6장. Buildah를 루트가 아닌 사용자로 사용하여 컨테이너 이미지 빌드

프로세스

1. openshift-pipelines 네임스페이스에 제공된 buildah 작업의 사본을 생성하고 복사 이름을 buildah-as-user 로 변경하려면 다음 명령을 입력합니다.

   $ oc get task buildah -n openshift-pipelines -o yaml | yq '. |= (del .metadata |= with_entries(select(.key == "name" )))' | yq '.kind="Task"' | yq '.metadata.name="buildah-as-user"' | oc create -f -

2. 다음 명령을 입력하여 복사한 buildah 작업을 편집합니다.

   $ oc edit task buildah-as-user

   다음 예와 같이 새 작업에서 주석 및 stepTemplate 섹션을 생성합니다.

   buildah-as-user 작업에 추가된 예

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     annotations:
       io.kubernetes.cri-o.userns-mode: 'auto:size=65536;map-to-root=true'
       io.openshift.builder: 'true'
     name: assemble-containerimage
     namespace: pipeline-namespace
   spec:
     description: This task builds an image.
   #  ...
     stepTemplate:
       env:
         - name: HOME
           value: /tekton/home
       image: $(params.builder-image)
       imagePullPolicy: IfNotPresent
       name: ''
       resources:
         limits:
           cpu: '1'
           memory: 4Gi
         requests:
           cpu: 100m
           memory: 2Gi
       securityContext:
         capabilities:
           add:
             - SETFCAP
         runAsNonRoot: true
         runAsUser: 1000 1
       workingDir: $(workspaces.working-directory.path)
   #  ...

   1

   podTemplate 이 사용되므로 runAsUser: 설정은 엄격하게 필요하지 않습니다.

3. 새 buildah-as-user 작업을 사용하여 파이프라인에 이미지를 빌드합니다.