4.9. 管理自定义目录

流程

1. 创建一个 CatalogSource 对象来引用索引镜像。

   1. 根据您的规格修改以下内容，并将它保存为 catalogSource.yaml 文件：

      apiVersion: operators.coreos.com/v1alpha1
      kind: CatalogSource
      metadata:
        name: my-operator-catalog
        namespace: openshift-marketplace 1
        annotations:
          olm.catalogImageTemplate: 2
            "<registry>/<namespace>/<index_image_name>:v{kube_major_version}.{kube_minor_version}.{kube_patch_version}"
      spec:
        sourceType: grpc
        image: <registry>/<namespace>/<index_image_name>:<tag> 3
        displayName: My Operator Catalog
        publisher: <publisher_name> 4
        updateStrategy:
          registryPoll: 5
            interval: 30m

      1

      如果您希望目录源对所有命名空间中的用户全局可用，请指定 openshift-marketplace 命名空间。否则，您可以指定一个不同的命名空间来对目录进行作用域并只对该命名空间可用。

      2

      可选：将 olm.catalogImageTemplate 注解设置为索引镜像名称，并使用一个或多个 Kubernetes 集群版本变量，如为镜像标签构建模板时所示。

      3

      指定索引镜像。如果您在镜像名称后指定了标签，如 :v4.10，则目录源 Pod 会使用镜像 pull 策略 Always，这意味着 pod 始终在启动容器前拉取镜像。如果您指定了摘要，如 @sha256:<id>，则镜像拉取策略为 IfNotPresent，这意味着仅在节点上不存在的镜像时才拉取镜像。

      4

      指定发布目录的名称或机构名称。

      5

      目录源可以自动检查新版本以保持最新。

   2. 使用该文件创建 CatalogSource 对象：

      $ oc apply -f catalogSource.yaml

2. 确定成功创建以下资源。

   1. 检查 pod:

      $ oc get pods -n openshift-marketplace

      输出示例

      NAME                                    READY   STATUS    RESTARTS  AGE
      my-operator-catalog-6njx6               1/1     Running   0         28s
      marketplace-operator-d9f549946-96sgr    1/1     Running   0         26h

   2. 检查目录源：

      $ oc get catalogsource -n openshift-marketplace

      输出示例

      NAME                  DISPLAY               TYPE PUBLISHER  AGE
      my-operator-catalog   My Operator Catalog   grpc            5s

   3. 检查软件包清单：

      $ oc get packagemanifest -n openshift-marketplace

      输出示例

      NAME                          CATALOG               AGE
      jaeger-product                My Operator Catalog   93s

流程

1. 为每个必需的私有 registry 创建 secret。

   1. 登录到私有 registry 以创建或更新 registry 凭证文件：

      $ podman login <registry>:<port>

      注意

      registry 凭证的文件路径可能会根据用于登录到 registry 的容器工具的不同而有所不同。对于 podman CLI，默认位置为 ${XDG_RUNTIME_DIR}/containers/auth.json。对于 docker CLI，默认位置为 /root/.docker/config.json。

   2. 建议您为每个 secret 只包含一个 registry 的凭证，并在单独的 secret 中为多个 registry 管理凭证。后续步骤中的 CatalogSource 可包括多个 secret，OpenShift Container Platform 会将这些 secret 合并为一个单独的虚拟凭证文件，以便在镜像拉取过程中使用。

      默认情况下，registry 凭证文件可以在一个 registry 中存储多个 registry 或多个存储库的详细信息。确认您的文件的当前内容。例如：

      为多个 registry 存储凭证的文件

      {
          "auths": {
              "registry.redhat.io": {
                  "auth": "FrNHNydQXdzclNqdg=="
              },
              "quay.io": {
                  "auth": "fegdsRib21iMQ=="
              },
              "https://quay.io/my-namespace/my-user/my-image": {
                  "auth": "eWfjwsDdfsa221=="
              },
              "https://quay.io/my-namespace/my-user": {
                  "auth": "feFweDdscw34rR=="
              },
              "https://quay.io/my-namespace": {
                  "auth": "frwEews4fescyq=="
              }
          }
      }

