11.4. 이미지 구성

이미지 레지스트리 설정을 이해하고 구성합니다.

11.4.1. 이미지 컨트롤러 구성 매개변수
링크 복사

image.config.openshift.io/cluster 리소스에는 이미지를 처리하는 방법에 대한 클러스터 전체 정보가 들어 있습니다. 유일하게 유효한 정식 이름은 cluster입니다. spec에서는 다음 구성 매개변수를 제공합니다.

참고

DisableScheduledImport,MaxImagesBulkImportedPerRepository,MaxScheduledImportsPerMinute,ScheduledImageImportMinimumIntervalSeconds,InternalRegistryHostname 과 같은 매개변수는 구성할 수 없습니다.

Expand

매개변수	설명
`allowedRegistriesForImport`	일반 사용자가 이미지를 가져올 수 있는 컨테이너 이미지 레지스트리를 제한합니다. 이 목록은 유효한 이미지를 포함한다고 신뢰할 수 있으며 애플리케이션을 가져올 수 있도록 하려는 레지스트리로 설정합니다. 이미지를 생성할 권한이 있는 사용자 또는 API의 `ImageStreamMappings`는 이 정책의 영향을 받지 않습니다. 일반적으로 클러스터 관리자에게만 적절한 권한이 있습니다. 이 목록의 모든 요소에는 레지스트리 도메인 이름으로 지정된 레지스트리 위치가 포함되어 있습니다. `domainName`: 레지스트리의 도메인 이름을 지정합니다. 레지스트리에서 비표준 `80` 또는 `443` 포트를 사용하는 경우 도메인 이름에도 포트가 포함되어야 합니다. `insecure`: 비보안은 레지스트리가 안전한지 안전하지 않은지를 나타냅니다. 달리 지정하지 않으면 기본적으로 레지스트리는 안전한 것으로 간주됩니다.
`additionalTrustedCA`	`ImageStream import`, `pod image pull`, `openshift-image-registry pullthrough` 및 빌드 중에 신뢰해야 하는 추가 CA가 포함된 구성 맵에 대한 참조입니다. 이 구성 맵의 네임스페이스는 `openshift-config`입니다. 구성 맵 형식에서는 신뢰할 추가 레지스트리 CA마다 레지스트리 호스트 이름을 키로 사용하고 PEM으로 인코딩된 인증서를 값으로 사용합니다.
`externalRegistryHostnames`	기본 외부 이미지 레지스트리의 호스트 이름을 제공합니다. 외부 호스트 이름은 이미지 레지스트리가 외부에 노출되는 경우에만 설정되어야 합니다. 첫 번째 값은 이미지 스트림의 `publicDockerImageRepository` 필드에서 사용됩니다. 값은 `hostname[:port]` 형식이어야 합니다.
`registrySources`	빌드 및 pod 이미지에 액세스하는 경우 컨테이너 런타임에서 개별 레지스트리를 처리하는 방법을 결정할 구성이 포함되어 있습니다. 비보안 액세스 허용 여부를 예로 들 수 있습니다. 내부 클러스터 레지스트리에 대한 구성은 포함되어 있지 않습니다. `insecureRegistries`: 유효한 TLS 인증서가 없거나 HTTP 연결만 지원하는 레지스트리입니다. 모든 하위 도메인을 지정하려면 별표(``) 와일드카드 문자를 도메인 이름에 접두사로 추가합니다. 예: `.example.com` 레지스트리 내에서 개별 리포지토리를 지정할 수 있습니다. 예: `reg1.io/myrepo/myapp:latest`. `blockedRegistries`: 이미지 풀 및 푸시 작업이 거부되는 레지스트리입니다. 모든 하위 도메인을 지정하려면 별표(``) 와일드카드 문자를 도메인 이름에 접두사로 추가합니다. 예: `.example.com` 레지스트리 내에서 개별 리포지토리를 지정할 수 있습니다. 예: `reg1.io/myrepo/myapp:latest`. 다른 모든 레지스트리는 허용됩니다. `allowedRegistries`: 이미지 풀 및 푸시 작업을 허용하는 레지스트리입니다. 모든 하위 도메인을 지정하려면 별표(``) 와일드카드 문자를 도메인 이름에 접두사로 추가합니다. 예: `.example.com` 레지스트리 내에서 개별 리포지토리를 지정할 수 있습니다. 예: `reg1.io/myrepo/myapp:latest`. 다른 모든 레지스트리는 차단됩니다. `containerRuntimeSearchRegistries`: 이미지의 짧은 이름을 사용하여 이미지 풀 및 푸시 작업을 허용하는 레지스트리입니다. 다른 모든 레지스트리는 차단됩니다. `blockedRegistries` 또는 `allowedRegistries`를 설정할 수 있으나 둘 다 설정할 수는 없습니다.

