3.3. oc-mirror 플러그인 v2를 사용하여 연결이 끊긴 설치에 대한 이미지 미러링

1. 이미지 세트 구성 파일을 생성합니다.

2. 다음 워크플로우 중 하나를 사용하여 대상 미러 레지스트리에 설정된 이미지를 미러링합니다.

   • 대상 미러 레지스트리(mirror to mirror)에 직접 설정된 이미지를 미러링합니다.
   • 이미지 세트를 디스크로 미러링하고, tar 파일을 대상 환경으로 전송한 다음, 대상 미러 레지스트리로 설정된 이미지를 미러링합니다(디스크를 미러링할 디스크).
3. oc-mirror 플러그인 v2에서 생성한 리소스를 사용하도록 클러스터를 구성합니다.
4. 필요에 따라 대상 미러 레지스트리를 업데이트하려면 다음 단계를 반복합니다.

프로세스

1. oc-mirror CLI 플러그인을 다운로드하세요:

   1. Red Hat Hybrid Cloud Console의 다운로드 페이지로 이동합니다.
   2. OpenShift 연결 설치 툴 섹션의 드롭다운 메뉴에서 OpenShift Client(oc) 미러 플러그인 의 OS 유형 및 아키텍처 유형을 선택합니다.
   3. 다운로드를 클릭하여 파일을 저장하세요.

2. 다음 명령을 실행하여 아카이브를 추출합니다.

   $ tar xvzf oc-mirror.tar.gz

   Copy to Clipboard Toggle word wrap

3. 필요한 경우 다음 명령을 실행하여 플러그인 파일을 실행 가능하도록 업데이트합니다.

   $ chmod +x oc-mirror

   Copy to Clipboard Toggle word wrap
   참고

   oc-mirror 파일의 이름을 바꾸지 마십시오.

4. 다음 명령을 실행하여 PATH (예: /usr/local/bin )에 파일을 넣어 oc-mirror CLI 플러그인을 설치합니다.

   $ sudo mv oc-mirror /usr/local/bin/.

   Copy to Clipboard Toggle word wrap

1. Red Hat OpenShift Cluster Manager에서 registry.redhat.io 풀 시크릿을 다운로드합니다.

2. 다음 명령을 실행하여 JSON 형식으로 풀 시크릿의 사본을 만듭니다.

   $ cat ./pull-secret | jq . > <path>/<pull_secret_file_in_json> 

   1

   Copy to Clipboard Toggle word wrap

   1

   풀 시크릿을 저장할 폴더의 경로와 생성한 JSON 파일의 이름을 지정합니다.

   pull secret의 예

   {
     "auths": {
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

   Copy to Clipboard Toggle word wrap

3. $XDG_RUNTIME_DIR/containers 디렉토리가 없으면 다음 명령을 입력하여 디렉토리를 만듭니다.

   $ mkdir -p $XDG_RUNTIME_DIR/containers

   Copy to Clipboard Toggle word wrap
4. 풀 시크릿 파일을 $XDG_RUNTIME_DIR/containers/auth.json 으로 저장합니다.

5. 다음 명령을 실행하여 미러 레지스트리에 대한 base64로 인코딩된 사용자 이름과 비밀번호 또는 토큰을 생성합니다.

   $ echo -n '<user_name>:<password>' | base64 -w0 

   1

   Copy to Clipboard Toggle word wrap

   1

   <user_name> 및 <password>의 경우 레지스트리에 설정한 사용자 이름 및 암호를 지정합니다.

   출력 예

   BGVtbYk3ZHAtqXs=

   Copy to Clipboard Toggle word wrap

6. JSON 파일을 편집하고 레지스트리를 설명하는 섹션을 추가합니다.

     "auths": {
       "<mirror_registry>": { 

   1

   
         "auth": "<credentials>", 

   2

   
         "email": "you@example.com"
       }
     },

   Copy to Clipboard Toggle word wrap

   1

   미러 레지스트리가 콘텐츠를 제공하는 데 사용하는 레지스트리 도메인 이름과 필요한 경우 포트를 지정합니다. 예: registry.example.com 또는 registry.example.com:8443

   2

   미러 레지스트리에 대한 base64로 인코딩된 사용자 이름과 비밀번호를 지정합니다.

