Red Hat Quay Operator の OpenShift Container Platform へのデプロイ

手順

1. OpenShift Container Platform 開発者コンソールで、Operator → Installed Operators → Red Hat Quay をクリックします。
2. QuayRegistry をクリックします。
3. レジストリーの名前 (例: example-registry) をクリックします。
4. YAML をクリックします。

5. spec.components フィールドでは、.overrides.resources.limits および overrides.resources.requests フィールドに値を設定することで、quay、clair、mirroring clairpostgres、および postgres リソースのリソースをオーバーライドできます。以下に例を示します。

   spec:
     components:
       - kind: clair
         managed: true
         overrides:
           resources:
             limits:
               cpu: "5"     # Limiting to 5 CPU (equivalent to 5000m or 5000 millicpu)
               memory: "18Gi"  # Limiting to 18 Gibibytes of memory
             requests:
               cpu: "4"     # Requesting 4 CPU
               memory: "4Gi"   # Requesting 4 Gibibytes of memory
       - kind: postgres
         managed: true
         overrides:
           resources:
             limits: {} 1
             requests:
               cpu: "700m"   # Requesting 700 millicpu or 0.7 CPU
               memory: "4Gi"   # Requesting 4 Gibibytes of memory
       - kind: mirror
         managed: true
         overrides:
           resources:
             limits: 2
             requests:
               cpu: "800m"   # Requesting 800 millicpu or 0.8 CPU
               memory: "1Gi"   # Requesting 1 Gibibyte of memory
       - kind: quay
         managed: true
         overrides:
           resources:
             limits:
               cpu: "4"    # Limiting to 4 CPU
               memory: "10Gi"   # Limiting to 10 Gibibytes of memory
             requests:
               cpu: "4"   # Requesting 4 CPU
               memory: "10Gi"   # Requesting 10 Gibi of memory
       - kind: clairpostgres
         managed: true
         overrides:
           resources:
             limits:
               cpu: "800m"   # Limiting to 800 millicpu or 0.8 CPU
               memory: "3Gi"   # Limiting to 3 Gibibytes of memory
             requests: {}

   1

   limits または requests フィールドを {} に設定すると、これらのリソースのデフォルト値が使用されます。

   2

   limits または requests フィールドを空のままにしておくと、これらのリソースに制限は設定されません。

手順

1. オプション: QuayRegistry YAML ファイルのローカルコピーがない場合は、次のコマンドを入力して取得します。

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml > quayregistry.yaml

2. この手順のステップ 1 で作成した quayregistry.yaml を開き、必要な変更を加えます。以下に例を示します。

       - kind: quay
         managed: true
         overrides:
           resources:
             limits: {}
             requests:
               cpu: "0.7"   # Requesting 0.7 CPU (equivalent to 500m or 500 millicpu)
               memory: "512Mi"   # Requesting 512 Mebibytes of memory

3. 変更を保存します。

4. 次のコマンドを実行して、更新された設定を使用して Red Hat Quay レジストリーを適用します。

   $ oc replace -f quayregistry.yaml

   出力例

   quayregistry.quay.redhat.com/example-registry replaced

手順

1. 必要なデータベースフィールドを含む config.yaml ファイルを作成します。以下に例を示します。

   config.yaml ファイルの例:

   DB_URI: postgresql://test-quay-database:postgres@test-quay-database:5432/test-quay-database

2. 設定ファイルを使用して Secret を作成します。

   $ kubectl create secret generic --from-file config.yaml=./config.yaml config-bundle-secret

3. postgres コンポーネントを unmanaged とマークし、作成した Secret を参照する QuayRegistry.yaml ファイルを作成します。以下に例を示します。

   quayregistry.yaml ファイルの例

   apiVersion: quay.redhat.com/v1
   kind: QuayRegistry
   metadata:
     name: example-registry
     namespace: quay-enterprise
   spec:
     configBundleSecret: config-bundle-secret
     components:
       - kind: postgres
         managed: false

手順

1. 次のコマンドを入力して、namespace (例: quay-enterprise) を作成します。

   $ oc new-project quay-enterprise

2. オプション: Red Hat Quay デプロイメントで何かを事前に設定する場合は、設定バンドルの Secret を作成します。

   $ oc create secret generic quay-enterprise-config-bundle --from-file=config-bundle.tar.gz=/path/to/config-bundle.tar.gz

