Red Hat Quay の管理

手順

1. config.yaml ファイルで FEATURE_USER_METADATA 設定フィールドを true に追加または設定します。以下に例を示します。

1. Red Hat Quay を再デプロイします。

2. ログインを求めるプロンプトが出されたら、ユーザーは以下の情報を入力するよう要求されます。

   

手順

1. 次のコマンドを入力してサーバーキーを生成します。

   $ openssl genrsa -out ssl.key 2048

2. 次のコマンドを入力して、署名リクエストを生成します。

   $ openssl req -new -key ssl.key -out ssl.csr

3. サーバーのホスト名など、証明書の要求に組み込まれる情報を入力します。以下に例を示します。

   Country Name (2 letter code) [XX]:IE
   State or Province Name (full name) []:GALWAY
   Locality Name (eg, city) [Default City]:GALWAY
   Organization Name (eg, company) [Default Company Ltd]:QUAY
   Organizational Unit Name (eg, section) []:DOCS
   Common Name (eg, your name or your server's hostname) []:quay-server.example.com

4. 以下のようにサーバーのホスト名を指定して、設定ファイルの openssl.cnf を作成します。

   openssl.cnf

   [req]
   req_extensions = v3_req
   distinguished_name = req_distinguished_name
   [req_distinguished_name]
   [ v3_req ]
   basicConstraints = CA:FALSE
   keyUsage = nonRepudiation, digitalSignature, keyEncipherment
   subjectAltName = @alt_names
   [alt_names]
   DNS.1 = quay-server.example.com
   IP.1 = 192.168.1.112

5. 設定ファイルを使用して、証明書 ssl.cert を生成します。

   $ openssl x509 -req -in ssl.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out ssl.cert -days 356 -extensions v3_req -extfile openssl.cnf

手順

1. Splunk に移動し、必要な認証情報を入力して、Splunk アカウントを作成します。
2. Splunk Enterprise Free Trial ページに移動し、プラットフォームとインストールパッケージを選択して、Download Now をクリックします。
3. マシンに Splunk ソフトウェアをインストールします。プロンプトが表示されたら、splunk_admin などのユーザー名とパスワードを作成します。
4. ユーザー名とパスワードを作成すると、Splunk 導入用のローカルホスト URL (例: http://<sample_url>.remote.csb:8000/) が提供されます。お好みのブラウザーで URL を開きます。
5. インストール時に作成したユーザー名とパスワードを使用してログインします。Splunk UI にリダイレクトします。

手順

1. Splunk または Splunk HTTP Event Collector (HEC) を使用するように Red Hat Quay を設定します。

   1. Splunk を使用する場合は、Red Hat Quay の config.yaml ファイルを開き、次の設定フィールドを追加します。

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
          producer: splunk
          splunk_config:
              host: http://<user_name>.remote.csb 1
              port: 8089 2
              bearer_token: <bearer_token> 3
              url_scheme: <http/https> 4
              verify_ssl: False 5
              index_prefix: <splunk_log_index_name> 6
              ssl_ca_path: <location_to_ssl-ca-cert.pem> 7
      # ...

      1

      文字列。Splunk クラスターのエンドポイント。

      2

      integerSplunk 管理クラスターのエンドポイントポート。Splunk GUI でホストされるポートとは異なります。Splunk UI の Settings → Server Settings → General Settings にあります。

      3

      文字列。Splunk 用に生成されたベアラートークン。

      4

      文字列。Splunk サービスにアクセスするための URL スキーム。Splunk が TLS/SSL を使用するように設定されている場合、これは https である必要があります。

      5

      ブール値。TLS/SSL を有効にするかどうか。デフォルトは true です。

      6

      文字列。Splunk インデックスの接頭辞。新しいインデックスまたは使用済みのインデックスを使用できます。Splunk UI から作成できます。

      7

      文字列。TLS/SSL 検証用の認証局 (CA) を含む単一の .pem ファイルへの相対コンテナーパス。

   2. Splunk HEC を使用する場合は、Red Hat Quay の config.yaml ファイルを開き、次の設定フィールドを追加します。

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
        producer: splunk_hec 1
        splunk_hec_config: 2
          host: prd-p-aaaaaq.splunkcloud.com 3
          port: 8088 4
          hec_token: 12345678-1234-1234-1234-1234567890ab 5
          url_scheme: https 6
          verify_ssl: False 7
          index: quay 8
          splunk_host: quay-dev 9
          splunk_sourcetype: quay_logs 10
      # ...

      1

      Splunk HEC を設定する場合は splunk_hec を指定します。

      2

      Splunk HTTP Event Collector のアクションログ設定のログモデル設定。

      3

      Splunk クラスターのエンドポイント。

      4

      Splunk 管理クラスターのエンドポイントポート。

      5

      Splunk の HEC トークン。

      6

      Splunk サービスにアクセスするための URL スキーム。Splunk が SSL/TLS の背後にある場合は、https にする必要があります。

      7

      ブール値。HTTPS 接続の SSL/TLS 検証を有効 (true) または無効 (false) にします。

      8

      使用する Splunk インデックス。

      9

      このイベントをログに記録するホスト名。

      10

      使用する Splunk sourcetype の名前。

2. ssl_ca_path を設定している場合は、Red Hat Quay が信頼するように SSL/TLS 証明書を設定する必要があります。

   1. Red Hat Quay のスタンドアロンデプロイメントを使用している場合は、証明書ファイルを extra_ca_certs ディレクトリー内、または相対コンテナーパス内に配置して ssl_ca_path で指定することで、SSL/TLS 証明書を提供できます。

   2. Red Hat Quay Operator を使用している場合は、Splunk サーバーの認証局 (CA) を含む設定バンドルのシークレットを作成します。以下に例を示します。

      $ oc create secret generic --from-file config.yaml=./config_390.yaml --from-file extra_ca_cert_splunkserver.crt=./splunkserver.crt config-bundle-secret

      config.yaml に conf/stack/extra_ca_certs/splunkserver.crt ファイルを指定します。以下に例を示します。

      # ...
      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
          producer: splunk
          splunk_config:
              host: ec2-12-345-67-891.us-east-2.compute.amazonaws.com
              port: 8089
              bearer_token: eyJra
              url_scheme: https
              verify_ssl: true
              index_prefix: quay123456
              ssl_ca_path: conf/stack/splunkserver.crt
      # ...

手順

1. Red Hat Quay デプロイメントにログインします。
2. Splunk のアクションログの作成に使用する組織の名前をクリックします。
3. ナビゲーションウィンドウで、Robot Accounts → Create Robot Account をクリックします。
4. プロンプトが表示されたら、ロボットアカウントの名前 (例: spunkrobotaccount) を入力して、Create robot account をクリックします。
5. ブラウザーで Splunk UI を開きます。
6. Search and Reporting をクリックします。

7. 検索バーにインデックスの名前 (例: <splunk_log_index_name>) を入力し、Enter を押します。

   検索結果が Splunk UI に表示されます。ログは JSON 形式で転送されます。応答は以下のようになります。

   {
     "log_data": {
       "kind": "authentication", 1
       "account": "quayuser123", 2
       "performer": "John Doe", 3
       "repository": "projectQuay", 4
       "ip": "192.168.1.100", 5
       "metadata_json": {...}, 6
       "datetime": "2024-02-06T12:30:45Z" 7
     }
   }

   1

   ログイベントの種類を指しています。この例では、authentication はログエントリーが認証イベントに関連していることを示します。

   2

   イベントに関係するユーザーアカウント。

   3

   アクションを実行した個人。

   4

   イベントに関連付けられたリポジトリー。

   5

   アクションの実行元の IP アドレス。

   6

   イベントに関連する追加のメタデータが含まれている場合があります。

   7

   イベントが発生したときのタイムスタンプ。

手順

1. 次のコマンドを入力して、Red Hat Quay PostgreSQL データベースにログインします。

   $ psql -h <quay-server.example.com> -p 5432 -U <user_name> -d <database_name>

   出力例

   psql (16.1, server 13.7)
   Type "help" for help.