주의

allowedRegistries 매개변수가 정의되면 명시적으로 나열되지 않은 경우 registry.redhat.io 및 quay.io 레지스트리 및 기본 OpenShift 이미지 레지스트리를 포함한 모든 레지스트리가 차단됩니다. 이 매개변수를 사용하는 경우 Pod 실패를 방지하기 위해 환경의 페이로드 이미지에서 필요한 registry.redhat.io 및 quay.io 레지스트리 및 internalRegistryHostname을 포함한 모든 레지스트리를 allowedRegistries 목록에 추가합니다. 연결 해제된 클러스터의 경우 미러 레지스트리도 추가해야 합니다.

image.config.openshift.io/cluster 리소스의 상태 필드에는 클러스터에서 관찰된 값이 들어 있습니다.

Expand

매개변수	설명
`internalRegistryHostname`	`internalRegistryHostname`을 제어하는 Image Registry Operator가 설정합니다. 기본 OpenShift 이미지 레지스트리의 호스트 이름을 설정합니다. 값은 `hostname[:port]` 형식이어야 합니다. 이전 버전과의 호환성을 위해 `OPENSHIFT_DEFAULT_REGISTRY` 환경 변수를 계속 사용할 수 있지만 이 설정을 통해 환경 변수가 재정의됩니다.
`externalRegistryHostnames`	Image Registry Operator가 설정하며, 이미지 레지스트리가 외부에 노출되는 경우 이미지 레지스트리의 외부 호스트 이름을 제공합니다. 첫 번째 값은 이미지 스트림의 `publicDockerImageRepository` 필드에서 사용됩니다. 값은 `hostname[:port]` 형식이어야 합니다.

11.4.2. 이미지 레지스트리 설정 구성
링크 복사

image.config.openshift.io/cluster 사용자 지정 리소스 (CR)를 편집하여 이미지 레지스트리 설정을 구성할 수 있습니다. 레지스트리 변경 사항이 image.config.openshift.io/cluster CR에 적용되는 경우 MCO(Machine Config Operator)는 다음과 같은 순차적 작업을 수행합니다.

노드 차단
CRI-O를 다시 시작하여 변경 사항 적용
노드 차단 해제
참고
MCO는 변경 사항을 감지하면 노드를 재시작하지 않습니다.

프로세스

다음과 같이 project.config.openshift.io/cluster 사용자 정의 리소스를 편집합니다.
```
oc edit image.config.openshift.io/cluster
```
```
$ oc edit image.config.openshift.io/cluster
```
Copy to Clipboard Toggle word wrap
다음은 image.config.openshift.io/cluster CR의 예입니다.
```
apiVersion: config.openshift.io/v1
kind: Image 
metadata:
  annotations:
    release.openshift.io/create-only: "true"
  creationTimestamp: "2019-05-17T13:44:26Z"
  generation: 1
  name: cluster
  resourceVersion: "8302"
  selfLink: /apis/config.openshift.io/v1/images/cluster
  uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
spec:
  allowedRegistriesForImport: 
    - domainName: quay.io
      insecure: false
  additionalTrustedCA: 
    name: myconfigmap
  registrySources: 
    allowedRegistries:
    - example.com
    - quay.io
    - registry.redhat.io
    - image-registry.openshift-image-registry.svc:5000
    - reg1.io/myrepo/myapp:latest
    insecureRegistries:
    - insecure.com
status:
  internalRegistryHostname: image-registry.openshift-image-registry.svc:5000
```
```
apiVersion: config.openshift.io/v1
kind: Image 
```
1
```
metadata:
  annotations:
    release.openshift.io/create-only: "true"
  creationTimestamp: "2019-05-17T13:44:26Z"
  generation: 1
  name: cluster
  resourceVersion: "8302"
  selfLink: /apis/config.openshift.io/v1/images/cluster
  uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
spec:
  allowedRegistriesForImport: 
```
2
```
    - domainName: quay.io
      insecure: false
  additionalTrustedCA: 
```
3
```
    name: myconfigmap
  registrySources: 
```
4
```
    allowedRegistries:
    - example.com
    - quay.io
    - registry.redhat.io
    - image-registry.openshift-image-registry.svc:5000
    - reg1.io/myrepo/myapp:latest
    insecureRegistries:
    - insecure.com
status:
  internalRegistryHostname: image-registry.openshift-image-registry.svc:5000
```
Copy to Clipboard Toggle word wrap
1
Image: 이미지 처리 방법에 대한 클러스터 전체 정보가 들어 있습니다. 유일하게 유효한 정식 이름은 cluster입니다.
2
allowedRegistriesForImport: 일반 사용자가 이미지를 가져올 수 있는 컨테이너 이미지 레지스트리를 제한합니다. 이 목록은 유효한 이미지를 포함한다고 신뢰할 수 있으며 애플리케이션을 가져올 수 있도록 하려는 레지스트리로 설정합니다. 이미지를 생성할 권한이 있는 사용자 또는 API의 ImageStreamMappings는 이 정책의 영향을 받지 않습니다. 일반적으로 클러스터 관리자에게만 적절한 권한이 있습니다.
3
additionalTrustedCA: 이미지 스트림 가져오기, pod 이미지 가져오기, openshift-image-registry 풀스루 및 빌드 중에 신뢰해야 하는 추가 CA (인증 기관)가 포함된 구성 맵에 대한 참조입니다. 이 구성 맵의 네임스페이스는 openshift-config입니다. 구성 맵 형식에서는 신뢰할 추가 레지스트리 CA마다 레지스트리 호스트 이름을 키로 사용하고 PEM 인증서를 값으로 사용합니다.
4
registrySources: 빌드 및 pod 이미지에 액세스할 때 컨테이너 런타임에서 개별 레지스트리를 허용하는지 여부를 결정하는 구성이 포함되어 있습니다. allowedRegistries 매개변수 또는 blockedRegistries 매개변수 중 하나를 설정할 수 있지만 둘 다 설정할 수는 없습니다. 이미지 단축 이름을 사용하는 레지스트리를 허용하는 비보안 레지스트리 또는 레지스트리에 대한 액세스를 허용할지 여부를 정의할 수도 있습니다. 이 예에서는 사용할 수 있는 레지스트리를 정의하는 allowedRegistries 매개변수를 사용합니다. 비보안 레지스트리 insecure.com 도 허용됩니다. registrySources 매개변수에 내부 클러스터 레지스트리에 대한 구성이 포함되어 있지 않습니다.
참고
allowedRegistries 매개변수가 정의되면 명시적으로 나열되지 않은 경우 registry.redhat.io 및 quay.io 레지스트리 및 기본 OpenShift 이미지 레지스트리를 포함한 모든 레지스트리가 차단됩니다. 이 매개변수를 사용하는 경우 Pod 실패를 방지하기 위해 환경의 페이로드 이미지에서 필요한 registry.redhat.io 및 quay.io 레지스트리와 internalRegistryHostname을 allowedRegistries 목록에 추가해야 합니다. registry.redhat.io 및 quay.io 레지스트리를 blockedRegistries 목록에 추가하지 마십시오.
allowedRegistries, blockedRegistries 또는 insecureRegistries 매개변수를 사용하는 경우 레지스트리 내에서 개별 리포지토리를 지정할 수 있습니다. 예: reg1.io/myrepo/myapp:latest.
가능한 보안 위험을 줄이려면 안전하지 않은 외부 레지스트리의 사용을 피해야합니다.