      由于此文件用于后续步骤中创建 secret，请确保为每个文件只存储一个 registry 的详情。这可使用以下方法之一完成：

      • 使用 podman logout <registry> 命令为额外 registry 删除凭证，直到您只保留一个 registry。

      • 编辑 registry 凭证文件，将 registry 详情分开以存储在多个文件中。例如：

        为一个 registry 存储凭证的文件

        {
                "auths": {
                        "registry.redhat.io": {
                                "auth": "FrNHNydQXdzclNqdg=="
                        }
                }
        }

        为另一个 registry 存储凭证的文件

        {
                "auths": {
                        "quay.io": {
                                "auth": "Xd2lhdsbnRib21iMQ=="
                        }
                }
        }

   3. 在 openshift-marketplace 命名空间中创建 secret，其中包含私有 registry 的身份验证凭证：

      $ oc create secret generic <secret_name> \
          -n openshift-marketplace \
          --from-file=.dockerconfigjson=<path/to/registry/credentials> \
          --type=kubernetes.io/dockerconfigjson

      重复此步骤，为任何其他需要的私有 registry 创建额外的 secret，更新 --from-file 标志以指定另一个 registry 凭证文件路径。

2. 创建或更新现有的 CatalogSource 对象以引用一个或多个 secret：

   apiVersion: operators.coreos.com/v1alpha1
   kind: CatalogSource
   metadata:
     name: my-operator-catalog
     namespace: openshift-marketplace
   spec:
     sourceType: grpc
     secrets: 1
     - "<secret_name_1>"
     - "<secret_name_2>"
     image: <registry>:<port>/<namespace>/<image>:<tag>
     displayName: My Operator Catalog
     publisher: <publisher_name>
     updateStrategy:
       registryPoll:
         interval: 30m

   1

   添加 spec.secrets 部分并指定任何所需 secret。

3. 如果订阅的 Operator 引用的任何 Operator 或 Operand 镜像需要访问私有 registry，您可以提供对集群中的所有命名空间或单独的目标租户命名空间的访问。

   • 要访问集群中的所有命名空间，请将身份验证详情添加到 openshift-config 命名空间中的全局集群 pull secret 中。

     警告

     集群资源必须调整为新的全局 pull secret，这样可暂时限制集群的可用性。

     1. 从全局 pull secret 中提取 .dockerconfigjson 文件：

        $ oc extract secret/pull-secret -n openshift-config --confirm

     2. 使用所需私有 registry 或 registry 的身份验证凭证更新 .dockerconfigjson 文件，并将它保存为新文件：

        $ cat .dockerconfigjson | \
            jq --compact-output '.auths["<registry>:<port>/<namespace>/"] |= . + {"auth":"<token>"}' \1
            > new_dockerconfigjson

        1

        将 <registry>:<port> /<namespace> 替换为私有 registry 的详情，将 <token> 替换为您的身份验证凭证。

     3. 使用新文件更新全局 pull secret：

        $ oc set data secret/pull-secret -n openshift-config \
            --from-file=.dockerconfigjson=new_dockerconfigjson

   • 要更新单个命名空间，请向 Operator 的服务帐户添加一个 pull secret，以便在目标租户命名空间中访问该 Operator。

     1. 在租户命名空间中为 openshift-marketplace 重新创建 secret：

        $ oc create secret generic <secret_name> \
            -n <tenant_namespace> \
            --from-file=.dockerconfigjson=<path/to/registry/credentials> \
            --type=kubernetes.io/dockerconfigjson

     2. 通过搜索租户命名空间来验证 Operator 的服务帐户名称：

        $ oc get sa -n <tenant_namespace> 1

        1

        如果 Operator 安装在单独的命名空间中，请搜索该命名空间。如果 Operator 已为所有命名空间安装，请搜索 openshift-operators 命名空间。

        输出示例

        NAME            SECRETS   AGE
        builder         2         6m1s
        default         2         6m1s
        deployer        2         6m1s
        etcd-operator   2         5m18s 1

        1

        已安装的 etcd Operator 的服务帐户。

     3. 将 secret 链接到 Operator 的服务帐户：

        $ oc secrets link <operator_sa> \
            -n <tenant_namespace> \
             <secret_name> \
            --for=pull

流程

1. 在 Web 控制台的 Administrator 视角中，导航到 Administration Cluster Settings。
2. 点 Configuration 选项卡，然后点 OperatorHub。
3. 点 Sources 选项卡。
4. 选择您要删除的目录的 Options 菜单 ，然后点 Delete CatalogSource。