5.2. OpenShift Container Platform を使用した Red Hat Quay ビルダー環境の作成

手順

1. クラスター管理者アカウントを使用して Red Hat Quay クラスターにログインします。

2. 次のコマンドを実行して、仮想ビルダーが実行される新しいプロジェクト (virtual-builders など) を作成します。

   $ oc new-project virtual-builders

3. 次のコマンドを入力して、ビルドの実行に使用されるプロジェクトに ServiceAccount を作成します。

   $ oc create sa -n virtual-builders quay-builder

4. 作成したサービスアカウントに編集権限を付与して、ビルドを実行できるようにします。

   $ oc adm policy -n virtual-builders add-role-to-user edit system:serviceaccount:virtual-builders:quay-builder

5. 次のコマンドを入力して、Quay ビルダーに anyuid scc 権限を付与します。

   $ oc adm policy -n virtual-builders add-scc-to-user anyuid -z quay-builder

   注記

   このアクションには、クラスター管理者特権が必要です。非特権ビルドまたはルートレスビルドを機能させるには、ビルダーを Podman ユーザーとして実行する必要があるため、これが必要です。

6. Quay ビルダーサービスアカウントのトークンを取得します。

   1. OpenShift Container Platform 4.10 以前のバージョンを使用している場合は、以下のコマンドを入力します。

      oc sa get-token -n virtual-builders quay-builder

   2. OpenShift Container Platform 4.11 以降を使用している場合は、以下のコマンドを入力します。

      $ oc create token quay-builder -n virtual-builders

      注記

      トークンの有効期限が切れたら、新しいトークンを要求する必要があります。必要に応じて、カスタムの有効期限を追加することもできます。たとえば、トークンを 2 週間保持するには、--duration 20160m と指定します。

      出力例

      eyJhbGciOiJSUzI1NiIsImtpZCI6IldfQUJkaDVmb3ltTHZ0dGZMYjhIWnYxZTQzN2dJVEJxcDJscldSdEUtYWsifQ...

7. 次のコマンドを入力してビルダールートを決定します。

   $ oc get route -n quay-enterprise

   出力例

   NAME                                  HOST/PORT                                                                    PATH   SERVICES                              PORT   TERMINATION     WILDCARD
   ...
   example-registry-quay-builder         example-registry-quay-builder-quay-enterprise.apps.docs.quayteam.org                example-registry-quay-app             grpc   edge/Redirect   None
   ...

8. 次のコマンドを入力して、拡張子が .crt の自己署名 SSL/TlS 証明書を生成します。

   $ oc extract cm/kube-root-ca.crt -n openshift-apiserver

   出力例

   ca.crt

9. 次のコマンドを入力して、ca.crt ファイルの名前を extra_ca_cert_build_cluster.crt に変更します。

   $ mv ca.crt extra_ca_cert_build_cluster.crt

10. Console で設定バンドルのシークレットを見つけ、Actions Edit Secret を選択して、適切なビルダー設定を追加します。

    FEATURE_USER_INITIALIZE: true
    BROWSER_API_CALLS_XHR_ONLY: false
    SUPER_USERS:
    - <superusername>
    FEATURE_USER_CREATION: false
    FEATURE_QUOTA_MANAGEMENT: true
    FEATURE_BUILD_SUPPORT: True
    BUILDMAN_HOSTNAME: <sample_build_route> 1
    BUILD_MANAGER:
      - ephemeral
      - ALLOWED_WORKER_COUNT: 1
        ORCHESTRATOR_PREFIX: buildman/production/
        JOB_REGISTRATION_TIMEOUT: 3600 2
        ORCHESTRATOR:
          REDIS_HOST: <sample_redis_hostname> 3
          REDIS_PASSWORD: ""
          REDIS_SSL: false
          REDIS_SKIP_KEYSPACE_EVENT_SETUP: false
        EXECUTORS:
          - EXECUTOR: kubernetesPodman
            NAME: openshift
            BUILDER_NAMESPACE: <sample_builder_namespace> 4
            SETUP_TIME: 180
            MINIMUM_RETRY_THRESHOLD: 0
            BUILDER_CONTAINER_IMAGE: <sample_builder_container_image> 5
            # Kubernetes resource options
            K8S_API_SERVER: <sample_k8s_api_server> 6
            K8S_API_TLS_CA: <sample_crt_file> 7
            VOLUME_SIZE: 8G
            KUBERNETES_DISTRIBUTION: openshift
            CONTAINER_MEMORY_LIMITS: 1G 8
            CONTAINER_CPU_LIMITS: 300m 9
            CONTAINER_MEMORY_REQUEST: 1G 10
            CONTAINER_CPU_REQUEST: 300m 11
            NODE_SELECTOR_LABEL_KEY: ""
            NODE_SELECTOR_LABEL_VALUE: ""
            SERVICE_ACCOUNT_NAME: <sample_service_account_name>
            SERVICE_ACCOUNT_TOKEN: <sample_account_token> 12
            HTTP_PROXY: <http://10.0.0.1:80>
            HTTPS_PROXY: <http://10.0.0.1:80>
            NO_PROXY: <hostname.example.com>

