Red Hat Quay リリースノート

Red Hat Quay 3.13.1 のリリースにより、ストレージバックエンドとして Hitachi Content Platform (HCP) がサポートされるようになりました。これにより、組織は Red Hat Quay レジストリーのデプロイメント内で、スケーラブルで安全かつ信頼性の高いオブジェクトストレージとして HCP を活用できるようになります。

詳細は、HCP オブジェクトストレージ を参照してください。

オブジェクトストレージに Hitachi Content Platform を使用している場合、大きなレイヤーを持つイメージを Red Hat Quay レジストリーにプッシュしようとすると、次のエラーが発生します。

An error occurred (NoSuchUpload) when calling the CompleteMultipartUpload operation: The specified multipart upload does not exist. The upload ID might be invalid, or the multipart upload might have been aborted or completed.

これは既知の問題であり、Red Hat Quay の今後のバージョンで修正される予定です。

Red Hat Quay 3.10 のリリースに伴い、新しい自動プルーニング機能がリリースされました。この機能により、Red Hat Quay 管理者は、ユーザーと組織の両方の名前空間に自動プルーニングポリシーを設定して、指定した基準に基づいてイメージタグを自動的に削除できます。Red Hat Quay 3.11 では、この機能が強化され、指定のリポジトリーに自動プルーニングポリシーを設定できるようになりました。

Red Hat Quay 3.12 では、デフォルトの自動プルーニングポリシーが新規および既存の設定のレジストリーレベルで設定できるようになり、レジストリー全体のルールを適用することで Red Hat Quay 管理者の時間、労力、ストレージを節約できるようになりました。

Red Hat Quay 3.13 のリリースでは、自動プルーニング機能に次の機能強化が加えられました。

Red Hat Quay の以前のバージョンでは、ロボットアカウントトークンは、削除または再生成されない限り、トークンの有効期間中有効でした。有効期限のないトークンは、長期的なパスワードの保存や、削除、再生成、新規認証トークンを管理を望まないユーザーにとって、セキュリティー上の問題を引き起こす可能性があります。

Red Hat Quay 3.13 では、Red Hat Quay 管理者は Red Hat Quay ロボットアカウントトークンを外部 OIDC トークンと交換できるようになります。これにより、ロボットアカウントは 1 時間しか持続しない短命トークン、つまり 一時的なトークン を活用できるようになります。一時トークンは定期的に更新され、個々のトランザクションの認証に使用できます。

この機能により、トークンを 1 時間後に削除することで、ロボットトークンの漏洩の可能性を軽減し、Red Hat Quay レジストリーのセキュリティーが大幅に向上します。

詳細は、ロボットアカウントによるキーレス認証 を参照してください。

このリリースでは、Red Hat Quay と PostgreSQL 間の証明書ベースの認証のサポートが追加されました。これにより、Red Hat Quay 管理者は、PostgreSQL または CloudSQL を使用したクライアント側認証に使用できる独自の SSL/TLS 証明書を提供できるようになります。これにより、セキュリティーが強化され、Red Hat Quay レジストリーの自動化が容易になります。

詳細は、Red Hat Quay と SQL 間の証明書ベースの認証 を参照してください。

Red Hat Quay v2 UI に次の機能拡張が加えられました。

場合によっては、サービスキーの挿入やその他の手動での設定変更が必要になるため、Red Hat Quay の読み取り専用オプションは使用できないことがあります。Red Hat Quay 3.13 のリリースにより、新しい設定フィールド DISABLE_PUSHES が追加されました。

DISABLE_PUSHES が true に設定されている場合、ユーザーは CLI を使用するときにイメージまたはイメージタグをレジストリーにプッシュできません。Red Hat Quay UI を使用してこの機能を有効にすると、他のほとんどのレジストリー操作は通常どおり続行されます。たとえば、タグの変更、リポジトリーの編集、ロボットアカウントの作成と削除、ユーザーの作成などはすべて UI を使用して実行できます。

DISABLE_PUSHES が true に設定されていると、Red Hat Quay ガベージコレクターは無効になります。その結果、PERMANENTLY_DELETE_TAGS が有効になっていると、Red Hat Quay UI を使用してタグを永久に削除しても、タグはすぐに削除されません。代わりに、DISABLE_PUSHES が false に設定され、ガベージコレクターが再度有効になるまで、タグはリポジトリー内に残ります。Red Hat Quay 管理者は、DISABLE_PUSHES と PERMANENTLY_DELETE_TAGS を一緒に使用する場合、この項目に注意する必要があります。

このフィールドは、Red Hat Quay 管理者がレジストリーのクォータを計算し、計算が完了するまでイメージのプッシュを無効にしたい場合など、一部の状況で役立つ場合があります。この方法を使用すると、管理者はレジストリー全体を read-only モードにしてデータベースに影響を与えることを回避できるため、ほとんどの操作を引き続き実行できます。

# ...
DISABLE_PUSHES: true
# ...

tagPattern および tagPatternMatches API パラメーターが次の API エンドポイントに追加されました。

これらのフィールドにより、Red Hat Quay 管理者はプルーニングするイメージをより細かく制御できるようになり、自動プルーニング機能が強化されます。次の表に、これらのフィールドの説明を示します。

API コマンドの例は、Red Hat Quay 自動プルーニングの概要 を参照してください。

ロボットアカウント機能を使用したキーレス認証用に、次の API エンドポイントが追加されました。

HIGH イメージ脆弱性のある Suse Enterprise Linux イメージをプッシュする場合、Clair 4.8.0 はこれらの脆弱性を報告しません。これは既知の問題であり、Red Hat Quay の今後のバージョンで修正される予定です。

OpenShift Container Platform クラスターで FIPS モードが有効になっていて、Clair を使用している場合は、Red Hat Quay Operator をバージョン 3 にアップグレードしないでください。アップグレードすると、Clair はクラスター内で機能しなくなります。PROJQUAY-7982

自動プルーニング機能には、次の既知の問題が適用されます。

Red Hat Quay チームは、v2 UI に関する次の既知の問題を把握しています。