9.2. 이미지 레지스트리 설정 구성

절차

• 다음과 같이 project.config.openshift.io/cluster 사용자 정의 리소스를 편집합니다.

  $ oc edit image.config.openshift.io/cluster

  다음은 허용 목록을 포함한 image.config.openshift.io/cluster CR의 예입니다.

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  빌드 및 pod 이미지에 액세스하는 경우 컨테이너 런타임에서 개별 레지스트리를 처리하는 방법을 결정할 구성이 포함되어 있습니다. 내부 클러스터 레지스트리에 대한 구성은 포함되어 있지 않습니다.

  2

  이미지 가져오기 및 푸시 작업에 사용할 레지스트리를 지정하고 선택적으로 해당 레지스트리의 리포지토리를 지정합니다. 다른 모든 레지스트리는 차단됩니다.

  참고

  allowedRegistries 매개변수 또는 blockedRegistries 매개변수 중 하나를 설정할 수 있지만 둘 다 설정할 수는 없습니다.

  MCO(Machine Config Operator)는 image.config.openshift.io/cluster 리소스를 통해 레지스트리에 대한 변경 사항을 확인합니다. MCO가 변경 사항을 감지하면 MCP(머신 구성 풀)의 노드에서 롤아웃을 트리거합니다. 허용되는 레지스트리 목록은 각 노드의 /etc/containers/policy.json 파일에서 이미지 서명 정책을 업데이트하는 데 사용됩니다. /etc/containers/policy.json 파일을 변경하려면 노드가 드레이닝할 필요가 없습니다.

검증

• 다음 명령을 입력하여 노드 목록을 가져옵니다.

  $ oc get nodes

  출력 예

  NAME               STATUS   ROLES                  AGE   VERSION
  <node_name>        Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 다음 명령을 실행하여 노드에서 디버그 모드로 전환합니다.

     $ oc debug node/<node_name>

  2. 메시지가 표시되면 chroot /host 를 터미널에 입력합니다.

     sh-4.4# chroot /host

  3. 다음 명령을 입력하여 레지스트리가 정책 파일에 추가되었는지 확인합니다.

     sh-5.1# cat /etc/containers/policy.json | jq '.'

     다음 정책은 example.com, quay.io 및 registry.redhat.io 레지스트리의 이미지만 이미지 풀 및 푸시할 수 있음을 나타냅니다.

     예 9.1. 이미지 서명 정책 파일 예

     {
        "default":[
           {
              "type":"reject"
           }
        ],
        "transports":{
           "atomic":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker-daemon":{
              "":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           }
        }
     }

절차

• 다음과 같이 project.config.openshift.io/cluster 사용자 정의 리소스를 편집합니다.

  $ oc edit image.config.openshift.io/cluster

  다음은 차단 목록이 포함된 image.config.openshift.io/cluster 리소스의 예입니다.

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      blockedRegistries: 2
      - untrusted.com
      - reg1.io/myrepo/myapp:latest
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  빌드 및 pod 이미지에 액세스하는 경우 컨테이너 런타임에서 개별 레지스트리를 처리하는 방법을 결정할 구성이 포함되어 있습니다. 내부 클러스터 레지스트리에 대한 구성은 포함되어 있지 않습니다.

  2

  이미지 가져오기 및 푸시 작업에 사용해서는 안 되는 레지스트리를 지정하고 선택적으로 해당 레지스트리에서 리포지토리를 지정합니다. 다른 모든 레지스트리는 허용됩니다.

  참고

  blockedRegistries 레지스트리 또는 allowedRegistries 레지스트리 중 하나를 설정할 수 있지만 둘 다 설정할 수는 없습니다.

  MCO(Machine Config Operator)는 image.config.openshift.io/cluster 리소스를 통해 레지스트리에 대한 변경 사항을 확인합니다. MCO가 변경사항을 감지하면 노드를 비우고, 변경 사항을 적용한 다음 노드를 분리합니다. 노드가 Ready 상태가 되면 차단된 레지스트리에 대한 변경이 각 노드의 /etc/containers/registries.conf 파일에 표시됩니다.

검증

• 다음 명령을 입력하여 노드 목록을 가져옵니다.

  $ oc get nodes

  출력 예

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 다음 명령을 실행하여 노드에서 디버그 모드로 전환합니다.

     $ oc debug node/<node_name>

  2. 메시지가 표시되면 chroot /host 를 터미널에 입력합니다.

     sh-4.4# chroot /host

  3. 다음 명령을 입력하여 레지스트리가 정책 파일에 추가되었는지 확인합니다.

     sh-5.1# cat etc/containers/registries.conf

     다음 예에서는 untrusted.com 레지스트리의 이미지가 이미지 풀 및 푸시를 위해 비활성화되어 있음을 나타냅니다.

     출력 예

     unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
     
     [[registry]]
       prefix = ""
       location = "untrusted.com"
       blocked = true

절차

• 다음과 같이 project.config.openshift.io/cluster 사용자 정의 리소스를 편집합니다.