3. quayregistry.yaml という名前のファイルに QuayRegistry カスタムリソースを作成します。

   1. 最小限のデプロイメントでは、すべてのデフォルトを使用します。

      quayregistry.yaml:

      apiVersion: quay.redhat.com/v1
      kind: QuayRegistry
      metadata:
        name: example-registry
        namespace: quay-enterprise

   2. オプション: 一部のコンポーネントを管理対象外にする必要がある場合、この情報を spec フィールドに追加します。最小デプロイメントは次の例のようになります。

      管理対象外コンポーネントを含む quayregistry.yaml の例

      apiVersion: quay.redhat.com/v1
      kind: QuayRegistry
      metadata:
        name: example-registry
        namespace: quay-enterprise
      spec:
        components:
          - kind: clair
            managed: false
          - kind: horizontalpodautoscaler
            managed: false
          - kind: mirror
            managed: false
          - kind: monitoring
            managed: false

   3. オプション: 設定バンドル (例: init-config-bundle-secret) を作成している場合は、これを quayregistry.yaml ファイルで参照します。

      設定バンドルを含む quayregistry.yaml の例

      apiVersion: quay.redhat.com/v1
      kind: QuayRegistry
      metadata:
        name: example-registry
        namespace: quay-enterprise
      spec:
        configBundleSecret: init-config-bundle-secret

   4. オプション: プロキシーを設定している場合は、Red Hat Quay、Clair、およびミラーリングのオーバーライドを使用して情報を追加できます。

      プロキシーが設定された quayregistry.yaml の例

        kind: QuayRegistry
        metadata:
          name: quay37
        spec:
          configBundleSecret: config-bundle-secret
          components:
            - kind: objectstorage
              managed: false
            - kind: route
              managed: true
            - kind: mirror
              managed: true
              overrides:
                env:
                  - name: DEBUGLOG
                    value: "true"
                  - name: HTTP_PROXY
                    value: quayproxy.qe.devcluster.openshift.com:3128
                  - name: HTTPS_PROXY
                    value: quayproxy.qe.devcluster.openshift.com:3128
                  - name: NO_PROXY
                    value: svc.cluster.local,localhost,quay370.apps.quayperf370.perfscale.devcluster.openshift.com
            - kind: tls
              managed: false
            - kind: clair
              managed: true
              overrides:
                env:
                  - name: HTTP_PROXY
                    value: quayproxy.qe.devcluster.openshift.com:3128
                  - name: HTTPS_PROXY
                    value: quayproxy.qe.devcluster.openshift.com:3128
                  - name: NO_PROXY
                    value: svc.cluster.local,localhost,quay370.apps.quayperf370.perfscale.devcluster.openshift.com
            - kind: quay
              managed: true
              overrides:
                env:
                  - name: DEBUGLOG
                    value: "true"
                  - name: NO_PROXY
                    value: svc.cluster.local,localhost,quay370.apps.quayperf370.perfscale.devcluster.openshift.com
                  - name: HTTP_PROXY
                    value: quayproxy.qe.devcluster.openshift.com:3128
                  - name: HTTPS_PROXY
                    value: quayproxy.qe.devcluster.openshift.com:3128

4. 次のコマンドを入力して、指定の namespace に QuayRegistry を作成します。

   $ oc create -n quay-enterprise -f quayregistry.yaml

5. 次のコマンドを入力して、status.registryEndpoint がいつ設定されるかを確認します。

   $ oc get quayregistry -n quay-enterprise example-registry -o jsonpath="{.status.registryEndpoint}" -w

1. namespace (例: quay-enterprise) を作成します。
2. Operators → Installed Operators を選択してから Quay Operator を選択し、Operator の詳細ビューに移動します。
3. 'Provided API' の下にある 'Quay Registry' タイルの 'Create Instance' をクリックします。
4. オプションで、QuayRegistry の 'Name' を変更します。これはレジストリーのホスト名に影響します。その他のフィールドはすべてデフォルトで入力されています。
5. 'Create' をクリックし、Quay Operator によってデプロイされる QuayRegistry を送信します。
6. QuayRegistry リストビューにリダイレクトされるはずです。作成した QuayRegistry をクリックし、詳細ビューを表示します。
7. 'Registry Endpoint' の値が設定されたら、その値をクリックして UI で新規 Quay レジストリーにアクセスします。'Create Account' を選択して、ユーザーを作成し、サインインできるようになりました。

手順

1. Red Hat Quay Registry の概要画面で、Config Bundle Secret のリンクをクリックします。

   

2. シークレットを編集するには、Actions → Edit Secret をクリックします。

   

3. 設定を変更して保存します

   

