5.4. 이미지 풀 시크릿 사용

프로세스

• 기존 인증 파일에서 비밀을 만듭니다.

  • .docker/config.json을 사용하는 Docker 클라이언트의 경우 다음 명령을 입력합니다.

    $ oc create secret generic <pull_secret_name> \
        --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
        --type=kubernetes.io/dockerconfigjson

    Copy to Clipboard Toggle word wrap

  • .config/containers/auth.json을 사용하는 Podman 클라이언트의 경우 다음 명령을 입력합니다.

    $ oc create secret generic <pull_secret_name> \
         --from-file=<path/to/.config/containers/auth.json> \
         --type=kubernetes.io/podmanconfigjson

    Copy to Clipboard Toggle word wrap

• 보안 레지스트리에 대한 Docker 자격 증명 파일이 아직 없으면 다음 명령을 실행하여 비밀을 만들 수 있습니다.

  $ oc create secret docker-registry <pull_secret_name> \
      --docker-server=<registry_server> \
      --docker-username=<user_name> \
      --docker-password=<password> \
      --docker-email=<email>

  Copy to Clipboard Toggle word wrap

• 비밀을 ServiceAccount 에 연결하면 해당 서비스 계정을 사용하는 모든 포드에 비밀이 자동으로 적용됩니다.
• GitOps나 ArgoCD와 같은 환경에 유용한 워크로드 구성에서 imagePullSecrets를 직접 정의합니다.

프로세스

• 서비스 계정에 비밀을 추가하면 포드의 이미지를 가져오는 데 비밀을 사용할 수 있습니다. 서비스 계정의 이름은 Pod가 사용하는 서비스 계정의 이름과 일치해야 합니다. 기본 서비스 계정은 default 입니다.

  • 다음 명령을 입력하여 풀 시크릿을 ServiceAccount 에 연결합니다.

    $ oc secrets link default <pull_secret_name> --for=pull

    Copy to Clipboard Toggle word wrap

  • 변경 사항을 확인하려면 다음 명령을 입력하세요.

    $ oc get serviceaccount default -o yaml

    Copy to Clipboard Toggle word wrap

    출력 예

    apiVersion: v1
    imagePullSecrets:
    - name: default-dockercfg-123456
    - name: <pull_secret_name>
    kind: ServiceAccount
    metadata:
      annotations:
        openshift.io/internal-registry-pull-secret-ref: <internal_registry_pull_secret>
      creationTimestamp: "2025-03-03T20:07:52Z"
      name: default
      namespace: default
      resourceVersion: "13914"
      uid: 9f62dd88-110d-4879-9e27-1ffe269poe3
    secrets:
    - name: <pull_secret_name>

    Copy to Clipboard Toggle word wrap

• 비밀을 서비스 계정에 연결하는 대신, 포드나 워크로드 정의에서 직접 참조할 수도 있습니다. 이 기능은 ArgoCD와 같은 GitOps 워크플로에 유용합니다. 예를 들면 다음과 같습니다.

  포드 사양 예시

  apiVersion: v1
  kind: Pod
  metadata:
    name: <secure_pod_name>
  spec:
    containers:
    - name: <container_name>
      image: quay.io/my-private-image
    imagePullSecrets:
    - name: <pull_secret_name>

  Copy to Clipboard Toggle word wrap

  ArgoCD 워크플로우 예시

  apiVersion: argoproj.io/v1alpha1
  kind: Workflow
  metadata:
    generateName: <example_workflow>
  spec:
    entrypoint: <main_task>
    imagePullSecrets:
    - name: <pull_secret_name>

  Copy to Clipboard Toggle word wrap