2. オプション: PostgreSQL データベースのテーブルリストを表示するには、次のコマンドを入力します。

   quay=> \dt

   出力例

                      List of relations
    Schema |            Name            | Type  |  Owner
   --------+----------------------------+-------+----------
    public | logentry                   | table | quayuser
    public | logentry2                  | table | quayuser
    public | logentry3                  | table | quayuser
    public | logentrykind               | table | quayuser
   ...

3. 次のコマンドを入力すると、ログ情報を返すために必要な repository_ids のリストが返されます。

   quay=> SELECT id, name FROM repository;

   出力例

    id |        name
   ----+---------------------
     3 | new_repository_name
     6 | api-repo
     7 | busybox
   ...

4. logentry3 リレーションを使用していずれかのリポジトリーに関するログ情報を表示するには、次のコマンドを入力します。

   SELECT * FROM logentry3 WHERE repository_id = <repository_id>;

   出力例

    id | kind_id | account_id | performer_id | repository_id | datetime | ip |    metadata_json
   
    59 | 14 | 2 | 1 | 6 | 2024-05-13 15:51:01.897189 | 192.168.1.130 | {"repo": "api-repo", "namespace": "test-org"}

   上記の例では、次の情報が返されます。

   {
     "log_data": {
       "id": 59 1
       "kind_id": "14", 2
       "account_id": "2", 3
       "performer_id": "1", 4
       "repository_id": "6", 5
       "ip": "192.168.1.100", 6
       "metadata_json": {"repo": "api-repo", "namespace": "test-org"} 7
       "datetime": "2024-05-13 15:51:01.897189" 8
     }
   }

   1

   ログエントリーの一意の識別子。

   2

   実行されたアクション。この例では 14 です。次のセクションのキーまたはテーブルは、この kind_id がリポジトリーの作成に関連していることを示しています。

   3

   アクションを実行したアカウント。

   4

   アクションの実行者。

   5

   アクションが実行されたリポジトリー。この例では、6 はステップ 3 で見つかった api-repo に対応します。

   6

   アクションの実行元の IP アドレス。

   7

   リポジトリーの名前とその名前空間を含むメタデータ情報。

   8

   アクションが実行された時刻。

手順

1. Settings タブで、Repository State を Mirror に設定します。

   

2. Mirror タブで、タグ、スケジューリング、およびアクセス情報と共に外部レジストリーに接続するための情報を入力します。

   

3. 必要に応じて、以下のフィールドに詳細を入力します。

   • Registry Location: ミラーリングする外部リポジトリー (例: registry.redhat.io/quay/quay-rhel8)。
   • Tags: このフィールドは必須です。個別のタグまたはタグパターンのコンマ区切りのリストを入力できます。(詳細は、タグパターン のセクションを参照してください。)
   • Start Date: ミラーリングが開始する日付。現在の日時がデフォルトで使用されます。
   • Sync Interval: デフォルトで 24 時間ごとの同期に設定されます。これは時間または日に基づいて変更できます。
   • Robot User: 新しい robot アカウントを作成するか、既存の robot アカウントを選択してミラーリングを実行します。
   • Username: ミラーリングするリポジトリーを保持する外部レジストリーにアクセスするためのユーザー名。
   • Password: ユーザー名に関連付けられたパスワード。パスワードにはエスケープ文字 (\) を必要とする文字を使用できないことに注意してください。

手順

1. Red Hat Single Sign-On 管理コンソール に移動します。

   1. OpenShift Container Platform Web コンソール で、Network → Route に移動します。
   2. ドロップダウンリストから Red Hat Single Sign-On プロジェクトを選択します。
   3. Routes テーブルで Red Hat Single Sign-On 管理コンソール を見つけます。
2. Red Hat Quay の設定に使用するレルムを選択します。
3. ナビゲーションパネルの Configure セクションで Clients をクリックし、Create ボタンをクリックして Red Hat Quay の新しい OIDC を追加します。

4. 以下の情報を入力します。

   • Client ID: quay-enterprise
   • Client Protocol: openid-connect
   • Root URL: https://<quay_endpoint>/
5. Save をクリックします。これにより、Clients 設定パネルにリダイレクトされます。
6. Access Type に移動し、Confidential を選択します。

7. Valid Redirect URI に移動します。3 つのリダイレクト URI を指定する必要があります。値は、Red Hat Quay レジストリーの完全修飾ドメイン名に /oauth2/redhatsso/callback を付加したものである必要があります。以下に例を示します。

   • https://<quay_endpoint>/oauth2/redhatsso/callback
   • https://<quay_endpoint>/oauth2/redhatsso/callback/attach
   • https://<quay_endpoint>/oauth2/redhatsso/callback/cli
8. Save をクリックして、新しい Credentials 設定に移動します。
9. Secret の値をコピーします。

手順

1. 次の情報を使用して config.yaml ファイルを更新します。

   AUTHENTICATION_TYPE: OIDC
   # ...
   OIDC_LOGIN_CONFIG:
     CLIENT_ID: 1
     CLIENT_SECRET: 2
     OIDC_SERVER: 3
     SERVICE_NAME: 4
     PREFERRED_GROUP_CLAIM_NAME: 5
     LOGIN_SCOPES: [ 'openid', '<example_scope>' ] 6
     OIDC_DISABLE_USER_ENDPOINT: false 7
   # ...
   FEATURE_TEAM_SYNCING: true 8
   FEATURE_NONSUPERUSER_TEAM_SYNCING_SETUP: true 9
   FEATURE_UI_V2: true
   # ...

   1

   必須。この Red Hat Quay インスタンスの登録済み OIDC クライアント ID。

   2

   必須。この Red Hat Quay インスタンスの登録済み OIDC クライアントシークレット。

   3

   必須。認証に使用される OIDC サーバーのアドレス。この URL は、<OIDC_SERVER>/.well-known/openid-configuration への GET リクエストがプロバイダーの設定情報を返すような URL である必要があります。この設定情報は、依存当事者 (RP) が OpenID Connect プロバイダーと安全にやり取りし、認証および承認プロセスに必要な詳細を取得するために不可欠です。

   4

   必須。認証されているサービスの名前。

   5

   必須。ユーザーのグループメンバーシップに関する情報を保持する OIDC トークンペイロード内のキー名。このフィールドにより、認証システムは OIDC トークンからグループメンバーシップ情報を抽出し、Red Hat Quay で使用できるようになります。

   6

   必須。Red Hat Quay が OIDC プロバイダーとの通信に使用するスコープを追加します。'openid' を含める必要があります。追加のスコープはオプションです。

   7

   /userinfo エンドポイントを許可するか無効にするかを指定します。Azure Entra ID を使用する場合は、このフィールドを true に設定します。デフォルトは false です。