4. デプロイメントを監視して、正常に完了したこと、および設定の変更が反映されていることを確認します。

手順

1. 現在のエンドポイントとシークレットを見つけるには、次のコマンドを入力し、oc describe quayregistry または oc get quayregistry -o yaml を使用して QuayRegistry リソースを調べます。

   $ oc get quayregistry example-registry -n quay-enterprise -o yaml

   出力例

   apiVersion: quay.redhat.com/v1
   kind: QuayRegistry
   metadata:
     ...
     name: example-registry
     namespace: quay-enterprise
     ...
   spec:
     components:
     - kind: quay
       managed: true
     ...
     - kind: clairpostgres
       managed: true
     configBundleSecret: init-config-bundle-secret 1
   status:
     currentVersion: 3.7.0
     lastUpdated: 2022-05-11 13:28:38.199476938 +0000 UTC
     registryEndpoint: https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org 2

   1

   config.yaml ファイルと SSL/TLS 証明書を含む設定バンドルのシークレット。

   2

   レジストリーの URL、レジストリー UI へのブラウザーアクセス、およびレジストリー API エンドポイント。

手順

1. 次のコマンドを入力して、QuayRegistry リソースを記述します。

   $ oc describe quayregistry -n <quay_namespace>

   # ...
     Config Bundle Secret:  example-registry-config-bundle-v123x
   # ...

2. 次のコマンドを入力してシークレットデータを取得します。

   $ oc get secret -n <quay_namespace> <example-registry-config-bundle-v123x> -o jsonpath='{.data}'

   出力例

   {
       "config.yaml": "RkVBVFVSRV9VU0 ... MDAwMAo="
   }

3. 次のコマンドを入力してデータをデコードします。

   $ echo 'RkVBVFVSRV9VU0 ... MDAwMAo=' | base64 --decode

   出力例

   FEATURE_USER_INITIALIZE: true
   BROWSER_API_CALLS_XHR_ONLY: false
   SUPER_USERS:
   - quayadmin
   FEATURE_USER_CREATION: false
   FEATURE_QUOTA_MANAGEMENT: true
   FEATURE_PROXY_CACHE: true
   FEATURE_BUILD_SUPPORT: true
   DEFAULT_SYSTEM_REJECT_QUOTA_BYTES: 102400000

4. オプション: >> config.yaml フラグを渡すことで、データを現在のディレクトリーの YAML ファイルにエクスポートできます。以下に例を示します。

   $ echo 'RkVBVFVSRV9VU0 ... MDAwMAo=' | base64 --decode >> config.yaml

手順

1. 次のコマンドを入力して、ルート CA キーを生成します。

   $ openssl genrsa -out rootCA.key 2048

2. 次のコマンドを入力して、ルート CA 証明書を生成します。

   $ openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem

3. サーバーのホスト名など、証明書の要求に組み込まれる情報を入力します。以下に例を示します。

   Country Name (2 letter code) [XX]:IE
   State or Province Name (full name) []:GALWAY
   Locality Name (eg, city) [Default City]:GALWAY
   Organization Name (eg, company) [Default Company Ltd]:QUAY
   Organizational Unit Name (eg, section) []:DOCS
   Common Name (eg, your name or your server's hostname) []:quay-server.example.com

4. 次のコマンドを入力してサーバーキーを生成します。

   $ openssl genrsa -out ssl.key 2048

5. 次のコマンドを入力して、署名リクエストを生成します。

   $ openssl req -new -key ssl.key -out ssl.csr

6. サーバーのホスト名など、証明書の要求に組み込まれる情報を入力します。以下に例を示します。

   Country Name (2 letter code) [XX]:IE
   State or Province Name (full name) []:GALWAY
   Locality Name (eg, city) [Default City]:GALWAY
   Organization Name (eg, company) [Default Company Ltd]:QUAY
   Organizational Unit Name (eg, section) []:DOCS
   Common Name (eg, your name or your server's hostname) []:quay-server.example.com
   Email Address []:

7. 以下のようにサーバーのホスト名を指定して、設定ファイルの openssl.cnf を作成します。

   openssl.cnf ファイルの例

   [req]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   [req_distinguished_name]
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   subjectAltName = @alt_names
   [alt_names]
   DNS.1 = <quay-server.example.com>
   IP.1 = 192.168.1.112

8. 設定ファイルを使用して、証明書 ssl.cert を生成します。

   $ openssl x509 -req -in ssl.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out ssl.cert -days 356 -extensions v3_req -extfile openssl.cnf

