第9章 Bridge Operator で Red Hat Quay を OpenShift に統合

OpenShift のシークレットを作成し、<access_token>を先ほど Red Hat Quay から取得した Access Token に置き換えます。例えば、これはあなたの<access_token>を使って quay-integration というシークレットを token というキーで作成します。

$ oc create secret generic quay-integration --from-literal=token=<access_token>

その結果、新たに作成された秘密鍵と証明書が、指定された秘密の中に配置されます。シークレットは、Operator のデプロイメントでの宣言の通りに、オペレーター内の適切な場所にマウントされます。

Operator の Webhook エンドポイントの Service を作成します。

apiVersion: v1
kind: Service
metadata:
  labels:
    name: quay-bridge-operator
  name: quay-bridge-operator
  namespace: openshift-operators
spec:
  ports:
    - name: https
      port: 443
      protocol: TCP
      targetPort: 8443
  selector:
    name: quay-bridge-operator
  sessionAffinity: None
  type: ClusterIP

次のように Webhook サービスを作成します。

$ oc create -f quay-webhook.yaml

以下のコマンドを実行して、証明書を要求します。

$ ./webhook-create-signed-cert.sh --namespace openshift-operators \
   --secret quay-bridge-operator-webhook-certs \
   --service quay-bridge-operator

以下のコマンドを実行して CA を取得し、その結果を 1 行にまとめて MutatingWebhookConfiguration リソースに入力できるようにします。

$ oc get configmap -n kube-system \
   extension-apiserver-authentication \
   -o=jsonpath='{.data.client-ca-file}' | base64 | tr -d '\n'

以下の MutatingWebhookConfiguration の YAML で、${CA_BUNDLE}変数を置き換えてください。

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: quay-bridge-operator
webhooks:
  - name: quayintegration.redhatcop.redhat.io
    clientConfig:
      service:
        namespace: openshift-operators
        name: quay-bridge-operator
        path: "/admissionwebhook"
      caBundle: "${CA_BUNDLE}" 1
    rules:
    - operations:  [ "CREATE" ]
      apiGroups: [ "build.openshift.io" ]
      apiVersions: ["v1" ]
      resources: [ "builds" ]
    failurePolicy: Fail
    matchPolicy: Exact
    timeoutSeconds: 30
    sideEffects: None
    admissionReviewVersions: [v1beta1]

以下のように MutatingWebhookConfiguration を作成します。

$ oc create -f quay-mutating-webhook.yaml

オペレータが動作するまでは、MutatingWebhookConfiguration が呼び出す Web サーバーが利用できず、オブジェクトを etcd に永続化するために適切な is レスポンスが必要となるため、ビルドに対する新しいリクエストは失敗します。

OpenShift のコンソールに移動し、以下のように Quay Bridge Operator をインストールします。

QuayIntegration というカスタムリソース (CR) を作成します。例:

apiVersion: redhatcop.redhat.io/v1alpha1
kind: QuayIntegration
metadata:
  name: example-quayintegration
spec:
  clusterID: openshift  1
  credentialsSecretName: openshift-operators/quay-integration 2
  quayHostname: https://<QUAY_URL>   3
  whitelistNamespaces: 4
    - default
  insecureRegistry: false 5

その結果、Red Hat Quay 内の組織は、OpenShift の関連する名前空間のために作成する必要があります。

以下のように QuayIntegration を作成します。

$ oc create -f quay-integration.yaml