@example.com"
       },
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

検証

1. <file_path> ディレクトリーに生成された working-dir/cluster-resources ディレクトリーに移動します。
2. ImageDigestMirrorSet、ImageTagMirrorSet、および CatalogSource リソースの YAML ファイルが存在することを確認します。

1. ミラーからディスクへのミラーリング: イメージセットをアーカイブにミラーリングします。
2. ディスク転送: 非接続ミラーレジストリーのネットワークにアーカイブを手動で転送します。
3. ディスクからミラーへのミラーリング: イメージセットをアーカイブからターゲットの非接続レジストリーにミラーリングします。

手順

1. cluster-admin ロールを持つユーザーとして OpenShift CLI にログインします。

2. 以下のコマンドを実行して、results ディレクトリーからクラスターに YAML ファイルを適用します。

   $ oc apply -f <path_to_oc_mirror_workspace>/working-dir/cluster-resources

検証

1. 次のコマンドを実行して、ImageDigestMirrorSet リソースが正常にインストールされたことを確認します。

   $ oc get imagedigestmirrorset

2. 次のコマンドを実行して、ImageTagMirrorSet リソースが正常にインストールされたことを確認します。

   $ oc get imagetagmirrorset

3. 以下のコマンドを実行して、CatalogSource リソースが正常にインストールされたことを確認します。

   $ oc get catalogsource -n openshift-marketplace

手順

1. delete-image-set-config.yaml ファイルを作成し、次の内容を含めます。

   DeleteImageSetConfiguration ファイル

   apiVersion: mirror.openshift.io/v2alpha1
   kind: DeleteImageSetConfiguration
   delete:
     platform:
       channels:
         - name: <channel_name> 1
           minVersion: <channel_min_version> 2
           maxVersion: <channel_max_version> 3
     operators:
       - catalog: <operator_catalog_name> 4
         packages:
         - name: <operator_name> 5
            minVersion: <operator_max_version> 6
            maxVersion: <operator_min_version> 7
     additionalImages:
       - name: <additional_images> 8

   1 1

   削除する OpenShift Container Platform チャネルの名前を指定します (例: stable-4.15)。

   2 3

   チャネル内の削除するイメージのバージョン範囲を指定します。たとえば、最小バージョンとして 4.15.0、最大バージョンとして 4.15.1 を指定します。1 つのバージョンのイメージのみを削除するには、minVersion フィールドと maxVersion フィールドの両方にそのバージョン番号を使用します。

   4

   削除する Operator カタログイメージを指定します (例: registry.redhat.io/redhat/redhat-operator-index:v4.14)。カタログイメージを削除する場合は、delete.operators.packages パラメーターを使用して個別の Operator を指定しないでください。

   5

   削除する特定の Operator バンドルを指定します (例: aws-load-balancer-operator)。個別の Operator を指定すると、Operator カタログイメージが削除されません。

   6 7

   Operator に対して削除するイメージのバージョン範囲を指定します。たとえば、最小バージョンとして 0.0.1、最大バージョンとして 0.0.2 を指定します。1 つのバージョンのイメージのみを削除するには、minVersion フィールドと maxVersion フィールドの両方にそのバージョン番号を使用します。

   8

   削除する追加イメージを指定します (例: registry.redhat.io/ubi9/ubi-init:latest)。

2. 次のコマンドを実行して、delete-images.yaml ファイルを作成します。

   $ oc mirror delete --config delete-image-set-config.yaml --workspace file://<previously_mirrored_work_folder> --v2 --generate docker://<remote_registry>

   ここでは、以下のようになります。

   <previously_mirrored_work_folder>

   以前、ミラーリングプロセス中にイメージがミラーリングまたは保存されたディレクトリーを指定します。

   <remote_registry>

   イメージの削除元となるリモートコンテナーレジストリーの URL またはアドレスを指定します。

3. 作成された <previously_mirrored_work_folder>/delete ディレクトリーに移動します。
4. delete-images.yaml ファイルが生成されたことを確認します。
5. ファイルにリストされている各イメージがクラスターで不要になり、レジストリーから安全に削除できることを手動で確認します。

6. delete-images YAML ファイルを生成した後、次のコマンドを実行してリモートレジストリーからイメージを削除します。

   $ oc mirror delete --v2 --delete-yaml-file <previously_mirrored_work_folder>/working-dir/delete/delete-images.yaml docker://<remote_registry>

   ここでは、以下のようになります。

   <previously_mirrored_work_folder>

   以前、ミラーリングプロセス中にイメージがミラーリングまたは保存されたディレクトリーを指定します。

   <remote_registry>

   イメージの削除元となるリモートコンテナーレジストリーの URL またはアドレスを指定します。

   重要

   mirror-to-mirror 方式を使用してイメージをミラーリングする場合、イメージはローカルにキャッシュされないため、ローカルキャッシュからイメージを削除することはできません。