   수정된 풀 시크릿 예시

   {
     "auths": {
       "registry.example.com": {
         "auth": "BGVtbYk3ZHAtqXs=",
         "email": "you@example.com"
       },
       "cloud.openshift.com": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "quay.io": {
         "auth": "b3BlbnNo...",
         "email": "you@example.com"
       },
       "registry.connect.redhat.com": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       },
       "registry.redhat.io": {
         "auth": "NTE3Njg5Nj...",
         "email": "you@example.com"
       }
     }
   }

   Copy to Clipboard Toggle word wrap

검증

1. <file_path> 디렉터리에 생성된 working-dir/cluster-resources 디렉터리로 이동합니다.
2. ImageDigestMirrorSet , ImageTagMirrorSet 및 CatalogSource 리소스에 대한 YAML 파일이 있는지 확인합니다.

1. 디스크로 미러링 : 이미지 세트를 아카이브로 미러링합니다.
2. 디스크 전송 : 연결이 끊긴 미러 레지스트리의 네트워크로 아카이브를 수동으로 전송합니다.
3. 디스크에서 미러링 : 아카이브에서 대상의 연결이 끊긴 레지스트리로 이미지 세트를 미러링합니다.

프로세스

1. cluster-admin 역할의 사용자로 OpenShift CLI에 로그인합니다.

2. 다음 명령을 실행하여 결과 디렉토리의 YAML 파일을 클러스터에 적용합니다.

   $ oc apply -f <path_to_oc_mirror_workspace>/working-dir/cluster-resources

   Copy to Clipboard Toggle word wrap

3. 미러링된 릴리스 이미지가 있는 경우 다음 명령을 실행하여 릴리스 이미지 서명을 클러스터에 적용합니다.

   $ oc apply -f working-dir/cluster-resources/signature-configmap.json

   Copy to Clipboard Toggle word wrap
   중요

   클러스터 대신 Operator를 미러링하는 경우 이전 명령을 실행하지 마십시오. 명령을 실행하면 적용할 릴리스 이미지 서명이 없기 때문에 오류가 발생합니다.

   또한 YAML 파일은 동일한 디렉터리 working-dir/cluster-resources/ 에서 사용할 수 있습니다. JSON 또는 YAML 형식을 사용할 수 있습니다.

검증

1. 다음 명령을 실행하여 ImageDigestMirrorSet 리소스가 성공적으로 설치되었는지 확인하세요.

   $ oc get imagedigestmirrorset

   Copy to Clipboard Toggle word wrap

   oc-mirror 에서 생성된 리소스만 보려면 다음 명령을 실행하세요.

   $ oc get imagedigestmirrorset -o jsonpath='{.items[?(@.metadata.annotations.createdBy=="oc-mirror v2")].metadata.name}'

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 ImageTagMirrorSet 리소스가 성공적으로 설치되었는지 확인하세요.

   $ oc get imagetagmirrorset

   Copy to Clipboard Toggle word wrap

   oc-mirror 에서 생성된 리소스만 보려면 다음 명령을 실행하세요.

   $ oc get imagetagmirrorset -o jsonpath='{.items[?(@.metadata.annotations.createdBy=="oc-mirror v2")].metadata.name}'

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 CatalogSource 리소스가 성공적으로 설치되었는지 확인하세요.

   $ oc get catalogsource -n openshift-marketplace

   Copy to Clipboard Toggle word wrap

   oc-mirror 에서 생성된 리소스만 보려면 다음 명령을 실행하세요.

   $ oc get catalogsource -o jsonpath='{.items[?(@.metadata.annotations.createdBy=="oc-mirror v2")].metadata.name}'

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 ClusterCatalog 리소스가 성공적으로 설치되었는지 확인하세요.

   $ oc get clustercatalog

   Copy to Clipboard Toggle word wrap

   oc-mirror 에서 생성된 리소스만 보려면 다음 명령을 실행하세요.

   $ oc get clustercatalog -o jsonpath='{.items[?(@.metadata.annotations.createdBy=="oc-mirror v2")].metadata.name}'

   Copy to Clipboard Toggle word wrap

프로세스

1. delete-image-set-config.yaml 파일을 만들고 다음 내용을 포함합니다.

   DeleteImageSetConfiguration 파일

   apiVersion: mirror.openshift.io/v2alpha1
   kind: DeleteImageSetConfiguration
   delete:
     platform:
       channels:
         - name: <channel_name> 

   1

   
           minVersion: <channel_min_version> 

   2

   
           maxVersion: <channel_max_version> 

   3

   
     operators:
       - catalog: <operator_catalog_name> 

   4

   
         packages:
         - name: <operator_name> 

   5

   
            minVersion: <operator_max_version> 

   6

   
            maxVersion: <operator_min_version> 

   7

   
     additionalImages:
       - name: <additional_images>

   Copy to Clipboard Toggle word wrap

   1 1

   삭제할 OpenShift Container Platform 채널의 이름을 지정합니다(예: stable-4.15) .