   8

   必須。認証エンジンのバッキンググループからチームメンバーシップを同期できるようにするかどうか。

   9

   オプション: 有効にすると、スーパーユーザー以外のユーザーもチームの同期を設定できます。

2. Red Hat Quay レジストリーを再起動します。

1. OIDC プロバイダー経由で Red Hat Quay レジストリーにログインします。
2. Red Hat Quay v2 UI ダッシュボードで、Create Organization をクリックします。
3. 組織名を入力します (例: test-org)。
4. 組織の名前をクリックします。
5. ナビゲーションウィンドウで、Teams and membership をクリックします。
6. Create new team をクリックし、testteam などの名前を入力します。

7. Create team ポップアップで、以下を実行します。

   1. オプション: このチームをリポジトリーに追加します。
   2. ユーザーのアカウント名を入力して、チームメンバー (例: user1) を追加します。
   3. このチームにロボットアカウントを追加します。このページでは、ロボットアカウントを作成するオプションが提供されます。
8. Next をクリックします。
9. Review and Finish ページで、入力した情報を確認し、Review and Finish をクリックします。
10. Red Hat Quay OIDC デプロイメントのチーム同期を有効にするには、Teams and membership ページで Enable Directory Sync をクリックします。

11. OIDC オーセンティケーターが Azure Entra ID の場合はグループオブジェクト ID を入力するように求められ、別のプロバイダーを使用している場合はグループ名を入力するように求められます。ポップアップのメッセージに注意してください。

    警告

    チーム同期を有効にすると、すでにチームに所属しているユーザーのメンバーシップは取り消されることに注意してください。OIDC グループが信頼できる唯一の情報源となります。これは元に戻すことができないアクションです。Quay 内からのチームのユーザーメンバーシップは読み取り専用になります。

12. Enable Sync をクリックします。

13. Teams and membership ページに戻ります。このチームのユーザーは削除され、ログインし直すと、再度追加されることに注意してください。この段階では、ロボットアカウントのみがまだチームの一部です。

    ページ上部のバナーでチームが同期されていることを確認します。

    This team is synchronized with a group in OIDC and its user membership is therefore read-only.

    Directory Synchronization Config アコーディオンをクリックすると、デプロイメントが同期されている OIDC グループが表示されます。

14. Red Hat Quay レジストリーからログアウトし、検証手順に進みます。

1. Red Hat Quay レジストリーに再度ログインします。
2. Organizations → test-org → test-team Teams and memberships をクリックします。これで、user1 がこのチームのチームメンバーとして表示されます。

1. OIDC プロバイダーの管理コンソールに移動します。
2. OIDC プロバイダーの Users ページに移動します。このページの名前はプロバイダーによって異なります。
3. Red Hat Quay に関連付けられているユーザーの名前 (例: user1) をクリックします。
4. 設定されたアイデンティティープロバイダーのグループからユーザーを削除します。
5. ユーザーからアクセス権限を削除または割り当て解除します。
6. Red Hat Quay レジストリーにログインします。
7. Organizations → test-org → test-team Teams and memberships をクリックします。user1 はこのチームから削除されました。

手順

1. 次の config.yaml 設定を使用して Red Hat Quay 3.9 をデプロイします。

   FEATURE_QUOTA_MANAGEMENT: true
   FEATURE_GARBAGE_COLLECTION: true
   PERMANENTLY_DELETE_TAGS: true
   QUOTA_TOTAL_DELAY_SECONDS: 1800 1
   RESET_CHILD_MANIFEST_EXPIRATION: true

   1

   QUOTA_TOTAL_DELAY_SECONDS フラグのデフォルトは 1800 秒、つまり 30 分です。これにより、クォータ管理機能がプッシュされたすべての Blob のストレージ消費量の計算を開始する前に、Red Hat Quay 3.9 を正常にデプロイできます。このフラグをこれより小さい数値に設定すると、計算ミスが発生する可能性があります。Red Hat Quay デプロイメントの開始にかかる時間よりも大きな数値に設定する 必要があります。推奨設定は 1800 ですが、開始に 30 分以上かかる大規模なデプロイメントの場合は、1800 よりも長い時間が必要になる場合があります。

2. Red Hat Quay UI に移動し、組織の名前をクリックします。
3. Total Quota Consumed は 0.00 KB と表示されるはずです。さらに、Backfill Queued インジケーターが存在する必要があります。
4. 割り当てられた時間 (たとえば 30 分) が経過したら、Red Hat Quay デプロイメントページを更新し、組織に戻ります。これで、Total Quota Consumed が表示されるはずです。

手順

1. 次の config.yaml 設定を使用して Red Hat Quay 3.9 をデプロイします。

   FEATURE_GARBAGE_COLLECTION: true
   FEATURE_QUOTA_MANAGEMENT: true
   QUOTA_BACKFILL: false
   QUOTA_TOTAL_DELAY_SECONDS: 0
   PERMANENTLY_DELETE_TAGS: true
   RESET_CHILD_MANIFEST_EXPIRATION: true

2. Red Hat Quay UI に移動し、組織の名前をクリックします。
3. Total Quota Consumed は 0.00 KB と表示されるはずです。

4. Red Hat Quay を再デプロイし、QUOTA_BACKFILL フラグを true に設定します。以下に例を示します。

   QUOTA_BACKFILL: true

   注記

   合計を計算した後にクォータ管理を無効にすると、Red Hat Quay はその合計を古いものとしてマークします。後でクォータ管理機能を再度有効にすると、該当する名前空間とリポジトリーがバックフィルワーカーによって再計算されます。

手順

1. config.yaml ファイルで PERMANENTLY_DELETE_TAGS および RESET_CHILD_MANIFEST_EXPIRATION パラメーターが true に設定されていることを確認してください。以下に例を示します。

   PERMANENTLY_DELETE_TAGS: true
   RESET_CHILD_MANIFEST_EXPIRATION: true

2. ナビゲーションペインで、Repositories をクリックします。
3. リポジトリーの名前 (例: quayadmin/busybox) をクリックします。
4. 削除するイメージタグのボックスをオンにします (例: test)。

5. Actions → Permanently Delete をクリックします。

   重要

   このアクションは永続的であり、元に戻すことはできません。

手順

1. config.yaml ファイルで PERMANENTLY_DELETE_TAGS および RESET_CHILD_MANIFEST_EXPIRATION パラメーターが true に設定されていることを確認してください。以下に例を示します。

   PERMANENTLY_DELETE_TAGS: true
   RESET_CHILD_MANIFEST_EXPIRATION: true

2. Red Hat Quay UI で、Repositories をクリックし、削除するイメージタグを含むリポジトリーの名前 (例: quayadmin/busybox) をクリックします。
3. ナビゲーションウィンドウで、Tags をクリックします。
4. 削除するタグの名前のボックスをオンにします (例: test)。
5. Actions ドロップダウンメニューをクリックし、Delete Tags → Delete Tags を選択します。
6. ナビゲーションペインで Tag History をクリックします。

7. 削除したばかりのタグの名前 (例: test) で、Delete test カテゴリーの下にある Permanently Delete をクリックします。以下に例を示します。

   イメージタグを完全に削除します

   

   重要

   このアクションは永続的であり、元に戻すことはできません。

手順

1. config.yaml ファイルを更新して、DEFAULT_NAMESPACE_AUTOPRUNE_POLICY 設定フィールドを追加します。

   1. 指定したタグの数まで作成日順に最も古いタグを削除するポリシーメソッドを設定するには、number_of_tags メソッドを使用します。

      # ...
      DEFAULT_NAMESPACE_AUTOPRUNE_POLICY:
        method: number_of_tags
        value: 2 1
      # ...

      1

      この場合、2 つのタグが残ります。

   2. 指定した期間 (たとえば 5d) よりも作成日が古いタグを削除するポリシーメソッドを設定するには、creation_date メソッドを使用します。

      DEFAULT_NAMESPACE_AUTOPRUNE_POLICY:
        method: creation_date
        value: 5d