検証

1. 生成されたワークスペースディレクトリーに移動します。

   $ cd <oc_mirror_workspace_path>

2. 生成された mapping.txt ファイルと missing.txt ファイルを確認します。これらのファイルには、ミラーリングされるすべてのイメージのリストが含まれています。

手順

1. サーバー関連の問題を確認します。

   エラーの例

   [ERROR]  : [Worker] error mirroring image localhost:55000/openshift/graph-image:latest error: copying image 1/4 from manifest list: trying to reuse blob sha256:edab65b863aead24e3ed77cea194b6562143049a9307cd48f86b542db9eecb6e at destination: pinging container registry localhost:5000: Get "https://localhost:5000/v2/": http: server gave HTTP response to HTTPS client

   1. oc-mirror プラグイン v2 出力ディレクトリーにある working-dir/logs フォルダー内の mirroring_error_date_time.log ファイルを開きます。
   2. HTTP 500 エラー、期限切れのトークン、タイムアウトなどの、通常はサーバー側の問題を示すエラーメッセージを探します。
   3. 問題が解決しない場合は、ミラーリングプロセスを再試行するか、サポートにお問い合わせください。

2. Operator の不完全なミラーリングを確認します。

   エラーの例

   error mirroring image docker://registry.redhat.io/3scale-amp2/zync-rhel9@sha256:8bb6b31e108d67476cc62622f20ff8db34efae5d58014de9502336fcc479d86d (Operator bundles: [3scale-operator.v0.11.12] - Operators: [3scale-operator]) error: initializing source docker://localhost:55000/3scale-amp2/zync-rhel9:8bb6b31e108d67476cc62622f20ff8db34efae5d58014de9502336fcc479d86d: reading manifest 8bb6b31e108d67476cc62622f20ff8db34efae5d58014de9502336fcc479d86d in localhost:55000/3scale-amp2/zync-rhel9: manifest unknown
   error mirroring image docker://registry.redhat.io/3scale-amp2/3scale-rhel7-operator-metadata@sha256:de0a70d1263a6a596d28bf376158056631afd0b6159865008a7263a8e9bf0c7d error: skipping operator bundle docker://registry.redhat.io/3scale-amp2/3scale-rhel7-operator-metadata@sha256:de0a70d1263a6a596d28bf376158056631afd0b6159865008a7263a8e9bf0c7d because one of its related images failed to mirror
   error mirroring image docker://registry.redhat.io/3scale-amp2/system-rhel7@sha256:fe77272021867cc6b6d5d0c9bd06c99d4024ad53f1ab94ec0ab69d0fda74588e (Operator bundles: [3scale-operator.v0.11.12] - Operators: [3scale-operator]) error: initializing source docker://localhost:55000/3scale-amp2/system-rhel7:fe77272021867cc6b6d5d0c9bd06c99d4024ad53f1ab94ec0ab69d0fda74588e: reading manifest fe77272021867cc6b6d5d0c9bd06c99d4024ad53f1ab94ec0ab69d0fda74588e in localhost:55000/3scale-amp2/system-rhel7: manifest unknown

   1. コンソールまたはログファイルで、どの Operator が不完全であるかを示す警告を確認します。

      Operator が不完全としてフラグ付けされている場合、その Operator に関連するイメージのミラーリングに失敗した可能性があります。

   2. 不足しているイメージを手動でミラーリングするか、ミラーリングプロセスを再試行します。

3. 生成されたクラスターリソースに関連するエラーを確認します。一部のイメージのミラーリングに失敗した場合でも、oc-mirror v2 は、正常にミラーリングされたイメージに対して IDMS.yaml ファイルや ITMS.yaml ファイルなどのクラスターリソースを生成します。

   1. 生成されたファイルの出力ディレクトリーを確認します。
   2. 特定のイメージでこれらのファイルが見つからない場合、ミラーリングプロセス中にそれらのイメージに重大なエラーが発生していないことを確認します。

1. ユーザーが oc-mirror プラグイン v2 を実行して、オンラインレジストリーのコンテンツをローカルディスクディレクトリーにミラーリングします。
2. ミラーリングしたコンテンツを、オフライン環境への転送用のディスクに保存します。

手順

1. 非接続環境で oc-mirror プラグイン v2 を実行する前に、registries.conf ファイルを作成します。ファイルの TOML 形式は、この仕様で説明されています。

   注記

   ファイルは、$HOME/.config/containers/registries.conf または /etc/containers/registries.conf に保存することが推奨されます。

   registries.conf の例

   [[registry]]
   location="registry.redhat.io"
   [[registry.mirror]]
   location="<enterprise-registry.in>"
   
   [[registry]]
   location="quay.io"
   [[registry.mirror]]
   location="<enterprise-registry.in>"

2. ミラーアーカイブを生成します。

   1. すべての OpenShift Container Platform コンテンツを <file_path>/enterprise-content 配下のディスクのアーカイブに収集するには、次のコマンドを実行します。