변경 사항이 적용되었는지 확인하려면 노드를 나열합니다.

oc get nodes

$ oc get nodes

Copy to Clipboard

Toggle word wrap

출력 예

NAME                                         STATUS                     ROLES                  AGE   VERSION
ip-10-0-137-182.us-east-2.compute.internal   Ready,SchedulingDisabled   worker                 65m   v1.27.3
ip-10-0-139-120.us-east-2.compute.internal   Ready,SchedulingDisabled   control-plane          74m   v1.27.3
ip-10-0-176-102.us-east-2.compute.internal   Ready                      control-plane          75m   v1.27.3
ip-10-0-188-96.us-east-2.compute.internal    Ready                      worker                 65m   v1.27.3
ip-10-0-200-59.us-east-2.compute.internal    Ready                      worker                 63m   v1.27.3
ip-10-0-223-123.us-east-2.compute.internal   Ready                      control-plane          73m   v1.27.3

NAME                                         STATUS                     ROLES                  AGE   VERSION
ip-10-0-137-182.us-east-2.compute.internal   Ready,SchedulingDisabled   worker                 65m   v1.27.3
ip-10-0-139-120.us-east-2.compute.internal   Ready,SchedulingDisabled   control-plane          74m   v1.27.3
ip-10-0-176-102.us-east-2.compute.internal   Ready                      control-plane          75m   v1.27.3
ip-10-0-188-96.us-east-2.compute.internal    Ready                      worker                 65m   v1.27.3
ip-10-0-200-59.us-east-2.compute.internal    Ready                      worker                 63m   v1.27.3
ip-10-0-223-123.us-east-2.compute.internal   Ready                      control-plane          73m   v1.27.3

Copy to Clipboard

Toggle word wrap

허용, 차단 및 비보안 레지스트리 매개변수에 대한 자세한 내용은 이미지 레지스트리 설정 구성을 참조하십시오.

11.4.3. 이미지 레지스트리 액세스를 위한 추가 신뢰 저장소 구성
링크 복사

image.config.openshift.io/cluster 사용자 지정 리소스에는 이미지 레지스트리 액세스 중에 신뢰할 수 있는 추가 인증 기관이 포함된 구성 맵에 대한 참조가 포함될 수 있습니다.

사전 요구 사항

인증 기관(CA)은 PEM으로 인코딩되어야 합니다.

프로세스

openshift-config 네임 스페이스에 구성 맵을 만들고 image.config.openshift.io 사용자 지정 리소스에서 AdditionalTrustedCA의 해당 이름을 사용하여 외부 레지스트리에 연결할 때 신뢰할 수있는 추가 CA를 제공할 수 있습니다.

