第3章 Red Hat Quay on OpenShift Container Platform を使用したベアメタルビルド

手順

1. ビルドが実行されるプロジェクト (例: bare-metal-builder) を作成するには、次のコマンドを入力します。

   $ oc new-project bare-metal-builder

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを入力して、bare-metal-builder namespace に新しい ServiceAccount を作成します。

   $ oc create sa -n bare-metal-builder quay-builder

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを入力して、ユーザーに bare-metal-builder namespace 内での edit ロールを付与します。

   $ oc policy add-role-to-user -n bare-metal-builder edit system:serviceaccount:bare-metal-builder:quay-builder

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを入力して、bare-metal-builder namespace の quay-builder サービスアカウントに関連付けられたトークンを取得します。このトークンは、OpenShift Container Platform クラスターの API サーバーの認証と対話に使用されます。

   1. OpenShift Container Platform クラスターのバージョンが 4.11 以上の場合は、次のコマンドを入力します。

      oc create token quay-builder  -n bare-metal-builder --duration 24h

      Copy to Clipboard Toggle word wrap

   2. OpenShift Container Platform クラスターがバージョン 4.11 より前 (たとえばバージョン 4.10) の場合は、次のコマンドを入力します。

      $ oc sa get-token -n bare-metal-builder quay-builder

      Copy to Clipboard Toggle word wrap
5. OpenShift Container Platform クラスターの API サーバーの URL を特定します。これは、OpenShift Container Platform Web コンソールで確認できます。

6. ビルドジョブ をスケジュールするときに使用するワーカーノードラベルを識別します。ビルド Pod はベアメタルワーカーノード上で実行する必要があるため、これらは通常、特定のラベルで識別されます。

   どのノードラベルを使用すべきかは、クラスター管理者に確認してください。

7. Red Hat Quay の追加証明書に追加するには、Kube API Server の認証局 (CA) を取得します。

   1. OpenShift Container Platform バージョン 4.15 以降では、次のコマンドを入力して、CA を含むシークレットの名前を取得します。

      $ oc extract cm/kube-root-ca.crt -n openshift-apiserver

      Copy to Clipboard Toggle word wrap

      $ mv ca.crt build_cluster.crt

      Copy to Clipboard Toggle word wrap

   2. OpenShift Container Platform バージョン 4.15 より前 (例: 4.14) の場合は、次のコマンドを入力します。

      $ oc get sa openshift-apiserver-sa --namespace=openshift-apiserver -o json | jq '.secrets[] | select(.name | contains("openshift-apiserver-sa-token"))'.name

      Copy to Clipboard Toggle word wrap
   3. OpenShift Container Platform Web コンソールで、シークレットから ca.crt キーの値を取得します。値は "-----BEGIN CERTIFICATE-----"` で始まります。
   4. CA を Red Hat Quay にインポートします。このファイルの名前が、手順 9 で使用した K8S_API_TLS_CA フィールドと一致していることを確認します。

8. ServiceAccount に対して次の SecurityContextConstraints リソースを作成します。

   apiVersion: security.openshift.io/v1
   kind: SecurityContextConstraints
   metadata:
     name: quay-builder
   priority: null
   readOnlyRootFilesystem: false
   requiredDropCapabilities: null
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: RunAsAny
   seccompProfiles:
   - '*'
   supplementalGroups:
     type: RunAsAny
   volumes:
   - '*'
   allowHostDirVolumePlugin: true
   allowHostIPC: true
   allowHostNetwork: true
   allowHostPID: true
   allowHostPorts: true
   allowPrivilegeEscalation: true
   allowPrivilegedContainer: true
   allowedCapabilities:
   - '*'
   allowedUnsafeSysctls:
   - '*'
   defaultAddCapabilities: null
   fsGroup:
     type: RunAsAny
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: quay-builder-scc
     namespace: bare-metal-builder
   rules:
   - apiGroups:
     - security.openshift.io
     resourceNames:
     - quay-builder
     resources:
     - securitycontextconstraints
     verbs:
     - use
   ---
   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: quay-builder-scc
     namespace: bare-metal-builder
   subjects:
   - kind: ServiceAccount
     name: quay-builder
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: quay-builder-scc

   Copy to Clipboard Toggle word wrap

9. OpenShift Container Platform Web コンソールを使用して、Red Hat Quay on OpenShift Container Platform デプロイメントの config.yaml ファイルを更新し、適切な ベアメタルビルド 設定を含めます。