      $ oc mirror --v2 -c isc.yaml file://<file_path>/enterprise-content

      isc.yaml の例

      apiVersion: mirror.openshift.io/v2alpha1
      kind: ImageSetConfiguration
      mirror:
        platform:
          architectures:
            - "amd64"
          channels:
            - name: stable-4.15
              minVersion: 4.15.0
              maxVersion: 4.15.3

      生成されたアーカイブは、非接続環境に転送されます。トランスポートメカニズムは、oc-mirror プラグイン v2 に含まれていません。転送ストラテジーは、エンタープライズネットワーク管理者が決定します。

      場合によっては、ディスクをある場所から物理的に取り外し、非接続環境内の別のコンピューターに接続することで、手動で転送します。その他の場合、セキュアファイル転送プロトコル (SFTP) またはその他のプロトコルを使用します。

3. アーカイブの転送が完了したら、次の例のとおり、oc-mirror プラグイン v2 を再度実行して関連するアーカイブの内容をレジストリー (例では entrerpise_registry.in) にミラーリングできます。

   $ oc mirror --v2 -c isc.yaml --from file://<disconnected_environment_file_path>/enterprise-content docker://<enterprise_registry.in>/

   ここでは、以下のようになります。

   • --from は、アーカイブを含むフォルダーを指します。file:// で始まります。
   • docker:// はミラーリングの宛先であり、最後の引数です。Docker レジストリーであるため、そのようになります。
   • -c (--config) は必須の引数です。これにより、oc-mirror プラグイン v2 は最終的にアーカイブのサブ部分のみをレジストリーにミラーリングできます。1 つのアーカイブに複数の OpenShift Container Platform リリースが含まれる場合がありますが、非接続環境またはエンクレーブではそのうちのいくつかのみミラーリングされる可能性があります。

4. エンクレーブにミラーリングするコンテンツを記述する imageSetConfig YAML ファイルを準備します。

   isc-enclave.yaml の例

   apiVersion: mirror.openshift.io/v2alpha1
   kind: ImageSetConfiguration
   mirror:
     platform:
       architectures:
         - "amd64"
       channels:
         - name: stable-4.15
           minVersion: 4.15.2
           maxVersion: 4.15.2

   非接続レジストリーにアクセスできるマシン上で、oc-mirror プラグイン v2 を実行する必要があります。上記の例では、非接続環境 enterprise-registry.in にアクセスできます。

5. グラフの URL を更新する

   graph:true を使用している場合、oc-mirror プラグイン v2 は cincinnati API エンドポイントに到達しようとします。この環境は接続されていないため、OpenShift Update Service (OSUS) の URL を参照するためには環境変数 UPDATE_URL_OVERRIDE をエクスポートする必要があります。

   $ export UPDATE_URL_OVERRIDE=https://<osus.enterprise.in>/graph

   OpenShift クラスターで OSUS を設定する方法の詳細は、「OpenShift Update Service を使用した非接続環境でのクラスターの更新」を参照してください。

   注記

   OpenShift Container Platform の Extended Update Support (EUS) バージョン間で更新する場合は、現在のバージョンとターゲットバージョン間の中間マイナーバージョンのイメージも含める必要があります。oc-mirror プラグイン v2 は必ずしもこの要件を自動的に検出するとは限りません。そのため、Red Hat OpenShift Container Platform Update Graph ページ で、必要な中間バージョンを確認してください。

   Update Graph ページを使用して、アプリケーションによって提案される中間マイナーバージョンを確認してください。また、oc-mirror プラグイン v2 を使用するときに、該当するバージョンをすべて ImageSetConfiguration ファイルに含めてください。

6. エンクレーブのエンタープライズレジストリーからミラーアーカイブを生成します。

   enclave1 のアーカイブを準備するには、ユーザーはそのエンクレーブ固有の imageSetConfiguration を使用して、エンタープライズ非接続環境で oc-mirror プラグイン v2 を実行します。これにより、そのエンクレーブに必要なイメージのみがミラーリングされます。

   $ oc mirror --v2 -c isc-enclave.yaml
   file:///disk-enc1/

   このアクションは、OpenShift Container Platform のすべてのコンテンツをアーカイブに収集し、ディスク上にアーカイブを生成します。

7. 生成されたアーカイブは、enclave1 ネットワークに転送されます。トランスポートメカニズムは、oc-mirror プラグイン v2 の責任にはあたりません。

8. エンクレーブレジストリーにコンテンツをミラーリングする

   アーカイブの転送が完了すると、ユーザーは関連するアーカイブの内容をレジストリーにミラーリングするために、oc-mirror プラグイン v2 を再度実行できます。

   $ oc mirror --v2 -c isc-enclave.yaml --from file://local-disk docker://registry.enc1.in

   これで、enclave1 の OpenShift Container Platform クラスターの管理者が、そのクラスターをインストールまたはアップグレードする準備が整いました。