9.5. イメージ署名設定マップの作成

手順

1. OpenShift Container Platform 更新パス についてのナレッジベースの記事を参照し、クラスターの有効なパスを判別します。

2. バージョンを OCP_RELEASE_NUMBER 環境変数に追加します。

   $ OCP_RELEASE_NUMBER=<release_version> 1

   1

   <release_version> について、クラスターを更新する OpenShift Container Platform のバージョンに対応するタグを指定します (例: 4.4.0)。

3. クラスターのシステムアーキテクチャーを ARCHITECTURE 環境変数に追加します。

   $ ARCHITECTURE=<server_architecture> 1

   1

   server_architecture について、サーバーのアーキテクチャー (例: x86_64) を指定します。

4. Quay からリリースイメージダイジェストを取得します。

   $ DIGEST="$(oc adm release info quay.io/openshift-release-dev/ocp-release:${OCP_RELEASE_NUMBER}-${ARCHITECTURE} | sed -n 's/Pull From: .*@//p')"

5. ダイジェストアルゴリズムを設定します。

   $ DIGEST_ALGO="${DIGEST%%:*}"

6. ダイジェスト署名を設定します。

   $ DIGEST_ENCODED="${DIGEST#*:}"

7. イメージ署名を mirror.openshift.com Web サイトから取得します。

   $ SIGNATURE_BASE64=$(curl -s "https://mirror.openshift.com/pub/openshift-v4/signatures/openshift/release/${DIGEST_ALGO}=${DIGEST_ENCODED}/signature-1" | base64 -w0 && echo)

8. 設定マップを作成します。

   $ cat >checksum-${OCP_RELEASE_NUMBER}.yaml <<EOF
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: release-image-${OCP_RELEASE_NUMBER}
     namespace: openshift-config-managed
     labels:
       release.openshift.io/verification-signatures: ""
   binaryData:
     ${DIGEST_ALGO}-${DIGEST_ENCODED}: ${SIGNATURE_BASE64}
   EOF

9. 設定マップをクラスターに適用し、更新します。

   $ oc apply -f checksum-${OCP_RELEASE_NUMBER}.yaml