구성 맵 키는 이 CA가 신뢰할 수있는 포트가 있는 레지스트리의 호스트 이름이며 PEM 인증서 콘텐츠는 신뢰할 수 있는 각 추가 레지스트리 CA의 값입니다.

이미지 레지스트리 CA 구성 맵의 예

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-registry-ca
data:
  registry.example.com: |
    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----
  registry-with-port.example.com..5000: | 
    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-registry-ca
data:
  registry.example.com: |
    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----
  registry-with-port.example.com..5000: |


    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----

Copy to Clipboard

Toggle word wrap

1: 레지스트리에 registry-with-port.example.com:5000 같은 포트가 있는 경우 :이 ..로 교체되어야 합니다.

다음 절차에 따라 추가 CA를 구성할 수 있습니다.

추가 CA를 구성하려면 다음을 실행합니다.

oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

$ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

Copy to Clipboard

Toggle word wrap

oc edit image.config.openshift.io cluster

$ oc edit image.config.openshift.io cluster

Copy to Clipboard

Toggle word wrap

spec:
  additionalTrustedCA:
    name: registry-config

spec:
  additionalTrustedCA:
    name: registry-config

Copy to Clipboard

Toggle word wrap

11.4.4. 이미지 레지스트리 저장소 미러링 설정
링크 복사

컨테이너 레지스트리 저장소 미러링을 설정하면 다음 작업을 수행할 수 있습니다.

소스 이미지 레지스트리의 저장소에서 이미지를 가져오기 위해 요청을 리디렉션하고 미러링된 이미지 레지스트리의 저장소에서 이를 해석하도록 OpenShift Container Platform 클러스터를 설정합니다.
하나의 미러가 다운된 경우 다른 미러를 사용할 수 있도록 각 대상 저장소에 대해 여러 미러링된 저장소를 확인합니다.

OpenShift Container Platform의 저장소 미러링에는 다음 속성이 포함되어 있습니다.

이미지 풀은 레지스트리 다운타임에 탄력적으로 대처할 수 있습니다.
연결이 끊긴 환경의 클러스터는 중요한 위치(예: quay.io)에서 이미지를 가져오고 회사 방화벽 뒤의 레지스트리에서 요청된 이미지를 제공하도록 할 수 있습니다.
이미지 가져오기 요청이 있으면 특정한 레지스트리 순서로 가져오기를 시도하며 일반적으로 영구 레지스트리는 마지막으로 시도합니다.
입력한 미러링 정보는 OpenShift Container Platform 클러스터의 모든 노드에서 /etc/containers/registries.conf 파일에 추가됩니다.
노드가 소스 저장소에서 이미지를 요청하면 요청된 컨텐츠를 찾을 때 까지 미러링된 각 저장소를 차례로 시도합니다. 모든 미러가 실패하면 클러스터는 소스 저장소를 시도합니다. 성공하면 이미지를 노드로 가져올 수 있습니다.

저장소 미러링은 다음과 같은 방법으로 설정할 수 있습니다.

OpenShift Container Platform 설치 시
OpenShift Container Platform에 필요한 컨테이너 이미지를 가져온 다음 해당 이미지를 회사 방화벽 뒤에 배치하면 연결이 끊긴 환경에 있는 데이터 센터에 OpenShift Container Platform을 설치할 수 있습니다.
OpenShift Container Platform 설치 후
OpenShift Container Platform 설치 중에 미러링을 구성하지 않은 경우 다음 CR(사용자 정의 리소스) 오브젝트 중 하나를 사용하여 설치 후 설치할 수 있습니다.
- ImageDigestMirrorSet. 이 CR을 사용하면 다이제스트 사양을 사용하여 미러링된 레지스트리에서 이미지를 가져올 수 있습니다.
- ImageTagMirrorSet. 이 CR을 사용하면 이미지 태그를 사용하여 미러링된 레지스트리에서 이미지를 가져올 수 있습니다.
중요
ICSP( ImageContentSourcePolicy ) 오브젝트를 사용하여 저장소 미러링을 구성하는 것은 더 이상 사용되지 않는 기능입니다. 더 이상 사용되지 않는 기능은 여전히 OpenShift Container Platform에 포함되어 있으며 계속 지원됩니다. 그러나 이 기능은 향후 릴리스에서 제거될 예정이므로 새로운 배포에는 사용하지 않는 것이 좋습니다. ImageContentSourcePolicy 개체를 생성하는 데 사용한 기존 YAML 파일이 있는 경우 oc adm migrate icsp 명령을 사용하여 해당 파일을 ImageDigestMirrorSet YAML 파일로 변환할 수 있습니다. 자세한 내용은 다음 섹션의 "이미지 레지스트리 저장소 미러링에 대한 ImageContentSourcePolicy (ICSP) 파일 변환"을 참조하십시오.

두 사용자 정의 리소스 오브젝트 모두 다음 정보를 식별합니다.

