15.9. エージェントサービスの障害とエージェントがクラスターに参加しない問題

手順

1. /etc/containers/policy.json ファイルをオーバーライドするには、InfraEnv マニフェストに ignitionConfigOverride フィールドを追加します。これにより、コンテナーイメージの署名検証が無効になります。

2. ignitionConfigOverride 内の base64 でエンコードされたコンテンツを、イメージレジストリーに応じて、必要な /etc/containers/policy.json 設定に置き換えます。

   例

   {
       "default": [
           {
               "type": "insecureAcceptAnything"
           }
       ],
       "transports": {
           "docker": {
               "<REGISTRY1>": [
                   {
                       "type": "insecureAcceptAnything"
                   }
               ],
               "REGISTRY2": [
                   {
                       "type": "insecureAcceptAnything"
                   }
               ]
           },
           "docker-daemon": {
               "": [
                   {
                       "type": "insecureAcceptAnything"
                   }
               ]
           }
       }
   }

   ignitionConfigOverride を含む InfraEnv マニフェストの例

   apiVersion: agent-install.openshift.io/v1beta1
   kind: InfraEnv
   metadata:
     name: <hosted_cluster_name>
     namespace: <hosted_control_plane_namespace>
   spec:
     cpuArchitecture: s390x
     pullSecretRef:
       name: pull-secret
     sshAuthorizedKey: <ssh_public_key>
     ignitionConfigOverride: '{"ignition":{"version":"3.2.0"},"storage":{"files":[{"path":"/etc/containers/policy.json","mode":420,"overwrite":true,"contents":{"source":"data:text/plain;charset=utf-8;base64,ewogICAgImRlZmF1bHQiOiBbCiAgICAgICAgewogICAgICAgICAgICAidHlwZSI6ICJpbnNlY3VyZUFjY2VwdEFueXRoaW5nIgogICAgICAgIH0KICAgIF0sCiAgICAidHJhbnNwb3J0cyI6CiAgICAgICAgewogICAgICAgICAgICAiZG9ja2VyLWRhZW1vbiI6CiAgICAgICAgICAgICAgICB7CiAgICAgICAgICAgICAgICAgICAgIiI6IFt7InR5cGUiOiJpbnNlY3VyZUFjY2VwdEFueXRoaW5nIn1dCiAgICAgICAgICAgICAgICB9CiAgICAgICAgfQp9"}}]}}'