1.9. RHBA-2024:8408 - Red Hat Quay 3.13.0 リリース

Red Hat Quay 3.10 のリリースに伴い、新しい自動プルーニング機能がリリースされました。この機能により、Red Hat Quay 管理者は、ユーザーと組織の両方の名前空間に自動プルーニングポリシーを設定して、指定した基準に基づいてイメージタグを自動的に削除できます。Red Hat Quay 3.11 では、この機能が強化され、指定のリポジトリーに自動プルーニングポリシーを設定できるようになりました。

Red Hat Quay 3.12 では、デフォルトの自動プルーニングポリシーが新規および既存の設定のレジストリーレベルで設定できるようになり、レジストリー全体のルールを適用することで Red Hat Quay 管理者の時間、労力、ストレージを節約できるようになりました。

Red Hat Quay 3.13 のリリースでは、自動プルーニング機能に対して以下の機能拡張が行われました。

Red Hat Quay の以前のバージョンでは、ロボットアカウントトークンは、削除または再生成されない限り、トークンの有効期間中有効でした。有効期限のないトークンは、長期的なパスワードの保存や、削除、再生成、新規認証トークンを管理を望まないユーザーにとって、セキュリティー上の問題を引き起こす可能性があります。

Red Hat Quay 3.13 では、Red Hat Quay 管理者は Red Hat Quay ロボットアカウントトークンを外部 OIDC トークンと交換できるようになります。これにより、ロボットアカウントは 1 時間しか持続しない短命トークン、つまり 一時的なトークン を活用できるようになります。一時トークンは定期的に更新され、個々のトランザクションの認証に使用できます。

この機能により、トークンを 1 時間後に削除することで、ロボットトークンの漏洩の可能性を軽減し、Red Hat Quay レジストリーのセキュリティーが大幅に向上します。

詳細は、ロボットアカウントによるキーレス認証 を参照してください。

このリリースでは、Red Hat Quay と PostgreSQL 間の証明書ベースの認証のサポートが追加されました。これにより、Red Hat Quay 管理者は、PostgreSQL または CloudSQL を使用したクライアント側認証に使用できる独自の SSL/TLS 証明書を提供できるようになります。これにより、セキュリティーが強化され、Red Hat Quay レジストリーの自動化が容易になります。

詳細は、Red Hat Quay と SQL 間の証明書ベースの認証 を参照してください。

新しい設定ページ ロボットフェデレーションの設定 が Red Hat Quay v2 UI に追加されました。これは、組織またはリポジトリーのロボットアカウントに移動し、メニューケバブをクリックして、Set robot federation をクリックすると見つかります。このページは、ロボットアカウントでキーレス認証を設定するときに使用され、単一のロボットアカウントに複数の OIDC プロバイダーを追加できます。

詳細は、ロボットアカウントによるキーレス認証 を参照してください。

場合によっては、サービスキーの挿入やその他の手動での設定変更が必要になるため、Red Hat Quay の読み取り専用オプションは使用できないことがあります。Red Hat Quay 3.13 のリリースにより、新しい設定フィールド DISABLE_PUSHES が追加されました。

DISABLE_PUSHES が True に設定されている場合、ユーザーは CLI の使用時にイメージまたはイメージタグをレジストリーにプッシュできません。Red Hat Quay UI を使用してこの機能を有効にすると、他のほとんどのレジストリー操作は通常どおり続行されます。たとえば、タグの変更、リポジトリーの編集、ロボットアカウントの作成と削除、ユーザーの作成などはすべて UI を使用して実行できます。

DISABLE_PUSHES が True に設定されていると、Red Hat Quay ガベージコレクターは無効になります。その結果、PERMANENTLY_DELETE_TAGS が有効になっていると、Red Hat Quay UI を使用してタグを永久に削除しても、タグはすぐに削除されません。代わりに、タグは DISABLE_PUSHES が False に設定されるまでリポジトリーに留まり、ガベージコレクターを再度有効にします。Red Hat Quay 管理者は、DISABLE_PUSHES と PERMANENTLY_DELETE_TAGS を一緒に使用する場合、この項目に注意する必要があります。

このフィールドは、Red Hat Quay 管理者がレジストリーのクォータを計算し、計算が完了するまでイメージのプッシュを無効にしたい場合など、一部の状況で役立つ場合があります。この方法を使用すると、管理者はレジストリー全体を read-only モードにしてデータベースに影響を与えることを回避できるため、ほとんどの操作を引き続き実行できます。

# ...
DISABLE_PUSHES: true
# ...

# ...
DISABLE_PUSHES: true
# ...

tagPattern および tagPatternMatches API パラメーターが次の API エンドポイントに追加されました。

これらのフィールドにより、Red Hat Quay 管理者はプルーニングするイメージをより細かく制御できるようになり、自動プルーニング機能が強化されます。次の表に、これらのフィールドの説明を示します。

API コマンドの例は、Red Hat Quay 自動プルーニングの概要 を参照してください。

ロボットアカウント機能を使用したキーレス認証用に、次の API エンドポイントが追加されました。

次のセクションでは、Red Hat Quay 3.13 の既知の問題と制限を説明します。

複数の Ingress コントローラーが定義された OpenShift Container Platform クラスターでは、Red Hat Quay Operator が利用可能な Ingress コントローラーのリストを繰り返し処理し、クラスターのホスト名を決定するために最初に見つかったものを使用します。ただし、このリストの Ingress コントローラーの順序は、調整サイクルでの一貫性は保証されません。その結果、Operator が別の Ingress コントローラーを選択し、クラスターホスト名の変更を検出し、新規調整プロセスを開始する可能性があります。これにより、quay Pod と OpenShift Container Platform 上の Red Hat Quay が不安定になる可能性があります。

この問題を回避するには、以下のいずれかの方法を使用します。

HIGH イメージ脆弱性のある Suse Enterprise Linux イメージをプッシュする場合は、Clair 4.8.0 がこれらの脆弱性を報告しません。これは既知の問題であり、Red Hat Quay の今後のバージョンで修正される予定です。

OpenShift Container Platform クラスターで FIPS モードが有効になっていて、Clair を使用している場合は、Red Hat Quay Operator をバージョン 3.13 にアップグレードしないでください。アップグレードすると、Clair はクラスター内で機能しなくなります。(PROJQUAY-8185)

自動プルーニング機能には、次の既知の問題が適用されます。

Red Hat Quay チームは、v2 UI に関する次の既知の問題を把握しています。