미러링하려는 컨테이너 이미지 저장소의 소스
소스 저장소에서 요청된 컨텐츠를 제공하는 각 미러 저장소에 대한 개별 항목

참고

클러스터에서 ImageDigestMirrorSet 또는 ImageTagMirrorSet 오브젝트를 사용하여 저장소 미러링을 구성하는 경우 미러링된 레지스트리에는 글로벌 풀 시크릿만 사용할 수 있습니다. 프로젝트에 풀 시크릿을 추가할 수 없습니다.

다음 절차에서는 ImageDigestMirrorSet 오브젝트를 생성하는 사후 설치 미러 구성을 생성합니다.

사전 요구 사항

cluster-admin 역할의 사용자로 클러스터에 액세스할 수 있어야 합니다.
클러스터에 ImageContentSourcePolicy 개체가 없는지 확인합니다. 예를 들어 다음 명령을 사용할 수 있습니다.
```
oc get ImageContentSourcePolicy
```
```
$ oc get ImageContentSourcePolicy
```
Copy to Clipboard Toggle word wrap
출력 예
```
No resources found
```
```
No resources found
```
Copy to Clipboard Toggle word wrap

프로세스

미러링된 저장소를 설정합니다.
- Red Hat Quay Repository Mirroring에 설명된대로 Red Hat Quay를 사용하여 미러링된 저장소를 설정합니다. Red Hat Quay를 사용하면 한 저장소에서 다른 저장소로 이미지를 복사하고 시간이 지남에 따라 해당 저장소를 반복해서 자동으로 동기화할 수 있습니다.
- skopeo와 같은 툴을 사용하여 소스 디렉토리에서 미러링된 저장소로 이미지를 수동으로 복사합니다.
  예를 들어, Red Hat Enterprise Linux(RHEL) 7 또는 RHEL 8 시스템에 skopeo RPM 패키지를 설치한 후 다음 예와 같이 skopeo 명령을 사용합니다.
  $ skopeo copy \ docker://registry.access.redhat.com/ubi9/ubi-minimal:latest@sha256:5cf... \ docker://example.io/example/ubi-minimal
  Copy to Clipboard Toggle word wrap
  이 예제에는 example.io 라는 컨테이너 이미지 레지스트리가 있으며, registry.access.redhat.com 에서 ubi9/ubi-minimal 이미지를 복사할 example 이라는 이미지 저장소가 있습니다. 레지스트리를 생성한 후 OpenShift Container Platform 클러스터를 설정하여 소스 저장소의 요청을 미러링된 저장소로 리디렉션할 수 있습니다.
OpenShift Container Platform 클러스터에 로그인합니다.
필요에 따라 ImageDigestMirrorSet 또는 ImageTagMirrorSet CR을 생성하여 소스 및 미러를 자체 레지스트리 및 저장소 쌍과 이미지로 교체합니다.
```
apiVersion: config.openshift.io/v1 
kind: ImageDigestMirrorSet 
metadata:
  name: ubi9repo
spec:
  imageDigestMirrors: 
  - mirrors:
    - example.io/example/ubi-minimal 
    - example.com/example/ubi-minimal 
    source: registry.access.redhat.com/ubi9/ubi-minimal 
    mirrorSourcePolicy: AllowContactingSource 
  - mirrors:
    - mirror.example.com/redhat
    source: registry.redhat.io/openshift4 
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.com
    source: registry.redhat.io 
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.net/image
    source: registry.example.com/example/myimage 
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.net
    source: registry.example.com/example 
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.net/registry-example-com
    source: registry.example.com 
    mirrorSourcePolicy: AllowContactingSource
```
```
apiVersion: config.openshift.io/v1 
```
1
```
kind: ImageDigestMirrorSet 
```
2
```
metadata:
  name: ubi9repo
spec:
  imageDigestMirrors: 
```
3
```
  - mirrors:
    - example.io/example/ubi-minimal 
```
4
```
    - example.com/example/ubi-minimal 
```
5
```
    source: registry.access.redhat.com/ubi9/ubi-minimal 
```
6
```
    mirrorSourcePolicy: AllowContactingSource 
```
7
```
  - mirrors:
    - mirror.example.com/redhat
    source: registry.redhat.io/openshift4 
```
8
```
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.com
    source: registry.redhat.io 
```
9
```
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.net/image
    source: registry.example.com/example/myimage 
```
10
```
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.net
    source: registry.example.com/example 
```
11
```
    mirrorSourcePolicy: AllowContactingSource
  - mirrors:
    - mirror.example.net/registry-example-com
    source: registry.example.com 
```
12
```
    mirrorSourcePolicy: AllowContactingSource
```
Copy to Clipboard Toggle word wrap
1
이 CR과 함께 사용할 API를 나타냅니다. config.openshift.io/v1 이어야 합니다.
2
풀 유형에 따라 오브젝트의 종류를 나타냅니다.
ImageDigestMirrorSet: 다이제스트 참조 이미지를 가져옵니다.
ImageTagMirrorSet: 태그 참조 이미지를 가져옵니다.
3
이미지 가져오기 방법 유형을 나타냅니다.
imageDigestMirrors: ImageDigestMirrorSet CR에 사용합니다.
imageTagMirrors: ImageTagMirrorSet CR에 사용합니다.
4
미러링된 이미지 레지스트리 및 저장소의 이름을 나타냅니다.
5
선택 사항: 각 대상 저장소에 대한 보조 미러 저장소를 나타냅니다. 하나의 미러가 다운되면 대상 저장소에서 다른 미러를 사용할 수 있습니다.
6
이미지 가져오기 사양에서 참조하는 레지스트리 및 리포지토리 소스를 나타냅니다.
7
선택 사항: 이미지 가져오기에 실패하는 경우 대체 정책을 표시합니다.
AllowContactingSource: 소스 저장소에서 이미지를 계속 가져올 수 있습니다. 이는 기본값입니다.
NeverContactSource: 소스 저장소에서 이미지를 가져 오는 지속적인 시도를 방지합니다.
8
선택 사항: 레지스트리 내부의 네임스페이스를 나타내며, 이를 통해 해당 네임스페이스의 이미지를 사용할 수 있습니다. 레지스트리 도메인을 소스로 사용하는 경우 오브젝트는 레지스트리의 모든 리포지토리에 적용됩니다.
9
선택 사항: 레지스트리를 나타내며, 레지스트리의 이미지를 사용할 수 있습니다. 레지스트리 이름을 지정하면 오브젝트가 소스 레지스트리의 모든 리포지토리에 적용됩니다.
10
미러 mirror.example.net/image@sha256:..에서 registry.example.com/example/myimage@sha256:… 이미지를 가져옵니다.
11
미러 mirror.example.net/image@sha256:…에서 소스 레지스트리 네임스페이스에서 registry.example.com/example/image@sha256:… 이미지를 가져옵니다.
12
미러 레지스트리 example.net/registry-example-com/myimage@sha256:… 에서 registry.example.com/myimage@sha256 이미지를 가져옵니다. ImageContentSourcePolicy 리소스는 소스 레지스트리의 모든 리포지토리에 적용되며 미러 레지스트리 mirror.example.net/registry-example-com 에 적용됩니다.
새 오브젝트를 생성합니다.
```
oc create -f registryrepomirror.yaml
```
```
$ oc create -f registryrepomirror.yaml
```
Copy to Clipboard Toggle word wrap
오브젝트가 생성되면 MCO(Machine Config Operator)에서 새 설정이 각 노드에 배포될 때 노드를 차단합니다. MCO는 ImageTagMirrorSet 오브젝트의 노드만 다시 시작합니다. MCO는 ImageDigestMirrorSet 개체의 노드를 다시 시작하지 않습니다. 노드가 차단 해제되면 클러스터는 소스 저장소에 대한 요청에 미러링된 저장소를 사용하기 시작합니다.