    1

    ビルドルートは、OpenShift Operator の namespace の名前で oc get route -n を実行することにより取得されます。ルートの最後にポートを指定する必要があり、[quayregistry-cr-name]-quay-builder-[ocp-namespace].[ocp-domain-name]:443 の形式を使用する必要があります。

    2

    JOB_REGISTRATION_TIMEOUT パラメーターの設定が低すぎると、failed to register job to build manager: rpc error: code = Unauthenticated desc = Invalid build token: Signature has expired エラーが発生する可能性があります。このパラメーターは少なくとも 240 に設定することを推奨します。

    3

    Redis ホストにパスワードまたは SSL/TLS 証明書がある場合は、それに応じて更新する必要があります。

    4

    仮想ビルダーの namespace の名前と一致するように設定します (例: virtual-builders)。

    5

    早期アクセスの場合、BUILDER_CONTAINER_IMAGE は現在 quay.io/projectquay/quay-builder:3.7.0-rc.2 です。ただし、早期アクセス期間中に変更される可能性があります。これが発生した場合は、顧客に警告が表示されます。

    6

    K8S_API_SERVER は、oc cluster-info を実行して取得します。

    7

    カスタム CA 証明書を手動で作成して追加する必要があります (例 K8S_API_TLS_CA: /conf/stack/extra_ca_certs/build_cluster.crt)。

    8

    指定しないと、デフォルトは 5120Mi です。

    9

    仮想ビルドの場合は、クラスターに十分なリソースがあることを確認する必要があります。指定しないと、デフォルトは 1000m です。

    10

    指定しないと、デフォルトは 3968Mi です。

    11

    指定しないと、デフォルトは 500m です。

    12

    oc create sa の実行時に取得します。

    設定サンプル

    FEATURE_USER_INITIALIZE: true
    BROWSER_API_CALLS_XHR_ONLY: false
    SUPER_USERS:
    - quayadmin
    FEATURE_USER_CREATION: false
    FEATURE_QUOTA_MANAGEMENT: true
    FEATURE_BUILD_SUPPORT: True
    BUILDMAN_HOSTNAME: example-registry-quay-builder-quay-enterprise.apps.docs.quayteam.org:443
    BUILD_MANAGER:
      - ephemeral
      - ALLOWED_WORKER_COUNT: 1
        ORCHESTRATOR_PREFIX: buildman/production/
        JOB_REGISTRATION_TIMEOUT: 3600
        ORCHESTRATOR:
          REDIS_HOST: example-registry-quay-redis
          REDIS_PASSWORD: ""
          REDIS_SSL: false
          REDIS_SKIP_KEYSPACE_EVENT_SETUP: false
        EXECUTORS:
          - EXECUTOR: kubernetesPodman
            NAME: openshift
            BUILDER_NAMESPACE: virtual-builders
            SETUP_TIME: 180
            MINIMUM_RETRY_THRESHOLD: 0
            BUILDER_CONTAINER_IMAGE: quay.io/projectquay/quay-builder:3.7.0-rc.2
            # Kubernetes resource options
            K8S_API_SERVER: api.docs.quayteam.org:6443
            K8S_API_TLS_CA: /conf/stack/extra_ca_certs/build_cluster.crt
            VOLUME_SIZE: 8G
            KUBERNETES_DISTRIBUTION: openshift
            CONTAINER_MEMORY_LIMITS: 1G
            CONTAINER_CPU_LIMITS: 300m
            CONTAINER_MEMORY_REQUEST: 1G
            CONTAINER_CPU_REQUEST: 300m
            NODE_SELECTOR_LABEL_KEY: ""
            NODE_SELECTOR_LABEL_VALUE: ""
            SERVICE_ACCOUNT_NAME: quay-builder
            SERVICE_ACCOUNT_TOKEN: "eyJhbGciOiJSUzI1NiIsImtpZCI6IldfQUJkaDVmb3ltTHZ0dGZMYjhIWnYxZTQzN2dJVEJxcDJscldSdEUtYWsifQ"
            HTTP_PROXY: <http://10.0.0.1:80>
            HTTPS_PROXY: <http://10.0.0.1:80>
            NO_PROXY: <hostname.example.com>