2. Red Hat Quay デプロイメントを再起動します。

3. オプション: この機能をテストするためにイメージにタグを付けてプッシュする必要がある場合、以下を実行します。

   1. Red Hat Quay レジストリーにプッシュする 4 つのサンプルイメージにタグを付けます。以下に例を示します。

      $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test

      $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test2

      $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test3

      $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test4

   2. 次のコマンドを入力して、自動プルーニングを有効にした状態で 4 つのサンプルイメージをレジストリーにプッシュします。

      $ podman push <quay-server.example.com>/quayadmin/busybox:test

      $ podman push <quay-server.example.com>/<quayadmin>/busybox:test2

      $ podman push <quay-server.example.com>/<quayadmin>/busybox:test3

      $ podman push <quay-server.example.com>/<quayadmin>/busybox:test4

4. イメージのプッシュ先のレジストリーで 4 つのタグがあることを確認します。
5. デフォルトでは、レジストリーレベルの自動プルーナーワーカーが 24 時間ごとに実行されます。この手順を実行した場合、24 時間後に最も古い 2 つのイメージタグが削除され、test3 タグと test4 タグが残ります。Red Hat Quay 組織をチェックして、最も古い 2 つのタグが削除されていることを確認します。

手順

1. 自動プルーニングが有効なリポジトリーにプッシュする 4 つのサンプルイメージ (busybox など) にタグを付けます。以下に例を示します。

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test2

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test3

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<quayadmin>/busybox:test4

2. 次のコマンドを入力して、4 つのサンプルイメージ (busybox など) を自動プルーニングが有効なリポジトリーにプッシュします。

   $ podman push <quay-server.example.com>/quayadmin/busybox:test

   $ podman push <quay-server.example.com>/<quayadmin>/busybox:test2

   $ podman push <quay-server.example.com>/<quayadmin>/busybox:test3

   $ podman push <quay-server.example.com>/<quayadmin>/busybox:test4

3. リポジトリーに 4 つのタグがあることを確認します。
4. Red Hat Quay v2 UI で、ナビゲーションペインの Organizations をクリックします。
5. 自動プルーニング機能を適用する組織の名前を選択します (例: test_organization)。
6. Settings をクリックします。

7. Auto-Prune Policies をクリックします。以下に例を示します。

   

8. ドロップダウンメニューをクリックして、目的のポリシー (By number of tags など) を選択します。
9. 保持するタグの数を選択します。デフォルトでは、これは 20 タグに設定されています。この例では、保持するタグの数は 3 に設定されています。
10. Save をクリックします。自動プルーニングポリシーが更新されたという通知が表示されます。

手順

1. 次の POST コマンドを入力して、組織内で許可するタグの数を制限する新しいポリシーを作成します。

   $ curl -X POST -H "Authorization: Bearer <access_token>" -H "Content-Type: application/json" -d '{"method": "number_of_tags", "value": 10}' http://<quay-server.example.com>/api/v1/organization/<organization_name>/autoprunepolicy/

   または、タグの作成日から指定期間が経過すると期限切れになるようにタグを設定することもできます。

   $ curl -X POST -H "Authorization: Bearer <access_token>" -H "Content-Type: application/json" -d '{
   "method": "creation_date", "value": "7d"}' http://<quay-server.example.com>/api/v1/organization/<organization_name>/autoprunepolicy/

   出力例

   {"uuid": "73d64f05-d587-42d9-af6d-e726a4a80d6e"}

   重複したポリシーを作成しようとすると、次のエラーが返されます。

   {"detail": "Policy for this namespace already exists, delete existing to create new policy", "error_message": "Policy for this namespace already exists, delete existing to create new policy", "error_type": "invalid_request", "title": "invalid_request", "type": "http://<quay-server.example.com>/api/v1/error/invalid_request", "status": 400}

2. 次のコマンドを入力して、自動プルーニングポリシーを確認します。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/organization/<organization_name>/autoprunepolicy/

   出力例

   {"policies": [{"uuid": "73d64f05-d587-42d9-af6d-e726a4a80d6e", "method": "creation_date", "value": "7d"}]}

3. 次のコマンドを入力すると、自動プルーニングポリシーを削除できます。ポリシーを削除するには UUID が必要であることに注意してください。

   $ curl -X DELETE -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/organization/<organization_name>/autoprunepolicy/73d64f05-d587-42d9-af6d-e726a4a80d6e

手順

1. 次の POST コマンドを入力して、現在のユーザーのタグ数を制限する新しいポリシーを作成します。

   $ curl -X POST -H "Authorization: Bearer <access_token>" -H "Content-Type: application/json" -d '{"method": "number_of_tags", "value": 10}' http://<quay-server.example.com>/api/v1/<user>/autoprunepolicy/

   出力例

   {"uuid": "8c03f995-ca6f-4928-b98d-d75ed8c14859"}

2. 次のコマンドを入力して、自動プルーニングポリシーを確認します。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/<user>/autoprunepolicy/8c03f995-ca6f-4928-b98d-d75ed8c14859

   または、UUID を含めることもできます。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/<user>/autoprunepolicy/

   出力例

   {"policies": [{"uuid": "8c03f995-ca6f-4928-b98d-d75ed8c14859", "method": "number_of_tags", "value": 10}]}

3. 次のコマンドを入力すると、自動プルーニングポリシーを削除できます。ポリシーを削除するには UUID が必要であることに注意してください。

   $ curl -X DELETE -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/<user>/autoprunepolicy/8c03f995-ca6f-4928-b98d-d75ed8c14859

   出力例

   {"uuid": "8c03f995-ca6f-4928-b98d-d75ed8c14859"}

手順

1. 自動プルーニングが有効なリポジトリーにプッシュする 4 つのサンプルイメージ (busybox など) にタグを付けます。以下に例を示します。

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<organization_name>/<repository_name>:test

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<organization_name>/<repository_name>:test2

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<organization_name>/<repository_name>:test3

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<organization_name>/<repository_name>:test4

2. 次のコマンドを入力して、4 つのサンプルイメージ (busybox など) を自動プルーニングが有効なリポジトリーにプッシュします。

   $ podman push <quay-server.example.com>/<organization_name>/<repository_name>:test

   $ podman push <quay-server.example.com>/<organization_name>/<repository_name>:test2

   $ podman push <quay-server.example.com>/<organization_name>/<repository_name>:test3

   $ podman push <quay-server.example.com>/<organization_name>/<repository_name>:test4

3. リポジトリーに 4 つのタグがあることを確認します。
4. Red Hat Quay v2 UI のナビゲーションペインで Repository をクリックします。
5. 自動プルーニング機能を適用する組織の名前を選択します (例: <organization_name>/<repository_name>)。
6. Settings をクリックします。
7. Repository Auto-Prune Policies をクリックします。
8. ドロップダウンメニューをクリックして、目的のポリシー (By number of tags など) を選択します。
9. 保持するタグの数を選択します。デフォルトでは、これは 20 タグに設定されています。この例では、保持するタグの数は 3 に設定されています。
10. Save をクリックします。自動プルーニングポリシーが更新されたという通知が表示されます。