미러링된 구성 설정이 적용되었는지 확인하려면 노드 중 하나에서 다음을 수행하십시오.

노드를 나열합니다.

oc get node

$ oc get node

Copy to Clipboard

Toggle word wrap

출력 예

NAME                           STATUS                     ROLES    AGE  VERSION
ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.27.3
ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.27.3
ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.27.3
ip-10-0-147-35.ec2.internal    Ready                      worker   7m   v1.27.3
ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.27.3
ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.27.3

NAME                           STATUS                     ROLES    AGE  VERSION
ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.27.3
ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.27.3
ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.27.3
ip-10-0-147-35.ec2.internal    Ready                      worker   7m   v1.27.3
ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.27.3
ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.27.3

Copy to Clipboard

Toggle word wrap

디버깅 프로세스를 시작하고 노드에 액세스합니다.

oc debug node/ip-10-0-147-35.ec2.internal

$ oc debug node/ip-10-0-147-35.ec2.internal

Copy to Clipboard

Toggle word wrap

출력 예

Starting pod/ip-10-0-147-35ec2internal-debug ...
To use host binaries, run `chroot /host`

Starting pod/ip-10-0-147-35ec2internal-debug ...
To use host binaries, run `chroot /host`

Copy to Clipboard

Toggle word wrap

루트 디렉토리를 /host 로 변경합니다.
```
chroot /host
```
```
sh-4.2# chroot /host
```
Copy to Clipboard Toggle word wrap

/etc/containers/registries.conf 파일을 체크하여 변경 사항이 적용되었는지 확인합니다.

cat /etc/containers/registries.conf

sh-4.2# cat /etc/containers/registries.conf

Copy to Clipboard

Toggle word wrap

다음 출력은 ImageDigestMirrorSet 오브젝트 및 ImageTagMirrorSet 오브젝트가 적용된 registries.conf 파일을 나타냅니다. 마지막 두 항목은 각각 digest-only 및 tag-only 로 표시됩니다.