9. 次のコマンドを入力して、作成した証明書とファイルを確認します。

   $ ls /path/to/certificates

   出力例

   rootCA.key ssl-bundle.cert ssl.key custom-ssl-config-bundle-secret.yaml rootCA.pem ssl.cert
   openssl.cnf rootCA.srl  ssl.csr

手順

1. 新しい YAML ファイル (例: custom-ssl-config-bundle-secret.yaml) を作成します。

   $ touch custom-ssl-config-bundle-secret.yaml

2. custom-ssl-config-bundle-secret リソースを作成します。

   1. 次のコマンドを入力してリソースを作成します。

      $ oc -n <namespace> create secret generic custom-ssl-config-bundle-secret \
        --from-file=config.yaml=</path/to/config.yaml> \ 1
        --from-file=ssl.cert=</path/to/ssl.cert> \ 2
        --from-file=extra_ca_cert_<name-of-certificate>.crt=ca-certificate-bundle.crt
       \ 3
        --from-file=ssl.key=</path/to/ssl.key> \ 4
        --dry-run=client -o yaml > custom-ssl-config-bundle-secret.yaml

      1

      <config.yaml> は base64 でデコード された config.yaml ファイルです。

      2

      <ssl.cert> は ssl.cert ファイルです。

      3

      オプション: --from-file=extra_ca_cert_<name-of-certificate>.crt=ca-certificate-bundle.crt フィールドにより、Red Hat Quay はカスタム認証局 (CA) ファイルを認識できるようになります。LDAP、OIDC、またはカスタム CA を使用する別のサービスを使用している場合は、extra_ca_cert パスを介してそれらを追加する必要があります。詳細は、「Red Hat Quay on OpenShift Container Platform への認証局のさらなる追加」を参照してください。

      4

      <ssl.key> は ssl.key ファイルです。

3. オプション: 次のコマンドを入力して、custom-ssl-config-bundle-secret.yaml ファイルの内容を確認できます。

   $ cat custom-ssl-config-bundle-secret.yaml

   出力例

   apiVersion: v1
   data:
     config.yaml: QUxMT1dfUFVMTFNfV0lUSE9VVF9TVFJJQ1RfTE9HR0lORzogZmFsc2UKQVVUSEVOVElDQVRJT05fVFlQRTogRGF0YWJhc2UKREVGQVVMVF9UQUdfRVhQSVJBVElPTjogMncKRElTVFJJQlVURURfU1R...
     ssl.cert: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUVYakNDQTBhZ0F3SUJBZ0lVTUFBRk1YVWlWVHNoMGxNTWI3U1l0eFV5eTJjd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2dZZ3hDekFKQmdOVkJBWVR...
     extra_ca_cert_<name-of-certificate>:LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUVYakNDQTBhZ0F3SUJBZ0lVTUFBRk1YVWlWVHNoMGxNTWI3U1l0eFV5eTJjd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2dZZ3hDe...
     ssl.key: LS0tLS1CRUdJTiBQUklWQVRFIEtFWS0tLS0tCk1JSUV2UUlCQURBTkJna3Foa2lHOXcwQkFRRUZBQVNDQktjd2dnU2pBZ0VBQW9JQkFRQ2c0VWxZOVV1SVJPY1oKcFhpZk9MVEdqaS9neUxQMlpiMXQ...
   kind: Secret
   metadata:
     creationTimestamp: null
     name: custom-ssl-config-bundle-secret
     namespace: <namespace>

4. 次のコマンドを入力して、configBundleSecret リソースを作成します。

   $ oc create -n <namespace> -f custom-ssl-config-bundle-secret.yaml

   出力例

   secret/custom-ssl-config-bundle-secret created

5. 次のコマンドを入力して、QuayRegistry YAML ファイルを更新して、custom-ssl-config-bundle-secret オブジェクトを参照します。

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"custom-ssl-config-bundle-secret"}}'

   出力例

   quayregistry.quay.redhat.com/example-registry patched

6. 次のコマンドを入力して、QuayRegistry YAML の tls コンポーネントを false に設定します。

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"components":[{"kind":"tls","managed":false}]}}'

   出力例

   quayregistry.quay.redhat.com/example-registry patched

7. 次のコマンドを入力して、QuayRegistry YAML ファイルが更新されてカスタム SSL configBundleSecret リソースが使用されるようになり、および tls リソースが false に設定されていることを確認します。

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml

   出力例

   # ...
     configBundleSecret: custom-ssl-config-bundle-secret
   # ...
   spec:
     components:
     - kind: tls
       managed: false
   # ...