   1. Operators Installed Operators Red Hat Quay Quay Registry をクリックします。
   2. レジストリーの名前 (例: example-registry) をクリックします。
   3. Config Bundle Secret の下で、設定バンドルの名前 (例: extra-ca-certificate-config-bundle-secret) をクリックします。
   4. Actions Edit Secret をクリックします。

   5. 以下の情報を Red Hat Quay の config.yaml ファイルに追加し、各値をお客様のインストールに関連する情報に置き換えます。

      FEATURE_USER_INITIALIZE: true
      BROWSER_API_CALLS_XHR_ONLY: false
      SUPER_USERS:
      - <superusername>
      FEATURE_USER_CREATION: false
      FEATURE_QUOTA_MANAGEMENT: true
      FEATURE_BUILD_SUPPORT: True
      BUILDMAN_HOSTNAME: ${BUILDMAN_HOSTNAME}:443 

      1

      
      BUILD_MANAGER:
      - ephemeral
      - ALLOWED_WORKER_COUNT: 10
        ORCHESTRATOR_PREFIX: buildman/production/
          ORCHESTRATOR:
            REDIS_HOST: <sample_redis_hostname> 

      2

      
            REDIS_PASSWORD: ""
            REDIS_SSL: false
            REDIS_SKIP_KEYSPACE_EVENT_SETUP: false
        EXECUTORS:
        - EXECUTOR: kubernetes
          BUILDER_NAMESPACE: <sample_builder_namespace> 

      3

      
          K8S_API_SERVER: <sample_k8s_api_server> 

      4

      
          K8S_API_TLS_CA: <sample_crt_file> 

      5

      
          VOLUME_SIZE: 8G
          KUBERNETES_DISTRIBUTION: openshift
          CONTAINER_MEMORY_LIMITS: 1G 

      6

      
          CONTAINER_CPU_LIMITS: 300m 

      7

      
          CONTAINER_MEMORY_REQUEST: 1G 

      8

      
          CONTAINER_CPU_REQUEST: 300m 

      9

      
          NODE_SELECTOR_LABEL_KEY: beta.kubernetes.io/instance-type
          NODE_SELECTOR_LABEL_VALUE: n1-standard-4
          CONTAINER_RUNTIME: podman
          SERVICE_ACCOUNT_NAME: <sample_service_account_name>
          SERVICE_ACCOUNT_TOKEN: <sample_account_token> 

      10

      
          QUAY_USERNAME: <quay_username>
          QUAY_PASSWORD: <quay_password>
          WORKER_IMAGE: <registry>/quay-quay-builder
          WORKER_TAG: <some_tag>
          BUILDER_VM_CONTAINER_IMAGE: registry.redhat.io/quay/quay-builder-qemu-rhcos-rhel8:v3.9.10-4
          SETUP_TIME: 180
          MINIMUM_RETRY_THRESHOLD: 0
          SSH_AUTHORIZED_KEYS: 

      11

      
          - <ssh-rsa 12345 someuser@email.com>
          - <ssh-rsa 67890 someuser2@email.com>
          HTTP_PROXY: <http://10.0.0.1:80>
          HTTPS_PROXY: <http://10.0.0.1:80>
          NO_PROXY: <hostname.example.com>

      Copy to Clipboard Toggle word wrap

      1

      次のコマンドを実行して取得します: $ oc get route quayregistry-quay-builder -n ${QUAY_PROJECT} -o jsonpath='{.spec.host}'

      2

      Redis サービスのホスト名。

      3

      ベアメタルビルド namespace の名前と一致するように設定します。この例では bare-metal-builder を使用しました。

      4

      K8S_API_SERVER は、$ oc cluster-info を実行して取得します。

      5

      カスタム CA 証明書を手動で作成して追加する必要があります (例 K8S_API_TLS_CA: /conf/stack/extra_ca_certs/build-cluster.crt)。

      6

      指定しないと、デフォルトは 5120Mi です。

      7

      指定しないと、デフォルトは 1000m です。

      8

      指定しないと、デフォルトは 3968Mi です。

      9

      指定しないと、デフォルトは 500m です。

      10

      $ oc create sa の実行時に取得します。

      11

      リモートトラブルシューティングアクセス用に、ビルド環境に公開 SSH キーを追加できるようにします。このキーは、管理者または開発者がデバッグの目的でビルドワーカーに SSH 接続するために使用する秘密鍵に対応している必要があります。このキーは、特定の SSH キーとポートを使用してリモートホストへの SSH 接続を確立することによって取得できます。例: $ ssh -i /path/to/ssh/key/set/in/ssh_authorized_keys -p 9999 core@localhost

10. ビルド 機能を有効にするには、Red Hat Quay レジストリーを再起動します。