출력 예

unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
short-name-mode = ""

[[registry]]
  prefix = ""
  location = "registry.access.redhat.com/ubi9/ubi-minimal" 

  [[registry.mirror]]
    location = "example.io/example/ubi-minimal" 
    pull-from-mirror = "digest-only" 

  [[registry.mirror]]
    location = "example.com/example/ubi-minimal"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.example.com"

  [[registry.mirror]]
    location = "mirror.example.net/registry-example-com"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.example.com/example"

  [[registry.mirror]]
    location = "mirror.example.net"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.example.com/example/myimage"

  [[registry.mirror]]
    location = "mirror.example.net/image"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.redhat.io"

  [[registry.mirror]]
    location = "mirror.example.com"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.redhat.io/openshift4"

  [[registry.mirror]]
    location = "mirror.example.com/redhat"
    pull-from-mirror = "digest-only"
[[registry]]
  prefix = ""
  location = "registry.access.redhat.com/ubi9/ubi-minimal"
  blocked = true 

  [[registry.mirror]]
    location = "example.io/example/ubi-minimal-tag"
    pull-from-mirror = "tag-only"

unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
short-name-mode = ""

[[registry]]
  prefix = ""
  location = "registry.access.redhat.com/ubi9/ubi-minimal"



  [[registry.mirror]]
    location = "example.io/example/ubi-minimal"


    pull-from-mirror = "digest-only"



  [[registry.mirror]]
    location = "example.com/example/ubi-minimal"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.example.com"

  [[registry.mirror]]
    location = "mirror.example.net/registry-example-com"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.example.com/example"

  [[registry.mirror]]
    location = "mirror.example.net"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.example.com/example/myimage"

  [[registry.mirror]]
    location = "mirror.example.net/image"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.redhat.io"

  [[registry.mirror]]
    location = "mirror.example.com"
    pull-from-mirror = "digest-only"

[[registry]]
  prefix = ""
  location = "registry.redhat.io/openshift4"

  [[registry.mirror]]
    location = "mirror.example.com/redhat"
    pull-from-mirror = "digest-only"
[[registry]]
  prefix = ""
  location = "registry.access.redhat.com/ubi9/ubi-minimal"
  blocked = true



  [[registry.mirror]]
    location = "example.io/example/ubi-minimal-tag"
    pull-from-mirror = "tag-only"

Copy to Clipboard

Toggle word wrap

1: 가져오기 사양에 참조되는 리포지토리를 나타냅니다.
2: 해당 저장소에 대한 미러를 나타냅니다.
3: 미러에서 이미지 가져오기가 다이제스트 참조 이미지임을 나타냅니다.
4: NeverContactSource 매개변수가 이 리포지토리에 설정되어 있음을 나타냅니다.
5: 미러에서 이미지 가져오기가 태그 참조 이미지임을 나타냅니다.

소스에서 이미지를 노드로 가져와 미러링에 의해 해결되는지 확인합니다.

podman pull --log-level=debug registry.access.redhat.com/ubi9/ubi-minimal@sha256:5cf...

sh-4.2# podman pull --log-level=debug registry.access.redhat.com/ubi9/ubi-minimal@sha256:5cf...

Copy to Clipboard

Toggle word wrap

저장소 미러링 문제 해결

저장소 미러링 절차가 설명대로 작동하지 않는 경우 저장소 미러링 작동 방법에 대한 다음 정보를 사용하여 문제를 해결하십시오.

가져온 이미지는 첫 번째 작동 미러를 사용하여 공급합니다.
주요 레지스트리는 다른 미러가 작동하지 않는 경우에만 사용됩니다.
시스템 컨텍스트에서 Insecure 플래그가 폴백으로 사용됩니다.
/etc/containers/registries.conf 파일 형식이 최근에 변경되었습니다. 현재 버전은 TOML 형식의 버전 2입니다.
ImageDigestMirrorSet 및 ImageTagMirrorSet 오브젝트 모두에 동일한 리포지토리를 추가할 수 없습니다.

11.4.5. 이미지 레지스트리 저장소 미러링을 위한 ICP( ImageContentSourcePolicy) 파일 변환
링크 복사

ICSP( ImageContentSourcePolicy ) 오브젝트를 사용하여 저장소 미러링을 구성하는 것은 더 이상 사용되지 않는 기능입니다. 이 기능은 여전히 OpenShift Container Platform에 포함되어 있으며 계속 지원됩니다. 그러나 이 기능은 향후 릴리스에서 제거될 예정이므로 새로운 배포에는 사용하지 않는 것이 좋습니다.

ICSP 오브젝트는 저장소 미러링을 구성하기 위해 ImageDigestMirrorSet 및 ImageTagMirrorSet 개체로 교체됩니다. ImageContentSourcePolicy 개체를 생성하는 데 사용한 기존 YAML 파일이 있는 경우 oc adm migrate icsp 명령을 사용하여 해당 파일을 ImageDigestMirrorSet YAML 파일로 변환할 수 있습니다. 명령은 현재 버전으로 API를 업데이트하고, kind 값을 ImageDigestMirrorSet 로 변경하고, spec.repositoryDigestMirrors 를 spec.imageDigestMirrors 로 변경합니다. 파일의 나머지 부분은 변경되지 않습니다.

