20.2. 보안 그룹 구성

절차

1. 현재 config.yml 을 내보냅니다 :

   $ oc get secret registry-config \
       -o jsonpath='{.data.config\.yml}' -n default | base64 -d \
     >> config.yml.old

2. 이전 config.yml에서 새 구성 파일을 만듭니다.

   $ cp config.yml.old config.yml

3. S3 매개 변수를 포함하도록 파일을 편집합니다. 레지스트리 구성 파일의 스토리지 섹션에서 accountname, accountkey, 컨테이너 및 영역을 지정합니다.

   storage:
     delete:
       enabled: true
     cache:
       blobdescriptor: inmemory
     s3:
       accesskey: AKIAJ6VLREDHATSPBUA 1
       secretkey: g/8PmTYDQVGssFWWFvfawHpDbZyGkjGNZhbWQpjH 2
       region: us-east-1 3
       bucket: openshift-registry-storage 4
       encrypt: False
       secure: true
       v4auth: true
       rootdirectory: /registry 5
       chunksize: "26214400"

   1

   S3 버킷에 액세스할 권한이 있는 AWS 액세스 키로 바꿉니다.

   2

   정의된 AWS 액세스 키에 해당하는 시크릿 키입니다.

   3

   레지스트리로 사용할 S3 버킷의 이름입니다.

   4

   레지스트리에서 이미지와 메타데이터를 저장할 위치입니다. (기본값은 /registry)

4. registry-config 시크릿을 삭제합니다.

   $ oc delete secret registry-config -n default

5. 업데이트된 구성 파일을 참조하도록 보안을 다시 생성합니다.

   $ oc create secret generic registry-config \
       --from-file=config.yml -n default

6. 업데이트된 구성을 읽기 위해 레지스트리를 재배포합니다.

   $ oc rollout latest docker-registry -n default

절차

1. 레지스트리 배포가 완료되면 레지스트리 deploymentconfig 는 registry-storage를 AWS S3 대신 emptydir 로 설명하지만 AWS S3 버킷의 구성은 보안 docker-config 에 상주합니다. docker-config 시크릿은 레지스트리 오브젝트 스토리지에 AWS S3을 사용할 때 모든 매개 변수를 제공하는 REGISTRY_CONFIGURATION_PATH 에 마운트합니다.

   $ oc describe dc docker-registry -n default
   ...
       Environment:
         REGISTRY_HTTP_ADDR:					:5000
         REGISTRY_HTTP_NET:					tcp
         REGISTRY_HTTP_SECRET:					SPLR83SDsPaGbGuwSMDfnDwrDRvGf6YXl4h9JQrToQU=
         REGISTRY_MIDDLEWARE_REPOSITORY_OPENSHIFT_ENFORCEQUOTA:	false
         REGISTRY_HTTP_TLS_KEY:					/etc/secrets/registry.key
         OPENSHIFT_DEFAULT_REGISTRY:				docker-registry.default.svc:5000
         REGISTRY_CONFIGURATION_PATH:				/etc/registry/config.yml
         REGISTRY_OPENSHIFT_SERVER_ADDR:				docker-registry.default.svc:5000
         REGISTRY_HTTP_TLS_CERTIFICATE:				/etc/secrets/registry.crt
       Mounts:
         /etc/registry from docker-config (rw)
         /etc/secrets from registry-certificates (rw)
         /registry from registry-storage (rw)
     Volumes:
      registry-storage:
       Type:	EmptyDir (a temporary directory that shares a pod's lifetime) 1
       Medium:
      registry-certificates:
       Type:	Secret (a volume populated by a Secret)
       SecretName:	registry-certificates
       Optional:	false
      docker-config:
       Type:	Secret (a volume populated by a Secret)
       SecretName:	registry-config
       Optional:	false
   ....

   1

   Pod의 수명을 공유하는 임시 디렉터리입니다.

2. /registry 마운트 지점이 비어 있는지 확인합니다.

   $ oc exec \
       $(oc get pod -l deploymentconfig=docker-registry \
       -o=jsonpath='{.items[0].metadata.name}')  -i -t -- ls -l /registry
   total 0

   비어 있는 경우 S3 구성이 registry-config 보안에 정의되어 있기 때문입니다.

   $ oc describe secret registry-config
   Name:         registry-config
   Namespace:    default
   Labels:       <none>
   Annotations:  <none>
   
   Type:  Opaque
   
   Data
   ====
   config.yml:  398 bytes

3. 설치 프로그램에서 설치 설명서의 Storage 에 표시된 대로 확장 레지스트리 기능을 사용하여 원하는 구성으로 config.yml 파일을 생성합니다. 스토리지 버킷 구성이 저장된 storage 섹션을 포함하여 구성 파일을 보려면 다음을 수행합니다.

   $ oc exec \
       $(oc get pod -l deploymentconfig=docker-registry \
         -o=jsonpath='{.items[0].metadata.name}') \
     cat /etc/registry/config.yml
   
     version: 0.1
     log:
       level: debug
     http:
       addr: :5000
     storage:
       delete:
         enabled: true
       cache:
         blobdescriptor: inmemory
       s3:
         accesskey: AKIAJ6VLREDHATSPBUA
         secretkey: g/8PmTYDQVGssFWWFvfawHpDbZyGkjGNZhbWQpjH
         region: us-east-1
         bucket: openshift-registry-storage
         encrypt: False
         secure: true
         v4auth: true
         rootdirectory: /registry
         chunksize: "26214400"
     auth:
       openshift:
         realm: openshift
     middleware:
       registry:
       - name: openshift
       repository:
       - name: openshift
         options:
           pullthrough: true
           acceptschema2: true
           enforcequota: true
       storage:
       - name: openshift

   또는 시크릿을 볼 수 있습니다.

   $ oc get secret registry-config -o jsonpath='{.data.config\.yml}' | base64 -d
   version: 0.1
   log:
     level: debug
   http:
     addr: :5000
     storage:
       delete:
         enabled: true
       cache:
         blobdescriptor: inmemory
       s3:
         accesskey: AKIAJ6VLREDHATSPBUA
         secretkey: g/8PmTYDQVGssFWWFvfawHpDbZyGkjGNZhbWQpjH
         region: us-east-1
         bucket: openshift-registry-storage
         encrypt: False
         secure: true
         v4auth: true
         rootdirectory: /registry
         chunksize: "26214400"
   auth:
     openshift:
       realm: openshift
   middleware:
     registry:
     - name: openshift
     repository:
     - name: openshift
     options:
       pullthrough: true
       acceptschema2: true
       enforcequota: true
     storage:
     - name: openshift