   2 3

   채널 내에서 삭제할 이미지의 버전 범위를 지정합니다(예: 최소 버전의 경우 4.15.0, 최대 버전의 경우 4.15.1). 하나의 버전의 이미지만 삭제하려면 minVersion 및 maxVersion 필드 모두에 해당 버전 번호를 사용하세요.

   4

   삭제할 운영자가 포함된 운영자 카탈로그 이미지를 지정합니다(예: registry.redhat.io/redhat/redhat-operator-index:v4.14 ). Operator 카탈로그 이미지는 삭제되지 않습니다. 클러스터에 남아 있는 다른 운영자에게도 레지스트리에 있는 것이 필요할 수 있습니다.

   5

   삭제할 특정 운영자(예: aws-load-balancer-operator )를 지정합니다.

   6 7

   운영자에 대해 삭제할 이미지의 버전 범위를 지정합니다. 예를 들어, 최소 버전은 0.0.1 이고 최대 버전은 0.0.2입니다 .

2. 다음 명령을 실행하여 delete-images.yaml 파일을 만듭니다.

   $ oc mirror delete --config delete-image-set-config.yaml --workspace file://<previously_mirrored_work_folder> --v2 --generate docker://<remote_registry>

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   <previously_mirrored_work_folder>

   미러링 프로세스 중에 이미지가 이전에 미러링되거나 저장된 디렉토리를 지정합니다.

   <remote_registry>

   이미지를 삭제할 원격 컨테이너 레지스트리의 URL이나 주소를 지정합니다.

   중요

   이미지를 삭제할 때 올바른 작업 공간 디렉토리를 지정하세요. 새 클러스터를 설정하는 등 미러링을 처음부터 시작할 때만 캐시 디렉토리를 수정하거나 삭제하세요. 캐시 디렉토리를 잘못 변경하면 추가적인 미러링 작업이 중단될 수 있습니다.

3. 생성된 <previously_mirrored_work_folder>/delete 디렉토리로 이동합니다.
4. delete-images.yaml 파일이 생성되었는지 확인하세요.
5. 클러스터에 더 이상 필요하지 않은 파일 내의 각 이미지를 수동으로 확인하고 레지스트리에서 안전하게 제거하세요.

6. delete-images YAML 파일을 생성한 후 다음 명령을 실행하여 원격 레지스트리에서 이미지를 삭제합니다.

   $ oc mirror delete --v2 --delete-yaml-file <previously_mirrored_work_folder>/working-dir/delete/delete-images.yaml docker://<remote_registry>

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   <previously_mirrored_work_folder>

   미러링 프로세스 중에 이미지가 이전에 미러링되거나 저장된 디렉토리를 지정합니다.

   <remote_registry>

   이미지를 삭제할 원격 컨테이너 레지스트리의 URL이나 주소를 지정합니다.

   중요

   미러-투-미러 방식을 사용하여 이미지를 미러링하는 경우 이미지가 로컬에 캐시되지 않으므로 로컬 캐시에서 이미지를 삭제할 수 없습니다.

검증

1. 생성된 작업 공간 디렉토리로 이동합니다.

   $ cd <oc_mirror_workspace_path>

   Copy to Clipboard Toggle word wrap
2. 생성된 mapping.txt 및 missing.txt 파일을 검토합니다. 이러한 파일에는 미러링될 모든 이미지 목록이 포함되어 있습니다.

프로세스

1. 서버 관련 문제를 확인하세요.

   오류 예시

   [ERROR]  : [Worker] error mirroring image localhost:55000/openshift/graph-image:latest error: copying image 1/4 from manifest list: trying to reuse blob sha256:edab65b863aead24e3ed77cea194b6562143049a9307cd48f86b542db9eecb6e at destination: pinging container registry localhost:5000: Get "https://localhost:5000/v2/": http: server gave HTTP response to HTTPS client

   Copy to Clipboard Toggle word wrap

   1. oc-mirror 플러그인 v2 출력 디렉토리에 있는 working-dir/logs 폴더에 있는 mirroring_error_date_time.log 파일을 엽니다.
   2. HTTP 500 오류, 만료된 토큰 또는 시간 초과와 같이 일반적으로 서버 측 문제를 나타내는 오류 메시지를 찾아보세요.
   3. 문제가 지속되면 미러링 프로세스를 다시 시도하거나 지원팀에 문의하세요.