ImageDigestMirrorSet 또는 ImageTagMirrorSet 오브젝트에 대한 자세한 내용은 이전 섹션의 "이미지 레지스트리 저장소 미러링 설정"을 참조하십시오.

사전 요구 사항

cluster-admin 역할의 사용자로 클러스터에 액세스할 수 있어야 합니다.
클러스터에 ImageContentSourcePolicy 개체가 있는지 확인합니다.

프로세스

다음 명령을 사용하여 하나 이상의 ImageContentSourcePolicy YAML 파일을 ImageDigestMirrorSet YAML 파일로 변환합니다.
```
oc adm migrate icsp <file_name>.yaml <file_name>.yaml <file_name>.yaml --dest-dir <path_to_the_directory>
```
```
$ oc adm migrate icsp <file_name>.yaml <file_name>.yaml <file_name>.yaml --dest-dir <path_to_the_directory>
```
Copy to Clipboard Toggle word wrap
다음과 같습니다.
<file_name>
소스 ImageContentSourcePolicy YAML의 이름을 지정합니다. 여러 파일 이름을 나열할 수 있습니다.
--dest-dir
선택 사항: 출력 ImageDigestMirrorSet YAML의 디렉터리를 지정합니다. 설정되지 않으면 파일이 현재 디렉터리에 기록됩니다.
예를 들어 다음 명령은 icsp.yaml 및 icsp-2.yaml 파일을 변환하고 새 YAML 파일을 idms-files 디렉터리에 저장합니다.
```
oc adm migrate icsp icsp.yaml icsp-2.yaml --dest-dir idms-files
```
```
$ oc adm migrate icsp icsp.yaml icsp-2.yaml --dest-dir idms-files
```
Copy to Clipboard Toggle word wrap
출력 예
```
wrote ImageDigestMirrorSet to idms-files/imagedigestmirrorset_ubi8repo.5911620242173376087.yaml
wrote ImageDigestMirrorSet to idms-files/imagedigestmirrorset_ubi9repo.6456931852378115011.yaml
```
```
wrote ImageDigestMirrorSet to idms-files/imagedigestmirrorset_ubi8repo.5911620242173376087.yaml
wrote ImageDigestMirrorSet to idms-files/imagedigestmirrorset_ubi9repo.6456931852378115011.yaml
```
Copy to Clipboard Toggle word wrap
다음 명령을 실행하여 CR 오브젝트를 생성합니다.
```
oc create -f <path_to_the_directory>/<file-name>.yaml
```
```
$ oc create -f <path_to_the_directory>/<file-name>.yaml
```
Copy to Clipboard Toggle word wrap
다음과 같습니다.
<path_to_the_directory>
--dest-dir 플래그를 사용한 경우 디렉터리의 경로를 지정합니다.
<file_name>
ImageDigestMirrorSet YAML의 이름을 지정합니다.

맨 위로 이동

11.4. 이미지 구성

11.4.1. 이미지 컨트롤러 구성 매개변수
링크 복사

11.4.2. 이미지 레지스트리 설정 구성
링크 복사

11.4.3. 이미지 레지스트리 액세스를 위한 추가 신뢰 저장소 구성
링크 복사

11.4.4. 이미지 레지스트리 저장소 미러링 설정
링크 복사

11.4.5. 이미지 레지스트리 저장소 미러링을 위한 ICP( ImageContentSourcePolicy) 파일 변환
링크 복사

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat 소개

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

11.4. 이미지 구성

11.4.1. 이미지 컨트롤러 구성 매개변수링크 복사링크가 클립보드에 복사되었습니다!

11.4.2. 이미지 레지스트리 설정 구성링크 복사링크가 클립보드에 복사되었습니다!

11.4.3. 이미지 레지스트리 액세스를 위한 추가 신뢰 저장소 구성링크 복사링크가 클립보드에 복사되었습니다!

11.4.4. 이미지 레지스트리 저장소 미러링 설정링크 복사링크가 클립보드에 복사되었습니다!

11.4.5. 이미지 레지스트리 저장소 미러링을 위한 ICP( ImageContentSourcePolicy) 파일 변환링크 복사링크가 클립보드에 복사되었습니다!

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat 소개

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links

11.4.1. 이미지 컨트롤러 구성 매개변수
링크 복사

11.4.2. 이미지 레지스트리 설정 구성
링크 복사

11.4.3. 이미지 레지스트리 액세스를 위한 추가 신뢰 저장소 구성
링크 복사

11.4.4. 이미지 레지스트리 저장소 미러링 설정
링크 복사

11.4.5. 이미지 레지스트리 저장소 미러링을 위한 ICP( ImageContentSourcePolicy) 파일 변환
링크 복사