1.3. 使用 RHEL 权利构建镜像

流程

1. 运行以下命令，使用集群的授权 secret 创建 SharedSecret 对象实例：

   $ oc apply -f -<<EOF
   apiVersion: sharedresource.openshift.io/v1alpha1
   kind: SharedSecret
   metadata:
     name: etc-pki-entitlement
   spec:
     secretRef:
       name: etc-pki-entitlement
       namespace: openshift-config-managed
   EOF

2. 创建 ClusterRole 对象，以授予使用以下示例配置访问 SharedSecret 对象的权限：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: use-share-etc-pki-entitlement 

   1

   
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - use

   1

   ClusterRole CR 的名称。

3. 创建 Role 和 RoleBinding 对象，为 Shared Resource CSI 驱动程序授予访问 SharedSecret 对象的权限：

   Role 对象示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   rules:
     - apiGroups:
         - ""
       resources:
         - secrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - get
         - list
         - watch

   1

   Role CR 的名称。

   RoleBinding 对象示例

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: share-etc-pki-entitlement 

   1

   
     namespace: openshift-config-managed
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: Role
     name: share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: csi-driver-shared-resource
       namespace: openshift-builds 

   2

   1

   RoleBinding CR 的名称。

   2

   安装 openshift-builds 的命名空间的名称。

4. 为运行构建的命名空间中 构建器和 管道 服务帐户创建 RoleBinding 对象：

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: use-share-etc-pki-entitlement 

   1

   
   roleRef:
     apiGroup: rbac.authorization.k8s.io
     kind: ClusterRole
     name: use-share-etc-pki-entitlement
   subjects:
     - kind: ServiceAccount
       name: pipeline
     - kind: ServiceAccount
       name: builder

   1

   构建器 和管道 服务帐户的 RoleBinding CR 的名称。

   注意

   使用 SharedSecret 对象的服务帐户由 OpenShift 控制器创建和管理。

5. 使用 buildah 构建策略挂载 SharedSecret 对象。请参见以下示例：

   $ oc apply -f -<<EOF
   apiVersion: shipwright.io/v1beta1
   kind: Build
   metadata:
     name: buildah-rhel
   spec:
     source:
       type: Git
         git:
         url: https://github.com/redhat-openshift-builds/samples
       contextDir: buildah-build
     strategy:
       name: buildah
       kind: ClusterBuildStrategy
     paramValues:
     - name: dockerfile
       value: DockerFile
     volumes:
     - csi:
         driver: csi.sharedresource.openshift.io
         readOnly: true 

   1

   
         volumeAttributes:
           sharedSecret: <sharedsecret_object_name> 

   2

   
       name: etc-pki-entitlement
     output:
       image: <output_image_location> 

   3

   
   EOF

   1

   您必须将 readOnly 设置为 true，以便在构建中挂载共享资源。

   2

   将 <sharedsecret_object_name > 替换为 SharedSecret 对象的名称，使其包含在构建中。

   3

   将 <output_image_location > 替换为您要推送构建的镜像的位置。