手順

1. 次の POST コマンドを入力して、組織内で許可するタグの数を制限する新しいポリシーを作成します。

   $ curl -X POST -H "Authorization: Bearer <access_token>" -H "Content-Type: application/json" -d '{"method": "number_of_tags","value": 2}' http://<quay-server.example.com>/api/v1/repository/<organization_name>/<repository_name>/autoprunepolicy/

   または、タグの作成日から指定期間が経過すると期限切れになるようにタグを設定することもできます。

   $ curl -X POST -H "Authorization: Bearer <access_token>" -H "Content-Type: application/json" -d '{"method": "creation_date", "value": "7d"}' http://<quay-server.example.com>/api/v1/repository/<organization_name>/<repository_name>/autoprunepolicy/

   出力例

   {"uuid": "ce2bdcc0-ced2-4a1a-ac36-78a9c1bed8c7"}

   重複したポリシーを作成しようとすると、次のエラーが返されます。

   {"detail": "Policy for this namespace already exists, delete existing to create new policy", "error_message": "Policy for this namespace already exists, delete existing to create new policy", "error_type": "invalid_request", "title": "invalid_request", "type": "http://quay-server.example.com/api/v1/error/invalid_request", "status": 400}

2. 次のコマンドを入力して、自動プルーニングポリシーを確認します。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/repository/<organization_name>/<repository_name>/autoprunepolicy/

   または、UUID を含めることもできます。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/repository/<organization_name>/<repository_name>/autoprunepolicy/ce2bdcc0-ced2-4a1a-ac36-78a9c1bed8c7

   出力例

   {"policies": [{"uuid": "ce2bdcc0-ced2-4a1a-ac36-78a9c1bed8c7", "method": "number_of_tags", "value": 10}]}

3. 次のコマンドを入力すると、自動プルーニングポリシーを削除できます。ポリシーを削除するには UUID が必要であることに注意してください。

   $ curl -X DELETE -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/repository/<organization_name>/<repository_name>/autoprunepolicy/ce2bdcc0-ced2-4a1a-ac36-78a9c1bed8c7

   出力例

   {"uuid": "ce2bdcc0-ced2-4a1a-ac36-78a9c1bed8c7"}

手順

1. 次の POST コマンドを入力して、現在のユーザーのタグ数を制限する新しいポリシーを作成します。

   $ curl -X POST -H "Authorization: Bearer <access_token>" -H "Content-Type: application/json" -d '{"method": "number_of_tags","value": 2}' http://<quay-server.example.com>/api/v1/repository/<user_account>/<user_repository>/autoprunepolicy/

   出力例

   {"uuid": "7726f79c-cbc7-490e-98dd-becdc6fefce7"}

2. 次のコマンドを入力して、自動プルーニングポリシーを確認します。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/repository/<user_account>/<user_repository>/autoprunepolicy/

   または、UUID を含めることもできます。

   $ curl -X GET -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/repository/<user_account>/<user_repository>/autoprunepolicy/7726f79c-cbc7-490e-98dd-becdc6fefce7

   出力例

   {"policies": [{"uuid": "7726f79c-cbc7-490e-98dd-becdc6fefce7", "method": "number_of_tags", "value": 2}]}

3. 次のコマンドを入力すると、自動プルーニングポリシーを削除できます。ポリシーを削除するには UUID が必要であることに注意してください。

   $ curl -X DELETE -H "Authorization: Bearer <access_token>" http://<quay-server.example.com>/api/v1/user/autoprunepolicy/7726f79c-cbc7-490e-98dd-becdc6fefce7

   出力例

   {"uuid": "7726f79c-cbc7-490e-98dd-becdc6fefce7"}

手順

1. config.yaml ファイルを更新して、データのレプリケート先のストレージエンジンを含めます。使用するすべてのストレージエンジンをリストする必要があります。

   # ...
   FEATURE_STORAGE_REPLICATION: true
   # ...
   DISTRIBUTED_STORAGE_CONFIG:
       usstorage:
           - RHOCSStorage
           - access_key: <access_key>
             bucket_name: <example_bucket>
             hostname: my.noobaa.hostname
             is_secure: false
             port: "443"
             secret_key: <secret_key>
             storage_path: /datastorage/registry
       eustorage:
           - S3Storage
           - host: s3.amazon.com
             port: "443"
             s3_access_key: <access_key>
             s3_bucket: <example bucket>
             s3_secret_key: <secret_key>
             storage_path: /datastorage/registry
   DISTRIBUTED_STORAGE_DEFAULT_LOCATIONS: []
   DISTRIBUTED_STORAGE_PREFERENCE:
       - usstorage
       - eustorage
   # ...

2. オプション: すべてのイメージをすべてのストレージエンジンに完全にレプリケートする必要がある場合は、DISTRIBUTED_STORAGE_DEFAULT_LOCATIONS フィールドを手動で設定すると、イメージをストレージエンジンにレプリケートできます。これにより、すべてのイメージがそのストレージエンジンにレプリケートされます。以下に例を示します。

   # ...
   DISTRIBUTED_STORAGE_DEFAULT_LOCATIONS:
       - usstorage
       - eustorage
   # ...

   注記

   名前空間ごとのレプリケーションを有効にするには、Red Hat Quay サポートにお問い合わせください。

3. ストレージを追加して Geo レプリケーションの Replicate to storage engine by default を有効にした後、すべてのストレージで既存のイメージデータを同期する必要があります。これを行うには、次のコマンドを実行してコンテナー内で実行する必要があります。

   $ podman exec -it <container_id>

4. 新しいストレージを追加した後にコンテンツを同期するために、次のコマンドを入力します。

   # scl enable python27 bash

   # python -m util.backfillreplication

   注記

   この操作は、新しいストレージを追加した後にコンテンツを同期するための 1 回限りの操作です。

1. config.yaml を Red Hat Quay を実行しているすべてのマシンにコピーします。

2. 各リージョンの各マシンは、マシンが稼働しているリージョンの優先ストレージエンジンを持つ QUAY_DISTRIBUTED_STORAGE_PREFERENCE 環境変数を追加します。

   たとえば、ヨーロッパで稼働しているマシンで、ホスト上の config ディレクトリーが $QUAY/config から利用できる場合です。

   $ sudo podman run -d --rm -p 80:8080 -p 443:8443  \
      --name=quay \
      -v $QUAY/config:/conf/stack:Z \
      -e QUAY_DISTRIBUTED_STORAGE_PREFERENCE=europestorage \
      registry.redhat.io/quay/quay-rhel8:v3.12.0

   注記

   指定された環境変数の値は、コンフィグパネルで定義されたロケーション ID の名前と一致する必要があります。

3. すべての Red Hat Quay コンテナーを再起動します。

手順

1. 次のコマンドを実行して、定義されたすべてのサイト間で Blob を同期します。

   $ python -m util.backfillreplication

   警告

   Red Hat Quay config.yaml ファイルからストレージエンジンを削除する前に、定義されているすべてのサイト間ですべての Blob が同期されていることを確認する 必要があります。続行する前に、この手順を完了してください。

2. サイト usstorage の Red Hat Quay config.yaml ファイルで、eustorage サイトの DISTRIBUTED_STORAGE_CONFIG エントリーを削除します。