2. 운영자의 불완전한 미러링을 확인하세요.

   오류 예시

   error mirroring image docker://registry.redhat.io/3scale-amp2/zync-rhel9@sha256:8bb6b31e108d67476cc62622f20ff8db34efae5d58014de9502336fcc479d86d (Operator bundles: [3scale-operator.v0.11.12] - Operators: [3scale-operator]) error: initializing source docker://localhost:55000/3scale-amp2/zync-rhel9:8bb6b31e108d67476cc62622f20ff8db34efae5d58014de9502336fcc479d86d: reading manifest 8bb6b31e108d67476cc62622f20ff8db34efae5d58014de9502336fcc479d86d in localhost:55000/3scale-amp2/zync-rhel9: manifest unknown
   error mirroring image docker://registry.redhat.io/3scale-amp2/3scale-rhel7-operator-metadata@sha256:de0a70d1263a6a596d28bf376158056631afd0b6159865008a7263a8e9bf0c7d error: skipping operator bundle docker://registry.redhat.io/3scale-amp2/3scale-rhel7-operator-metadata@sha256:de0a70d1263a6a596d28bf376158056631afd0b6159865008a7263a8e9bf0c7d because one of its related images failed to mirror
   error mirroring image docker://registry.redhat.io/3scale-amp2/system-rhel7@sha256:fe77272021867cc6b6d5d0c9bd06c99d4024ad53f1ab94ec0ab69d0fda74588e (Operator bundles: [3scale-operator.v0.11.12] - Operators: [3scale-operator]) error: initializing source docker://localhost:55000/3scale-amp2/system-rhel7:fe77272021867cc6b6d5d0c9bd06c99d4024ad53f1ab94ec0ab69d0fda74588e: reading manifest fe77272021867cc6b6d5d0c9bd06c99d4024ad53f1ab94ec0ab69d0fda74588e in localhost:55000/3scale-amp2/system-rhel7: manifest unknown

   Copy to Clipboard Toggle word wrap

   1. 콘솔이나 로그 파일에서 어떤 연산자가 불완전한지 나타내는 경고를 확인하세요.

      운영자가 불완전하다고 표시된 경우 해당 운영자와 관련된 이미지가 미러링되지 않았을 가능성이 높습니다.

   2. 누락된 이미지를 수동으로 미러링하거나 미러링 프로세스를 다시 시도하세요.

3. 생성된 클러스터 리소스와 관련된 오류를 확인합니다. 일부 이미지가 미러링에 실패하더라도 oc-mirror v2는 성공적으로 미러링된 이미지에 대해 IDMS.yaml 및 ITMS.yaml 파일과 같은 클러스터 리소스를 생성합니다.

   1. 생성된 파일의 출력 디렉토리를 확인하세요.
   2. 특정 이미지에서 이러한 파일이 누락된 경우 미러링 프로세스 중에 해당 이미지에 심각한 오류가 발생하지 않았는지 확인하세요.

1. 사용자는 oc-mirror 플러그인 v2를 실행하여 온라인 레지스트리의 콘텐츠를 로컬 디스크 디렉토리로 미러링합니다.
2. 미러링된 콘텐츠는 오프라인 환경으로 전송할 수 있도록 디스크에 저장됩니다.

프로세스

1. 연결이 끊긴 환경에서 oc-mirror 플러그인 v2를 실행하기 전에 registries.conf 파일을 만드세요. 이 사양에서는 파일의 TOML 형식을 다음과 같이 설명합니다.

   참고

   $HOME/.config/containers/registries.conf 또는 /etc/containers/registries.conf 에 파일을 저장하는 것이 좋습니다.

   예제 registries.conf

   [[registry]]
   location="registry.redhat.io"
   [[registry.mirror]]
   location="<enterprise-registry.in>"
   
   [[registry]]
   location="quay.io"
   [[registry.mirror]]
   location="<enterprise-registry.in>"

   Copy to Clipboard Toggle word wrap

2. 미러 아카이브를 생성합니다.

   1. <file_path>/enterprise-content 아래의 디스크에 있는 아카이브에 모든 OpenShift Container Platform 콘텐츠를 수집하려면 다음 명령을 실행하세요.