  $ oc edit image.config.openshift.io/cluster

  다음은 안전하지 않은 레지스트리 목록이있는 image.config.openshift.io/cluster CR의 예입니다.

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      insecureRegistries: 2
      - insecure.com
      - reg4.io/myrepo/myapp:latest
      allowedRegistries:
      - example.com
      - quay.io
      - registry.redhat.io
      - insecure.com 3
      - reg4.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  빌드 및 pod 이미지에 액세스하는 경우 컨테이너 런타임에서 개별 레지스트리를 처리하는 방법을 결정할 구성이 포함되어 있습니다. 내부 클러스터 레지스트리에 대한 구성은 포함되어 있지 않습니다.

  2

  안전하지 않은 레지스트리를 지정합니다. 해당 레지스트리에 리포지토리를 지정할 수 있습니다.

  3

  안전하지 않은 모든 레지스트리가 allowedRegistries 목록에 포함되어 있는지 확인합니다.

  참고

  allowedRegistries 매개변수가 정의되면 명시적으로 나열되지 않은 경우 registry.redhat.io 및 quay.io 레지스트리 및 기본 OpenShift 이미지 레지스트리를 포함한 모든 레지스트리가 차단됩니다. 이 매개변수를 사용하면 Pod 실패를 방지하기 위해 사용자 환경의 페이로드 이미지에서 필요한 registry.redhat.io 및 quay.io 레지스트리와 internalRegistryHostname 을 포함하여 모든 레지스트리를 allowedRegistries 목록에 추가합니다. 연결 해제된 클러스터의 경우 미러 레지스트리도 추가해야 합니다.

  MCO(Machine Config Operator)는 레지스트리에 대한 변경 사항이 있는지 image.config.openshift.io/clusterCR를 감시하고 변경 사항이 탐지되면 노드를 비우고 차단을 해제합니다. 노드가 Ready 상태가 되면 안전하지 않고 차단된 레지스트리에 대한 변경이 각 노드의 /etc/containers/registries.conf 파일에 표시됩니다.

검증

• 레지스트리가 정책 파일에 추가되었는지 확인하려면 노드에서 다음 명령을 사용하십시오.

  $ cat /etc/containers/registries.conf

  다음 예는 insecure.com 레지스트리의 이미지가 안전하지 않으며, 이미지 풀 및 푸시가 허용된다는 것을 나타냅니다.

  출력 예

  unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
  
  [[registry]]
    prefix = ""
    location = "insecure.com"
    insecure = true

절차

• 다음과 같이 project.config.openshift.io/cluster 사용자 정의 리소스를 편집합니다.

  $ oc edit image.config.openshift.io/cluster

  다음은 image.config.openshift.io/cluster CR의 예입니다.

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    allowedRegistriesForImport:
      - domainName: quay.io
        insecure: false
    additionalTrustedCA:
      name: myconfigmap
    registrySources:
      containerRuntimeSearchRegistries: 1
      - reg1.io
      - reg2.io
      - reg3.io
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io
      - reg2.io
      - reg3.io
      - image-registry.openshift-image-registry.svc:5000
  ...
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  이미지 단축 이름으로 사용할 레지스트리를 지정합니다. 가능한 보안 위험을 줄이기 위해 내부 또는 개인 레지스트리만 있는 이미지의 단축 이름을 사용해야 합니다.

  2

  containerRuntimeSearchRegistries에 나열된 모든 레지스트리가 allowedRegistries 목록에 포함되어 있는지 확인합니다.

  참고

  allowedRegistries 매개변수가 정의되면 명시적으로 나열되지 않은 경우 registry.redhat.io 및 quay.io 레지스트리 및 기본 OpenShift 이미지 레지스트리를 포함한 모든 레지스트리가 차단됩니다. 이 매개변수를 사용하는 경우 Pod 실패를 방지하기 위해 사용자 환경의 페이로드 이미지에서 필요한 registry.redhat.io 및 quay.io 레지스트리와 internalRegistryHostname 을 allowedRegistries 목록에 포함한 모든 레지스트리를 추가합니다. 연결 해제된 클러스터의 경우 미러 레지스트리도 추가해야 합니다.

검증

• 다음 명령을 입력하여 노드 목록을 가져옵니다.

  $ oc get nodes

  출력 예

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 다음 명령을 실행하여 노드에서 디버그 모드로 전환합니다.

     $ oc debug node/<node_name>

  2. 메시지가 표시되면 chroot /host 를 터미널에 입력합니다.

     sh-4.4# chroot /host

  3. 다음 명령을 입력하여 레지스트리가 정책 파일에 추가되었는지 확인합니다.

     sh-5.1# cat /etc/containers/registries.conf.d/01-image-searchRegistries.conf

     출력 예

     unqualified-search-registries = ['reg1.io', 'reg2.io', 'reg3.io']

사전 요구 사항

• 인증 기관(CA)은 PEM으로 인코딩되어야 합니다.

• 추가 CA를 구성하려면 다음을 실행합니다.

  $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

  $ oc edit image.config.openshift.io cluster

  spec:
    additionalTrustedCA:
      name: registry-config