8.2. 非接続の OpenShift Container Platform クラスター用の Clair の自己管理デプロイメントをセットアップする

手順

1. podman cp コマンドを使用して、自己管理の Clair デプロイメント用の clairctl プログラムをインストールします。以下に例を示します。

   $ sudo podman cp clairv4:/usr/bin/clairctl ./clairctl

2. clairctl ファイルの権限を設定して、ユーザーが実行できるようにします。次に例を示します。

   $ chmod u+x ./clairctl

手順

1. Clair 設定ファイル用のフォルダーを作成します。次に例を示します。

   $ mkdir /etc/clairv4/config/

2. disable_updaters パラメーターを True に設定して Clair 設定ファイルを作成します。次に例を示します。

   ---
   indexer:
     airgap: true
   ---
   matcher:
     disable_updaters: true
   ---

3. コンテナーイメージを使用して Clair を起動し、作成したファイルから設定にマウントします。

   $ sudo podman run -it --rm --name clairv4 \
   -p 8081:8081 -p 8088:8088 \
   -e CLAIR_CONF=/clair/config.yaml \
   -e CLAIR_MODE=combo \
   -v /etc/clairv4/config:/clair:Z \
   registry.redhat.io/quay/clair-rhel8:v3.15.1

手順

1. CLI ツール oc を使用して、Clair データベースサービスを特定します。次に例を示します。

   $ oc get svc -n quay-enterprise

   出力例

   NAME                                  TYPE           CLUSTER-IP       EXTERNAL-IP   PORT(S)                             AGE
   example-registry-clair-app            ClusterIP      172.30.224.93    <none>        80/TCP,8089/TCP                     4d21h
   example-registry-clair-postgres       ClusterIP      172.30.246.88    <none>        5432/TCP                            4d21h
   ...

2. Clair データベースポートを転送して、ローカルマシンからアクセスできるようにします。以下に例を示します。

   $ oc port-forward -n quay-enterprise service/example-registry-clair-postgres 5432:5432

3. Clair の config.yaml ファイルを更新します。次に例を示します。

   indexer:
       connstring: host=localhost port=5432 dbname=postgres user=postgres password=postgres sslmode=disable 

   1

   
       layer_scan_concurrency: 5
       migrations: true
       scanlock_retry: 10
       airgap: true
       scanner:
         repo:
           rhel-repository-scanner: 

   2

   
             repo2cpe_mapping_file: /data/repository-to-cpe.json
         package:
           rhel_containerscanner: 

   3

   
             name2repos_mapping_file: /data/container-name-repos-map.json

   1

   複数の connstring フィールドの host の値を localhost に置き換えます。

   2

   rhel-repository-scanner パラメーターの詳細は、「Common Product Enumeration 情報へのリポジトリーのマッピング」を参照してください。

   3

   rhel_containerscanner パラメーターの詳細は、「Common Product Enumeration へのリポジトリーのマッピング」を参照してください。