      $ oc mirror --v2 -c isc.yaml file://<file_path>/enterprise-content

      Copy to Clipboard Toggle word wrap

      isc.yaml의 예

      apiVersion: mirror.openshift.io/v2alpha1
      kind: ImageSetConfiguration
      mirror:
        platform:
          architectures:
            - "amd64"
          channels:
            - name: stable-4.15
              minVersion: 4.15.0
              maxVersion: 4.15.3

      Copy to Clipboard Toggle word wrap

      아카이브가 생성된 후 연결이 끊긴 환경으로 전송됩니다. 전송 메커니즘은 oc-mirror 플러그인 v2의 일부가 아닙니다. 기업 네트워크 관리자가 전송 전략을 결정합니다.

      어떤 경우에는 디스크를 한 위치에서 물리적으로 분리하고 연결이 끊긴 환경의 다른 컴퓨터에 연결하는 방식으로 전송이 수동으로 수행됩니다. 다른 경우에는 SFTP(Secure File Transfer Protocol)나 다른 프로토콜이 사용됩니다.

3. 아카이브 전송이 완료되면 oc-mirror 플러그인 v2를 다시 실행하여 관련 아카이브 내용을 레지스트리(예시에서는 entrerpise_registry.in )에 미러링할 수 있습니다. 이는 다음 예에서 확인할 수 있습니다.

   $ oc mirror --v2 -c isc.yaml --from file://<disconnected_environment_file_path>/enterprise-content docker://<enterprise_registry.in>/

   Copy to Clipboard Toggle word wrap

   다음과 같습니다.

   • --from 은 아카이브가 들어 있는 폴더를 가리킵니다. file:// 로 시작합니다.
   • docker:// 는 미러링의 목적지이며 마지막 인수입니다. 도커 레지스트리이기 때문이죠.
   • -c ( --config )는 필수 인수입니다. 이를 통해 oc-mirror 플러그인 v2가 아카이브의 하위 부분만 레지스트리에 미러링할 수 있습니다. 하나의 아카이브에는 여러 개의 OpenShift Container Platform 릴리스가 포함될 수 있지만, 연결이 끊긴 환경이나 인클레이브는 몇 개만 미러링할 수 있습니다.

4. 인클레이브에 미러링할 콘텐츠를 설명하는 imageSetConfig YAML 파일을 준비합니다.

   isc-enclave.yaml 예시

   apiVersion: mirror.openshift.io/v2alpha1
   kind: ImageSetConfiguration
   mirror:
     platform:
       architectures:
         - "amd64"
       channels:
         - name: stable-4.15
           minVersion: 4.15.2
           maxVersion: 4.15.2

   Copy to Clipboard Toggle word wrap

   연결이 끊긴 레지스트리에 액세스할 수 있는 컴퓨터에서 oc-mirror 플러그인 v2를 실행해야 합니다. 이전 예에서 연결이 끊긴 환경인 enterprise-registry.in 에 액세스할 수 있습니다.

5. 그래프 URL 업데이트

   graph:true를 사용하는 경우, oc-mirror 플러그인 v2는 cincinnati API 엔드포인트에 도달하려고 시도합니다. 이 환경은 연결이 끊어졌으므로 OpenShift 업데이트 서비스(OSUS)의 URL을 참조하도록 환경 변수 UPDATE_URL_OVERRIDE를 내보내야 합니다.

   $ export UPDATE_URL_OVERRIDE=https://<osus.enterprise.in>/graph

   Copy to Clipboard Toggle word wrap

   OpenShift 클러스터에서 OSUS를 설정하는 방법에 대한 자세한 내용은 "OpenShift 업데이트 서비스를 사용하여 연결이 끊긴 환경에서 클러스터 업데이트"를 참조하세요.

   참고

   OpenShift Container Platform Extended Update Support(EUS) 버전 간에 업데이트하는 경우 현재 버전과 대상 버전 사이의 중간 마이너 버전에 대한 이미지도 포함해야 합니다. oc-mirror 플러그인 v2는 항상 이 요구 사항을 자동으로 감지하지 못할 수 있으므로 Red Hat OpenShift Container Platform 업데이트 그래프 페이지에서 필요한 중간 버전을 확인하세요.

   업데이트 그래프 페이지를 사용하여 애플리케이션에서 제안한 중간 마이너 버전을 찾은 다음, oc-mirror 플러그인 v2를 사용할 때 이러한 버전을 ImageSetConfiguration 파일에 포함하세요.

