3.9. 非接続クラスターで使用する Operator カタログのミラーリング

手順

1. ミラーレジストリーに認証が必要な場合は、以下のコマンドを実行してレジストリーにログインします。

   $ podman login <mirror_registry>

2. 以下のコマンドを実行して、コンテンツをミラーレジストリーに対して抽出し、ミラーリングします。

   $ oc adm catalog mirror \
       <index_image> \ 

   1

   
       <mirror_registry>:<port>/<namespace> \ 

   2

   
       [-a ${REG_CREDS}] \ 

   3

   
       [--insecure] \ 

   4

   
       [--index-filter-by-os='<platform>/<arch>'] \ 

   5

   
       [--manifests-only] 

   6

   1

   ミラーリングするカタログのインデックスイメージを指定します。たとえば、これは以前に作成したプルーニングされたインデックスイメージ、または registry.redhat.io/redhat/redhat-operator-index:v4.9 などのデフォルトカタログのソースインデックスイメージのいずれかである可能性があります。

   2

   Operator コンテンツをミラーリングするターゲットレジストリーおよび namespace の完全修飾ドメイン名 (FQDN) を指定します。ここで、<namespace> はレジストリーの既存の namespace です。たとえば、olm-mirror namespace を作成し、ミラーリングされたすべてのコンテンツをプッシュすることができます。

   3

   オプション: 必要な場合は、レジストリー認証情報ファイルの場所を指定します。registry.redhat.io には、{REG_CREDS} が必要です。

   4

   オプション: ターゲットレジストリーの信頼を設定しない場合は、--insecure フラグを追加します。

   5

   オプション: 複数のバリアントが利用可能な場合に、選択するインデックスイメージのプラットフォームおよびアーキテクチャーを指定します。イメージは '<platform>/<arch>[/<variant>]' として渡されます。これはインデックスで参照されるイメージには適用されません。使用できる値は、linux/amd64、linux/ppc64le、linux/s390x および .* です。

   6

   オプション: ミラーリングに必要なマニフェストのみを生成し、実際にはイメージコンテンツをレジストリーにミラーリングしません。このオプションは、ミラーリングする内容を確認するのに役立ちます。また、パッケージのサブセットのみが必要な場合に、マッピングの一覧に変更を加えることができます。次に、mapping.txt ファイルを oc image mirror コマンドで使用し、後のステップでイメージの変更済みの一覧をミラーリングできます。このフラグは、カタログからのコンテンツの高度で選択可能なミラーリングにのみ使用することが意図されています。opm index prune をインデックスイメージをプルーニングするために以前にしている場合、これはほとんどのカタログ管理のユースケースに適しています。

   出力例

   src image has index label for database path: /database/index.db
   using database path mapping: /database/index.db:/tmp/153048078
   wrote database to /tmp/153048078 

   1

   
   ...
   wrote mirroring manifests to manifests-redhat-operator-index-1614211642 

   2

   1

   コマンドで生成された一時的な index.db データベースのディレクトリー。

   2

   生成される manifests ディレクトリー名を記録します。このディレクトリーは、後続の手順で参照されます。

   注記

   Red Hat Quay では、ネストされたリポジトリーはサポート対象外です。その結果、oc adm catalog mirror コマンドを実行すると、401 unauthorized エラーで失敗します。回避策として、oc adm catalog mirror コマンドを実行するときに --max-components = 2 オプションを使用して、ネストされたリポジトリーの作成を無効にすることができます。この回避策の詳細は Unauthorized error thrown while using catalog mirror command with Quay registry のナレッジソリューションを参照してください。

手順

1. ネットワークアクセスが無制限のワークステーションで以下のコマンドを実行し、コンテンツをローカルファイルにミラーリングします。

   $ oc adm catalog mirror \
       <index_image> \ 

   1

   
       file:///local/index \ 

   2

   
       -a ${REG_CREDS} \ 

   3

   
       --insecure \ 

   4

   
       --index-filter-by-os='<platform>/<arch>' 

   5

   1

   ミラーリングするカタログのインデックスイメージを指定します。たとえば、これは以前に作成したプルーニングされたインデックスイメージ、または registry.redhat.io/redhat/redhat-operator-index:v4.9 などのデフォルトカタログのソースインデックスイメージのいずれかである可能性があります。