3. 次のコマンドを入力して、実行中のコンテナーのリストを取得します。

   $ podman ps

   出力例

   CONTAINER ID  IMAGE                                                                     COMMAND         CREATED         STATUS             PORTS                                        NAMES
   92c5321cde38  registry.redhat.io/rhel8/redis-5:1                                        run-redis       11 days ago     Up 11 days ago     0.0.0.0:6379->6379/tcp                       redis
   4e6d1ecd3811  registry.redhat.io/rhel8/postgresql-13:1-109                              run-postgresql  33 seconds ago  Up 34 seconds ago  0.0.0.0:5432->5432/tcp                       postgresql-quay
   d2eadac74fda  registry-proxy.engineering.redhat.com/rh-osbs/quay-quay-rhel8:v3.9.0-131  registry        4 seconds ago   Up 4 seconds ago   0.0.0.0:80->8080/tcp, 0.0.0.0:443->8443/tcp  quay

4. 次のコマンドを入力して、PostgreSQL コンテナー内でシェルを実行します。

   $ podman exec -it postgresql-quay -- /bin/bash

5. 次のコマンドを実行して psql を入力します。

   bash-4.4$ psql

6. 次のコマンドを入力して、geo レプリケートされたデプロイメント内のサイトのリストを表示します。

   quay=# select * from imagestoragelocation;

   出力例

    id |       name
   ----+-------------------
     1 | usstorage
     2 | eustorage

7. 次のコマンドを入力して postgres CLI を終了し、bash-4.4 に再度入ります。

   \q

8. 次のコマンドを入力して、eustorage サイトを完全に削除します。

   重要

   次の操作は元に戻すことができません。注意して使用してください。

   bash-4.4$ python -m util.removelocation eustorage

   出力例

   WARNING: This is a destructive operation. Are you sure you want to remove eustorage from your storage locations? [y/n] y
   Deleted placement 30
   Deleted placement 31
   Deleted placement 32
   Deleted placement 33
   Deleted location eustorage

手順

1. Red Hat Quay の postgres インスタンスをデプロイします。

2. 次のコマンドを入力してデータベースにログインします。

   psql -U <username> -h <hostname> -p <port> -d <database_name>

3. quay という名前で Red Hat Quay のデータベースを作成します。以下に例を示します。

   CREATE DATABASE quay;

4. データベース内で pg_trm 拡張機能を有効にします。

   \c quay;
   CREATE EXTENSION IF NOT EXISTS pg_trgm;

5. Redis インスタンスをデプロイします。

   注記
   • クラウドプロバイダーに独自のサービスが含まれている場合は、Redis インスタンスをデプロイする必要がない可能性があります。
   • Builder を利用している場合は、Redis インスタンスをデプロイする必要があります。
   1. Redis 用の VM をデプロイします。
   2. Red Hat Quay が実行されているクラスターからアクセスできることを確認します。
   3. ポート 6379/TCP が開いている必要があります。

   4. インスタンス内で Redis を実行します。

      sudo dnf install -y podman
      podman run -d --name redis -p 6379:6379 redis

6. クラスターごとに 1 つずつ、2 つのオブジェクトストレージバックエンドを作成します。1 つのオブジェクトストレージバケットが最初のクラスター (プライマリークラスター) の近くにあり、もう 1 つが 2 番目のクラスター (セカンダリークラスター) の近くにあると理想的です。
7. 環境変数のオーバーライドを使用して、同じ設定バンドルでクラスターをデプロイし、個々のクラスターに適切なストレージバックエンドを選択します。
8. クラスターへの単一のエントリーポイントを提供するように、ロードバランサーを設定します。

手順

1. 次のコマンドを実行して、定義されたすべてのサイト間で Blob を同期します。

   $ python -m util.backfillreplication

   警告

   Red Hat Quay config.yaml ファイルからストレージエンジンを削除する前に、定義されているすべてのサイト間ですべての Blob が同期されていることを確認する 必要があります。

   このコマンドを実行すると、レプリケーションワーカーによって取得されるレプリケーションジョブが作成されます。レプリケートする必要がある Blob がある場合、スクリプトはレプリケートされる Blob の UUID を返します。このコマンドを複数回実行したときに、スクリプトから返された出力が空であっても、レプリケーションプロセスが完了したことを意味するわけではありません。それはレプリケーションのためにキューに入れる Blob が残っていないことを意味します。レプリケーションにかかる割り当て時間は検出された Blob の数によって異なるため、次のステップに進む前に適切に評価してください。

   または、Microsoft Azure などのサードパーティーのクラウドツールを使用して、同期ステータスを確認することもできます。

   このステップは次に進む前に完了する必要があります。

2. サイト usstorage の Red Hat Quay config.yaml ファイルで、eustorage サイトの DISTRIBUTED_STORAGE_CONFIG エントリーを削除します。

3. 次のコマンドを入力して、Quay アプリケーション Pod を識別します。

   $ oc get pod -n <quay_namespace>

   出力例

   quay390usstorage-quay-app-5779ddc886-2drh2
   quay390eustorage-quay-app-66969cd859-n2ssm

4. 以下のコマンドを入力して、usstorage Pod でインタラクティブシェルセッションを開きます。

   $ oc rsh quay390usstorage-quay-app-5779ddc886-2drh2

5. 次のコマンドを入力して、eustorage サイトを完全に削除します。

   重要

   次の操作は元に戻すことができません。注意して使用してください。

   sh-4.4$ python -m util.removelocation eustorage

   出力例

   WARNING: This is a destructive operation. Are you sure you want to remove eustorage from your storage locations? [y/n] y
   Deleted placement 30
   Deleted placement 31
   Deleted placement 32
   Deleted placement 33
   Deleted location eustorage

手順

1. Red Hat Quay レジストリーがすぐに利用できる場合は、Quay レジストリーコンテナー内でサービスキーを生成できます。

   1. Quay コンテナー内にキーペアを生成するには、次のコマンドを入力します。

      $ podman exec quay python3 tools/generatekeypair.py quay-readonly

2. Red Hat Quay がすぐに利用できない場合は、仮想環境内でサービスキーを生成する必要があります。

   1. Red Hat Quay デプロイメントのディレクトリーに移動し、そのディレクトリー内に仮想環境を作成します。

      $ cd <$QUAY>/quay && virtualenv -v venv

   2. 次のコマンドを入力して仮想環境をアクティブ化します。

      $ source venv/bin/activate

   3. オプション: pip CLI ツールがインストールされていない場合はインストールします。

      $ venv/bin/pip install --upgrade pip

   4. Red Hat Quay ディレクトリーに、次の内容を含む requirements-generatekeys.txt ファイルを作成します。

      $ cat << EOF > requirements-generatekeys.txt
      cryptography==3.4.7
      pycparser==2.19
      pycryptodome==3.9.4
      pycryptodomex==3.9.4
      pyjwkest==1.4.2
      PyJWT==1.7.1
      Authlib==1.0.0a2
      EOF

   5. 次のコマンドを入力して、requirements-generatekeys.txt ファイルで定義した Python 依存関係をインストールします。

      $ venv/bin/pip install -r requirements-generatekeys.txt

   6. 次のコマンドを入力して、必要なサービスキーを作成します。

      $ PYTHONPATH=. venv/bin/python /<path_to_cloned_repo>/tools/generatekeypair.py quay-readonly

      出力例

      Writing public key to quay-readonly.jwk
      Writing key ID to quay-readonly.kid
      Writing private key to quay-readonly.pem

   7. 次のコマンドを入力して、仮想環境を非アクティブ化します。

      $ deactivate

手順

1. 次のコマンドを入力して、Red Hat Quay データベース環境に入ります。

   $ podman exec -it postgresql-quay psql -U postgres -d quay

2. 次のコマンドを入力して、servicekeyapproval の承認タイプと関連する注記を表示します。

   quay=# select * from servicekeyapproval;

   出力例

    id | approver_id |          approval_type           |       approved_date        | notes
   ----+-------------+----------------------------------+----------------------------+-------
     1 |             | ServiceKeyApprovalType.AUTOMATIC | 2024-05-07 03:47:48.181347 |
     2 |             | ServiceKeyApprovalType.AUTOMATIC | 2024-05-07 03:47:55.808087 |
     3 |             | ServiceKeyApprovalType.AUTOMATIC | 2024-05-07 03:49:04.27095  |
     4 |             | ServiceKeyApprovalType.AUTOMATIC | 2024-05-07 03:49:05.46235  |
     5 |           1 | ServiceKeyApprovalType.SUPERUSER | 2024-05-07 04:05:10.296796 |
   ...