6. 엔클레이브에 대한 엔터프라이즈 레지스트리에서 미러 아카이브를 생성합니다.

   enclave1 에 대한 아카이브를 준비하려면 사용자는 해당 enclave에 특정한 imageSetConfiguration 을 사용하여 엔터프라이즈 연결 해제 환경에서 oc-mirror 플러그인 v2를 실행합니다. 이렇게 하면 해당 앙클레이브에 필요한 이미지만 미러링됩니다.

   $ oc mirror --v2 -c isc-enclave.yaml
   file:///disk-enc1/

   Copy to Clipboard Toggle word wrap

   이 작업은 모든 OpenShift Container Platform 콘텐츠를 아카이브로 수집하고 디스크에 아카이브를 생성합니다.

7. 아카이브가 생성된 후 enclave1 네트워크로 전송됩니다. 전송 메커니즘은 oc-mirror 플러그인 v2의 책임이 아닙니다.

8. 인클레이브 레지스트리에 대한 미러 콘텐츠

   아카이브 전송이 완료된 후 사용자는 oc-mirror 플러그인 v2를 다시 실행하여 관련 아카이브 내용을 레지스트리에 미러링할 수 있습니다.

   $ oc mirror --v2 -c isc-enclave.yaml --from file://local-disk docker://registry.enc1.in

   Copy to Clipboard Toggle word wrap

   이제 enclave1 에 있는 OpenShift Container Platform 클러스터의 관리자는 해당 클러스터를 설치하거나 업그레이드할 준비가 되었습니다.

프로세스

1. 모든 이미지에 대해 서명 미러링을 활성화하려면 다음 명령을 실행하세요.

   $ oc mirror --remove-signatures=false

   Copy to Clipboard Toggle word wrap

2. 전송 프로토콜, 레지스트리, 네임스페이스 또는 이미지와 같은 특정 요소에 대한 서명 미러링을 활성화하거나 비활성화하려면 다음 단계를 따르세요.

   1. $HOME/.config/containers/registries.d/ 또는 /etc/containers/registries.d/ 디렉토리에 YAML 파일을 만듭니다.

   2. 다음 예에서 볼 수 있듯이 use-sigstore-attachments 매개변수를 지정하고 제어하려는 특정 요소에서 이를 true 또는 false 로 설정합니다.

      예: quay.io 레지스트리에 대한 서명 미러링 비활성화

      # ...
      docker:
        quay.io:
          use-sigstore-attachments: false
      # ...

      Copy to Clipboard Toggle word wrap

      예: 모든 레지스트리에 대한 서명 미러링 활성화

      # ...
      default-docker:
        use-sigstore-attachments: true
      # ...

      Copy to Clipboard Toggle word wrap

프로세스

1. 모든 이미지에 대해 서명 검증을 활성화하려면 다음 명령을 실행하세요.

   $ oc mirror --secure-policy=true

   Copy to Clipboard Toggle word wrap

2. 전송 프로토콜, 레지스트리, 네임스페이스 또는 이미지와 같은 특정 요소에 대한 서명 검증을 활성화하거나 비활성화하려면 다음 단계를 따르세요.

   1. $HOME/.config/containers/ 또는 /etc/containers/ 디렉토리에 policy.json 파일을 만듭니다.

      참고

      정책 구성 파일이 기본 디렉토리 외부에 있는 경우 oc mirror 명령과 함께 --policy 플래그를 사용하여 해당 경로를 지정할 수 있습니다.

      자세한 내용은 containers-policy.json(5)을 참조하세요.

   2. 적절한 정책 구성을 사용하여 원하는 범위(예: 레지스트리 또는 이미지)에 대한 검증 규칙을 정의합니다. 각 요소 아래에 원하는 규칙을 지정하여 검증 요구 사항을 설정할 수 있습니다.

      예: 특정 이미지에 대해서만 검증을 활성화하고 다른 모든 이미지는 거부합니다.

      {
        "default": [{"type": "reject"}],
        "transports": {
          "docker": {
            "hostname:5000/myns/sigstore-signed-image": [
              {
                "type": "sigstoreSigned",
                "keyPath": "/path/to/sigstore-pubkey.pub",
                "signedIdentity": {"type": "matchRepository"}
              }
            ]
          }
        }
      }

      Copy to Clipboard Toggle word wrap