10.5. SharedSecret オブジェクトを使用したビルドの実行

手順

1. oc apply を使用して、クラスターのエンタイトルメントシークレットで SharedSecret オブジェクトインスタンスを作成します。

   重要

   SharedSecret オブジェクトを作成するには、クラスター管理者の権限が必要です。

   YAML Role オブジェクト定義を使用した oc apply -f コマンドの例

   $ oc apply -f - <<EOF
   kind: SharedSecret
   apiVersion: sharedresource.openshift.io/v1alpha1
   metadata:
     name: etc-pki-entitlement
   spec:
     secretRef:
       name: etc-pki-entitlement
       namespace: openshift-config-managed
   EOF

   Copy to Clipboard Toggle word wrap

2. SharedSecret オブジェクトにアクセスするための権限を builder サービスアカウントに付与するロールを作成します。

   oc apply -f コマンドの例

   $ oc apply -f - <<EOF
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: builder-etc-pki-entitlement
     namespace: build-namespace
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - use
   EOF

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、builder サービスアカウントに SharedSecret オブジェクトにアクセスするための権限を付与する RoleBinding オブジェクトを作成します。

   oc create rolebinding コマンドの例

   $ oc create rolebinding builder-etc-pki-entitlement --role=builder-etc-pki-entitlement --serviceaccount=build-namespace:builder

   Copy to Clipboard Toggle word wrap

4. CSI ボリュームマウントを使用して、エンタイトルメントシークレットを BuildConfig オブジェクトに追加します。

   YAML BuildConfig オブジェクト定義の例

   apiVersion: build.openshift.io/v1
   kind: BuildConfig
   metadata:
     name: uid-wrapper-rhel9
     namespace: build-namespace
   spec:
     runPolicy: Serial
     source:
       dockerfile: |
         FROM registry.redhat.io/ubi9/ubi:latest
         RUN rm -rf /etc/rhsm-host 

   1

   
         RUN yum --enablerepo=codeready-builder-for-rhel-9-x86_64-rpms install \ 

   2

   
             nss_wrapper \
             uid_wrapper -y && \
             yum clean all -y
         RUN ln -s /run/secrets/rhsm /etc/rhsm-host 

   3

   
     strategy:
       type: Docker
       dockerStrategy:
         volumes:
           - mounts:
               - destinationPath: "/etc/pki/entitlement"
             name: etc-pki-entitlement
             source:
               csi:
                 driver: csi.sharedresource.openshift.io
                 readOnly: true 

   4

   
                 volumeAttributes:
                   sharedSecret: etc-pki-entitlement 

   5

   
               type: CSI

   Copy to Clipboard Toggle word wrap

   1

   yum または dnf コマンドを実行する前に、/etc/rhsm-host ディレクトリーとそのすべての内容を削除するコマンドを Dockerfile に含める必要があります。

   2

   Red Hat Package Browser を使用して、インストールされているパッケージの正しいリポジトリーを見つけます。

   3

   イメージと他の Red Hat コンテナーイメージとの互換性を維持するために、/etc/rhsm-host のシンボリックリンクを復元する必要があります。

   4

   ビルドで共有リソースをマウントするには、readOnly を true に設定する必要があります。

   5

   ビルドに含める SharedSecret オブジェクトの名前を参照します。

5. BuildConfig オブジェクトからビルドを開始し、oc コマンドを使用してログを追跡します。

   $ oc start-build uid-wrapper-rhel9 -n build-namespace -F

   Copy to Clipboard Toggle word wrap