   2

   現在のディレクトリーのローカルファイルにミラーリングするコンテンツを指定します。

   3

   オプション: 必要な場合は、レジストリー認証情報ファイルの場所を指定します。

   4

   オプション: ターゲットレジストリーの信頼を設定しない場合は、--insecure フラグを追加します。

   5

   オプション: 複数のバリアントが利用可能な場合に、選択するインデックスイメージのプラットフォームおよびアーキテクチャーを指定します。イメージは '<platform>/<arch>[/<variant>]' として指定されます。これはインデックスで参照されるイメージには適用されません。使用できる値は、linux/amd64、linux/ppc64le、linux/s390x および .* です。

   出力例

   ...
   info: Mirroring completed in 5.93s (5.915MB/s)
   wrote mirroring manifests to manifests-my-index-1614985528 

   1

   
   
   To upload local images to a registry, run:
   
   	oc adm catalog mirror file://local/index/myrepo/my-index:v1 REGISTRY/REPOSITORY 

   2

   1

   生成される manifests ディレクトリー名を記録します。このディレクトリーは、後続の手順で参照されます。

   2

   提供されたインデックスイメージをベースとする、拡張された file:// パスを記録します。このパスは、後続のステップで参照されます。

   このコマンドにより、現在のディレクトリーに v2/ ディレクトリーが作成されます。

2. v2/ ディレクトリーをリムーバブルメディアにコピーします。
3. メディアを物理的に削除して、これをミラーレジストリーにアクセスできる非接続環境のホストに割り当てます。

4. ミラーレジストリーに認証が必要な場合は、非接続環境のホストで以下のコマンドを実行し、レジストリーにログインします。

   $ podman login <mirror_registry>

5. v2/ ディレクトリーを含む親ディレクトリーから以下のコマンドを実行し、ローカルファイルからミラーレジストリーにイメージをアップロードします。

   $ oc adm catalog mirror \
       file://local/index/<repo>/<index_image>:<tag> \ 

   1

   
       <mirror_registry>:<port>/<namespace> \ 

   2

   
       -a ${REG_CREDS} \ 

   3

   
       --insecure \ 

   4

   
       --index-filter-by-os='<platform>/<arch>' 

   5

   1

   直前のコマンド出力の file:// パスを指定します。

   2

   Operator コンテンツをミラーリングするターゲットレジストリーおよび namespace の完全修飾ドメイン名 (FQDN) を指定します。ここで、<namespace> はレジストリーの既存の namespace です。たとえば、olm-mirror namespace を作成し、ミラーリングされたすべてのコンテンツをプッシュすることができます。

   3

   オプション: 必要な場合は、レジストリー認証情報ファイルの場所を指定します。

   4

   オプション: ターゲットレジストリーの信頼を設定しない場合は、--insecure フラグを追加します。

   5

   オプション: 複数のバリアントが利用可能な場合に、選択するインデックスイメージのプラットフォームおよびアーキテクチャーを指定します。イメージは '<platform>/<arch>[/<variant>]' として指定されます。これはインデックスで参照されるイメージには適用されません。使用できる値は、linux/amd64、linux/ppc64le、linux/s390x および .* です。

   注記

   Red Hat Quay では、ネストされたリポジトリーはサポート対象外です。その結果、oc adm catalog mirror コマンドを実行すると、401 unauthorized エラーで失敗します。回避策として、oc adm catalog mirror コマンドを実行するときに --max-components = 2 オプションを使用して、ネストされたリポジトリーの作成を無効にすることができます。この回避策の詳細は Unauthorized error thrown while using catalog mirror command with Quay registry のナレッジソリューションを参照してください。

6. oc adm catalogmirror コマンドを再度実行します。新しくミラーリングされたインデックスイメージをソースとして使用し、前の手順で使用したのと同じミラーレジストリーの namespace をターゲットとして使用します。

   $ oc adm catalog mirror \
       <mirror_registry>:<port>/<index_image> \
       <mirror_registry>:<port>/<namespace> \
       --manifests-only \

   1

   
       [-a ${REG_CREDS}] \
       [--insecure]

   1

   コマンドがミラーリングされたすべてのコンテンツを再度コピーしないように、このステップには --manifests-only フラグが必要です。

   重要

   前のステップで生成された imageContentSourcePolicy.yaml ファイルのイメージマッピングをローカルパスから有効なミラー位置に更新する必要があるため、このステップが必要です。そうしないと、後のステップで imageContentSourcePolicy オブジェクトを作成するときにエラーが発生します。