3. 次のクエリーを入力して、Red Hat Quay データベースにサービスキーを追加します。

   quay=# INSERT INTO servicekey
     (name, service, metadata, kid, jwk, created_date, expiration_date)
     VALUES ('quay-readonly',
              'quay',
              '{}',
              '{<contents_of_.kid_file>}',
              '{<contents_of_.jwk_file>}',
              '{<created_date_of_read-only>}',
              '{<expiration_date_of_read-only>}');

   出力例

   INSERT 0 1

4. 次のクエリーを使用してキー承認を追加します。

   quay=# INSERT INTO servicekeyapproval ('approval_type', 'approved_date', 'notes')
     VALUES ("ServiceKeyApprovalType.SUPERUSER", "CURRENT_DATE",
              {include_notes_here_on_why_this_is_being_added});

   出力例

   INSERT 0 1

5. 作成されたサービスキー行の authorization_id フィールドを、作成されたサービスキー承認の id フィールドに設定します。必要な ID を取得するには、次の SELECT ステートメントを使用できます。

   UPDATE servicekey
   SET approval_id = (SELECT id FROM servicekeyapproval WHERE approval_type = 'ServiceKeyApprovalType.SUPERUSER')
   WHERE name = 'quay-readonly';

   UPDATE 1

手順

1. すべての仮想マシン上のすべての Red Hat Quay インスタンスをシャットダウンします。以下に例を示します。

   $ podman stop <quay_container_name_on_virtual_machine_a>

   $ podman stop <quay_container_name_on_virtual_machine_b>

2. 次のコマンドを入力して、quay-readonly.kid ファイルと quay-readonly.pem ファイルの内容を、Red Hat Quay 設定バンドルが格納されているディレクトリーにコピーします。

   $ cp quay-readonly.kid quay-readonly.pem $Quay/config

3. 次のコマンドを入力して、設定バンドルフォルダー内のすべてのファイルに対するファイル権限を設定します。

   $ setfacl -m user:1001:rw $Quay/config/*

4. Red Hat Quay config.yaml ファイルを変更し、次の情報を追加します。

   # ...
   REGISTRY_STATE: readonly
   INSTANCE_SERVICE_KEY_KID_LOCATION: 'conf/stack/quay-readonly.kid'
   INSTANCE_SERVICE_KEY_LOCATION: 'conf/stack/quay-readonly.pem'
   # ...

5. 新しい設定バンドルをすべての Red Hat Quay インスタンスに配布します。

6. 次のコマンドを入力して Red Hat Quay を起動します。

   $ podman run -d --rm -p 80:8080 -p 443:8443  \
      --name=quay-main-app \
      -v $QUAY/config:/conf/stack:Z \
      -v $QUAY/storage:/datastorage:Z \
      {productrepo}/{quayimage}:{productminv}

7. Red Hat Quay を起動すると、インスタンス内のバナーによって、Red Hat Quay が読み取り専用モードで実行されていることがユーザーに通知されます。プッシュが拒否され、405 エラーがログに記録されるはずです。次のコマンドを実行してこれをテストできます。

   $ podman push <quay-server.example.com>/quayadmin/busybox:test

   出力例

   613be09ab3c0: Preparing
   denied: System is currently read-only. Pulls will succeed but all write operations are currently suspended.

   Red Hat Quay デプロイメントを読み取り専用モードで実行すると、レジストリーの操作を安全に管理しながら、バックアップや復元などのアクションを実行できます。

8. オプション: 読み取り専用モードでの作業が完了したら、config.yaml ファイルから次の情報を削除して、通常の運用に戻すことができます。削除したら、Red Hat Quay デプロイメントを再起動します。

   # ...
   REGISTRY_STATE: readonly
   INSTANCE_SERVICE_KEY_KID_LOCATION: 'conf/stack/quay-readonly.kid'
   INSTANCE_SERVICE_KEY_LOCATION: 'conf/stack/quay-readonly.pem'
   # ...

   $ podman restart <container_id>

手順

1. ナビゲーションペインで Organization をクリックします。
2. Create Organization をクリックします。
3. Organization Name (testorg など) を入力します。
4. Create をクリックします。

手順

1. Organizations ページで、削除する組織の名前 (testorg など) を選択します。
2. More Actions ドロップダウンメニューをクリックします。

3. Delete をクリックします。

   注記

   Delete ページには、Search 入力ボックスがあります。このボックスを使用すると、ユーザーは特定の組織を検索して、削除が適切にスケジュールされていることを確認できます。たとえば、ユーザーが 10 の組織を削除していて、特定の組織が削除されたことを確認したい場合、Search 入力ボックスを使用して、その組織が削除対象としてマークされていることを確認できます。

4. ボックスに confirm と入力して、組織を完全に削除することを確定します。

5. Delete をクリックします。

   削除後、Organizations ページに戻ります。

   注記

   複数の組織を選択してから、More Actions → Delete をクリックすると、一度に複数の組織を削除できます。

手順

1. ナビゲーションペインで Repositories をクリックします。
2. Create Repository をクリックします。

3. 名前空間 (例: quayadmin) を選択し、リポジトリー名 (例: testrepo) を入力します。

   重要

   リポジトリー名には単語 * build * trigger * tag を使用しないでください。

   これらの単語をリポジトリー名に使用すると、ユーザーがリポジトリーにアクセスできなくなり、リポジトリーを完全に削除できなくなります。このようなリポジトリーを削除しようとすると、Failed to delete repository <repository_name>, HTTP404 - Not Found. エラーが返されます。

4. Create をクリックします。

   これで、サンプルリポジトリーが Repositories ページの下に表示されるはずです。

手順

1. v2 UI の Repositories ページで、削除するイメージの名前 (quay/admin/busybox など) をクリックします。
2. More Actions ドロップダウンメニューをクリックします。

3. Delete をクリックします。

   注記

   必要に応じて、Make Public または Make Private をクリックできます。

4. ボックスに confirm と入力してから、Delete をクリックします。
5. 削除後、Repositories ページに戻ります。

手順

1. 外部レジストリーからサンプルイメージをプルします。

   $ podman pull busybox

2. イメージにタグを付けます。

   $ podman tag docker.io/library/busybox quay-server.example.com/quayadmin/busybox:test

3. イメージをレジストリーにプッシュします。

   $ podman push quay-server.example.com/quayadmin/busybox:test

4. v2 UI の Repositories ページに移動し、イメージが適切にプッシュされていることを確認します。
5. イメージタグを選択し、Security Report ページに移動すると、セキュリティーの詳細を確認できます。

