第6章 非 root ユーザーとして Buildah を使用したコンテナーイメージのビルド

手順

1. openshift-pipelines namespace で提供されている buildah タスクのコピーを作成し、そのコピーの名前を buildah-as-user に変更するには、次のコマンドを入力します。

   $ oc get task buildah -n openshift-pipelines -o yaml | yq '. |= (del .metadata |= with_entries(select(.key == "name" )))' | yq '.kind="Task"' | yq '.metadata.name="buildah-as-user"' | oc create -f -

2. 次のコマンドを入力して、コピーした buildah タスクを編集します。

   $ oc edit task buildah-as-user

   新しいタスクで、次の例に示すように、annotations と stepTemplate セクションを作成します。

   buildah-as-user タスクへの追加例

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     annotations:
       io.kubernetes.cri-o.userns-mode: 'auto:size=65536;map-to-root=true'
       io.openshift.builder: 'true'
     name: assemble-containerimage
     namespace: pipeline-namespace
   spec:
     description: This task builds an image.
   #  ...
     stepTemplate:
       env:
         - name: HOME
           value: /tekton/home
       image: $(params.builder-image)
       imagePullPolicy: IfNotPresent
       name: ''
       resources:
         limits:
           cpu: '1'
           memory: 4Gi
         requests:
           cpu: 100m
           memory: 2Gi
       securityContext:
         capabilities:
           add:
             - SETFCAP
         runAsNonRoot: true
         runAsUser: 1000 1
       workingDir: $(workspaces.working-directory.path)
   #  ...

   1

   podTemplate が使用されるため、runAsUser: 設定は厳密には必要ありません。

3. 新しい buildah-as-user タスクを使用して、パイプラインでイメージをビルドします。