手順

1. Red Hat Quay リポジトリーにログインします。
2. Create New Repository をクリックして、testrepo などの新しいレジストリーを作成します。

3. Repositories ページで、ナビゲーションペインの Builds タブをクリックします。または、対応する URL を直接使用します。

   https://example-registry-quay-quay-enterprise.apps.docs.quayteam.org/repository/quayadmin/testrepo?tab=builds

   重要

   場合によっては、ビルダーでホスト名の解決に問題が発生することがあります。この問題は、ジョブオブジェクトで default に設定されている dnsPolicy に関連している可能性があります。現在、この問題に対する回避策はありません。これは、Red Hat Quay の将来のバージョンで解決される予定です。

4. Create Build Trigger Custom Git Repository Push をクリックします。

5. Git リポジトリーのクローン作成に使用する HTTPS または SSH スタイルの URL を入力し、Continue をクリックします。以下に例を示します。

   https://github.com/gabriel-rh/actions_test.git

6. Tag manifest with the branch or tag name を確認し、Continue をクリックします。
7. トリガーが呼び出されたときにビルドする Dockerfile の場所 (たとえば /Dockerfile) を入力し、Continue をクリックします。
8. Docker ビルドのコンテキストの場所 (たとえば /) を入力し、Continue をクリックします。
9. 必要に応じて、ロボットアカウントを作成します。それ以外の場合は、Continue をクリックします。
10. Continue をクリックして、パラメーターを確認します。
11. Builds ページで、トリガー名の Options アイコンをクリックし、Run Trigger Now をクリックします。
12. Git リポジトリーからコミット SHA を入力し、Start Build をクリックします。

13. ビルドのステータスを確認するには、Build History ページで commit をクリックするか、oc get pods -n virtual-builders を実行します。以下に例を示します。

    $ oc get pods -n virtual-builders

    出力例

    NAME                                               READY   STATUS    RESTARTS   AGE
    f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Running   0          7s

    $ oc get pods -n virtual-builders

    出力例

    NAME                                               READY   STATUS        RESTARTS   AGE
    f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Terminating   0          9s

    $ oc get pods -n virtual-builders

    出力例

    No resources found in virtual-builders namespace.

14. ビルドが完了したら、ナビゲーションペインのタグで Tags のステータスを確認できます。

    注記

    早期アクセスにより、完全なビルドログとビルドのタイムスタンプは現在利用できません。

手順

1. s3.console.aws.com で AWS コンソールにログインします。
2. 検索バーで S3 を検索し、S3 をクリックします。
3. バケットの名前 (myawsbucket など) をクリックします。
4. Permissions タブをクリックします。

5. Cross-origin resource sharing (CORS) の下に、次のパラメーターを含めます。

     [
         {
             "AllowedHeaders": [
                 "Authorization"
             ],
             "AllowedMethods": [
                 "GET"
             ],
             "AllowedOrigins": [
                 "*"
             ],
             "ExposeHeaders": [],
             "MaxAgeSeconds": 3000
         },
         {
             "AllowedHeaders": [
                 "Content-Type",
                 "x-amz-acl",
                 "origin"
             ],
             "AllowedMethods": [
                 "PUT"
             ],
             "AllowedOrigins": [
                 "*"
             ],
             "ExposeHeaders": [],
             "MaxAgeSeconds": 3000
         }
     ]

手順

1. 次のリファレンスを使用して、特定の CORS ニーズに合わせた JSON ファイルを作成します。以下に例を示します。

   $ cat gcp_cors.json

   出力例

   [
       {
         "origin": ["*"],
         "method": ["GET"],
         "responseHeader": ["Authorization"],
         "maxAgeSeconds": 3600
       },
       {
         "origin": ["*"],
         "method": ["PUT"],
         "responseHeader": [
                 "Content-Type",
                 "x-goog-acl",
                 "origin"],
         "maxAgeSeconds": 3600
       }
   ]

2. 次のコマンドを入力して、GCP ストレージバケットを更新します。

   $ gcloud storage buckets update gs://<bucket_name> --cors-file=./gcp_cors.json

   出力例

   Updating
     Completed 1

3. 次のコマンドを実行すると、GCP バケットの更新された CORS 設定を表示できます。

   $ gcloud storage buckets describe gs://<bucket_name>  --format="default(cors)"

   出力例

   cors:
   - maxAgeSeconds: 3600
     method:
     - GET
     origin:
     - '*'
     responseHeader:
     - Authorization
   - maxAgeSeconds: 3600
     method:
     - PUT
     origin:
     - '*'
     responseHeader:
     - Content-Type
     - x-goog-acl
     - origin