手順

1. v2 UI の Repositories ページで、削除するイメージの名前 (quay/admin/busybox など) をクリックします。
2. More Actions ドロップダウンメニューをクリックします。

3. Delete をクリックします。

   注記

   必要に応じて、Make Public または Make Private をクリックできます。

4. ボックスに confirm と入力してから、Delete をクリックします。
5. 削除後、Repositories ページに戻ります。

手順

1. Red Hat Quay v2 UI で、組織の名前をクリックします。
2. 組織のページで、Teams and membership をクリックします。
3. Create new team ボックスをクリックします。
4. Create team ポップアップウィンドウで、新しいチームの名前を入力します。
5. オプション: 新しいチームの説明を入力します。
6. Proceed をクリックします。新しいポップアップウィンドウが表示されます。
7. オプション: このチームをリポジトリーに追加し、権限を Read、Write、Admin、または None のいずれかに設定します。
8. オプション: チームメンバーまたはロボットアカウントを追加します。チームメンバーを追加するには、Red Hat Quay アカウントの名前を入力します。

9. 情報を確認し、Review and Finish をクリックします。新しいチームが Teams and membership ページに表示されます。ここから、縦の省略記号メニューをクリックし、次のオプションのいずれかを選択できます。

   • Manage Team Members。このページでは、すべてのメンバー、チームメンバー、ロボットアカウント、または招待したユーザーを表示できます。Add new member をクリックして、新しいチームメンバーを追加することもできます。
   • Set repository permissions。このページでは、リポジトリーの権限を Read、Write、Admin、または None のいずれかに設定できます。
   • Delete。このポップアップウィンドウでは、Delete をクリックしてチームを削除できます。

10. オプション: 次のオプションのいずれかをクリックすると、チーム、メンバー、コラボレーターに関する詳細情報が表示されます。

    • Team View。このメニューには、すべてのチーム名、メンバーの数、リポジトリーの数、および各チームのロールが表示されます。
    • Members View。このメニューには、チームメンバーのすべてのユーザー名、メンバーが属しているチーム、ユーザーのリポジトリー権限が表示されます。
    • Collaborators View。このメニューにはリポジトリーのコラボレーターが表示されます。コラボレーターは、組織内のどのチームにも属さないが、組織に属する 1 つ以上のリポジトリーに対する直接権限を持つユーザーです。

手順

1. v2 UI で、Organizations をクリックします。
2. ロボットアカウントを作成する組織の名前をクリックします (例: test-org)。
3. Robot accounts タブ → Create robot account をクリックします。
4. Provide a name for your robot account ボックスに、robot1 などの名前を入力します。

5. オプション: 必要に応じて、以下のオプションを使用できます。

   1. ロボットをチームに追加します。
   2. ロボットをリポジトリーに追加します。
   3. ロボットのパーミッションを調整します。

6. Review and finish ページで、入力した情報を確認してから、Review and finish をクリックします。Successfully created robot account with robot name: <organization_name> + <robot_name> というアラートが表示されます。

   また、別のロボットアカウントと同じ名前でロボットアカウントを作成しようとすると、Error creating robot account というエラーメッセージが表示される場合があります。

7. オプション: Expand または Collapse をクリックすると、ロボットアカウントの説明情報を表示できます。
8. オプション: 縦の省略記号メニュー → Set repository permissions をクリックして、ロボットアカウントのパーミッションを変更できます。Successfully updated repository permission というメッセージが表示されます。
9. オプション: ロボットアカウントを削除するには、ロボットアカウントのボックスをオンにし、ゴミ箱アイコンをクリックします。ポップアップボックスが表示されます。テキストボックスに confirm と入力してから Delete をクリックします。または、縦の省略記号メニュー → Delete をクリックできます。Successfully deleted robot account というメッセージが表示されます。

手順

1. 組織名をクリックします。
2. Default permissions をクリックします。
3. create default permissions をクリックします。切り替え式のドロワーが表示されます。

4. リポジトリーの作成時にデフォルトの権限を作成するには、Anyone または Specific user を選択します。

   1. Anyone を選択する場合は、次の情報を入力する必要があります。

      • Applied to。ユーザー/ロボット/チームを検索、招待、または追加します。
      • Permission。権限を Read、Write、または Admin のいずれかに設定します。

   2. Specific user を選択する場合は、次の情報を指定する必要があります。

      • Repository creator。ユーザーまたはロボットアカウントを指定します。
      • Applied to。ユーザー名、ロボットアカウント、またはチーム名を入力します。
      • Permission。権限を Read、Write、または Admin のいずれかに設定します。
5. Create default permission をクリックします。確認ボックスが表示され、Successfully created default permission for creator というアラートが返されます。

手順

1. v2 UI で、Organizations をクリックします。
2. ロボットアカウントを作成する組織の名前をクリックします (例: test-org)。
3. Settings タブをクリックします。
4. オプション: 組織に関連付けられたメールアドレスを入力します。

5. オプション: Time Machine 機能に割り当てられた時間を以下のいずれかに設定します。

   • 1 週間
   • 1 カ月
   • 1 年
   • なし
6. Save をクリックします。

手順

1. v2 UI で、Repositories をクリックします。
2. リポジトリーの名前をクリックします (例: quayadmin/busybox)。

3. タグの名前をクリックします (例: test)。タグの Details ページに移動します。このページには、次の情報が表示されます。

   • 名前
   • リポジトリー
   • ダイジェスト
   • 脆弱性
   • 作成
   • 修正済み
   • サイズ
   • ラベル
   • イメージタグの取得方法
4. オプション: Security Report をクリックして、タグの脆弱性を表示します。アドバイザリーの列を拡張して、CVE データを開くことができます。
5. オプション: Packages をクリックして、タグのパッケージを表示します。
6. リポジトリーの名前 (例: busybox) をクリックし、Tags ページに戻ります。
7. オプション: Pull アイコンの上にマウスをかざすと、タグの取得方法が表示されます。
8. タグのボックスまたは複数のタグにチェックを入れ、Actions ドロップダウンメニューをクリックしてから、Delete をクリックしてタグを削除します。ポップアップボックスの Delete をクリックして削除を確定します。

手順

1. v2 UI で、Repositories をクリックします。
2. リポジトリーの名前をクリックします (例: quayadmin/busybox)。
3. Settings タブをクリックします。
4. オプション: User and robot permissions をクリックします。Permissions のドロップダウンメニューオプションをクリックすると、ユーザーまたはロボットアカウントの設定を調整できます。設定を Read、Write、または Admin に変更できます。

5. オプション: Events and notifications をクリックします。Create Notification をクリックして、イベントおよび通知を作成できます。以下のイベントオプションを使用できます。

   • リポジトリーへのプッシュ
   • パッケージの脆弱性の検出
   • イメージビルドの失敗
   • イメージビルドのキューへの追加
   • イメージビルドの開始
   • イメージビルドの成功

   • イメージビルドのキャンセル

     次に、通知を発行します。以下のオプションを設定できます。

   • メール通知
   • Flowdock チーム通知
   • HipChat ルーム通知
   • Slack 通知

   • Webhook POST

     イベントオプションと通知方法を選択したら、Room ID #、Room Notification Token を追加し、Submit をクリックします。

6. オプション: Repository visibility をクリックします。Make Public をクリックして、リポジトリーをプライベートまたはパブリックにすることができます。
7. オプション: Delete repository をクリックします。Delete Repository をクリックして、リポジトリーを削除できます。