Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

9.4. 镜像配置

了解并配置镜像 registry 设置。

9.4.1. 镜像控制器配置参数
复制链接

Image.config.openshift.io/cluster 资源包含有关如何处理镜像的集群范围信息。规范且唯一有效的名称是 cluster。它的 spec 提供以下配置参数。

注意

参数，如 DisableScheduledImport, MaxImagesBulkImportedPerRepository, MaxScheduledImportsPerMinute, ScheduledImageImportMinimumIntervalSeconds, InternalRegistryHostname 不可配置。

Expand
参数描述

allowedRegistriesForImport

限制普通用户可从中导入镜像的容器镜像 registry。将此列表设置为您信任包含有效镜像且希望应用程序能够从中导入的 registry。有权从 API 创建镜像或 ImageStreamMappings 的用户不受此策略的影响。通常只有集群管理员具有适当权限。

这个列表中的每个项包含由 registry 域名指定的 registry 的位置。

domainname：指定 registry 的域名。如果 registry 使用非标准的 80 或 443 端口，则该端口也应包含在域名中。

insecure：不安全指示 registry 是否安全。默认情况下，如果未另行指定，registry 假定为安全。

additionalTrustedCA

对包含 image stream import、pod image pull、openshift-image-registry pullthrough 和构建期间应受信任的额外 CA 的配置映射的引用。

此配置映射的命名空间为 openshift-config。ConfigMap 的格式是使用 registry 主机名作为键，使用 PEM 编码证书作为值，用于每个要信任的额外 registry CA。

externalRegistryHostnames

提供默认外部镜像 registry 的主机名。只有在镜像 registry 对外公开时才应设置外部主机名。第一个值用于镜像流中的 publicDockerImageRepository 字段。该值必须采用 hostname[:port] 格式。

registrySources

包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。例如，是否允许不安全的访问。它不包含内部集群 registry 的配置。

insecureRegistries：无有效 TLS 证书或仅支持 HTTP 连接的 registry。要指定所有子域，请在域名中添加星号 (*) 通配符字符作为前缀。例如： *.example.com。您可以在 registry 中指定单独的软件仓库。例如： reg1.io/myrepo/myapp:latest。

blockedRegistries：拒绝镜像拉取（pull）和推送（push）操作的 registry。要指定所有子域，请在域名中添加星号 (*) 通配符字符作为前缀。例如： *.example.com。您可以在 registry 中指定单独的软件仓库。例如： reg1.io/myrepo/myapp:latest。允许所有其他 registry。

allowedRegistries：允许镜像拉取（pull）和推送（push）操作的 registry。要指定所有子域，请在域名中添加星号 (*) 通配符字符作为前缀。例如： *.example.com。您可以在 registry 中指定单独的软件仓库。例如： reg1.io/myrepo/myapp:latest。阻止所有其他 registry。

containerRuntimeSearchRegistries：允许使用镜像短名称的镜像拉取（pull）和推送（push）操作的 registry。阻止所有其他 registry。

可以设置 blockedRegistries 或 allowedRegistries ，但不能同时都被设置。

警告

当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。当使用参数时，为了避免 pod 失败，将所有 registry（包括 registry.redhat.io 和 quay.io registry）和 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。对于断开连接的集群，还应添加镜像的 registry。

image.config.openshift.io/cluster 资源的 status 项包括了从集群观察到的值。

Expand
参数描述

internalRegistryHostname

由控制 internalRegistryHostname 的 Image Registry Operator 设置。它设置默认 OpenShift 镜像 registry 的主机名。该值必须采用 hostname[:port] 格式。为实现向后兼容，您仍可使用 OPENSHIFT_DEFAULT_REGISTRY 环境变量，但该设置会覆盖环境变量。

externalRegistryHostnames

由 Image Registry Operator 设置，在镜像 registry 通过外部公开时为它提供外部主机名。第一个值用于镜像流中的 publicDockerImageRepository 字段。该值必须采用 hostname[:port] 格式。

9.4.2. 配置镜像 registry 设置
复制链接

您可以通过编辑 image.config.openshift.io/cluster 自定义资源（CR）来配置镜像 registry 设置。当对 registry 的更改应用到 image.config.openshift.io/cluster CR 时，Machine Config Operator (MCO) 执行以下顺序操作：

  1. 对节点进行 cordon 操作
  2. 通过重启 CRI-O 应用更改

  3. 取消记录节点

    注意

    MCO 在检测到更改时不会重启节点。

流程

  1. 编辑 image.config.openshift.io/cluster 自定义资源： 

    $ oc edit image.config.openshift.io/cluster
    Copy to Clipboard Toggle word wrap

    以下是 image.config.openshift.io/cluster CR 示例： 

    apiVersion: config.openshift.io/v1
kind: Image
    1 
    
metadata:
  annotations:
    release.openshift.io/create-only: "true"
  creationTimestamp: "2019-05-17T13:44:26Z"
  generation: 1
  name: cluster
  resourceVersion: "8302"
  selfLink: /apis/config.openshift.io/v1/images/cluster
  uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
spec:
  allowedRegistriesForImport:
    2 
    
    - domainName: quay.io
      insecure: false
  additionalTrustedCA:
    3 
    
    name: myconfigmap
  registrySources:
    4 
    
    allowedRegistries:
    - example.com
    - quay.io
    - registry.redhat.io
    - image-registry.openshift-image-registry.svc:5000
    - reg1.io/myrepo/myapp:latest
    insecureRegistries:
    - insecure.com
status:
  internalRegistryHostname: image-registry.openshift-image-registry.svc:5000
    Copy to Clipboard Toggle word wrap
    1
    Image：包含有关如何处理镜像的集群范围信息。规范且唯一有效的名称是 cluster。
    2
    allowedRegistriesForImport：限制普通用户可从中导入镜像的容器镜像 registry。将此列表设置为您信任包含有效镜像且希望应用程序能够从中导入的 registry。有权从 API 创建镜像或 ImageStreamMappings 的用户不受此策略的影响。通常只有集群管理员具有适当权限。
    3
    additionalTrustedCA：引用包含镜像流导入、Pod 镜像拉取、openshift-image-registry pullthrough 和构建期间受信任的额外证书颁发机构（CA）的配置映射。此配置映射的命名空间为 openshift-config。ConfigMap 的格式是使用 registry 主机名作为键，使用 PEM 证书作为值，用于每个要信任的额外 registry CA。
    4
    registrySources ：包含用于决定容器运行时在访问构建和 pod 的镜像时是否允许或阻止个别 registry 的配置。可以设置 allowedRegistries 参数或 blockedRegistries 参数，但不能同时设置这两个参数。您还可以定义是否允许访问允许使用镜像短名称的不安全的 registry。本例使用 allowedRegistries 参数，该参数定义允许使用的 registry。不安全 registry insecure.com 也被允许。registrySources 参数不包含内部集群 registry 的配置。
    注意

    当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。如果使用参数，为了避免 pod 失败，您必须将 registry.redhat.io 和 quay.io registry 以及 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。不要将 registry.redhat.io 和 quay.io registry 添加到 blockedRegistries 列表中。

    使用 allowedRegistries、blockedRegistries 或 insecureRegistries 参数时，您可以在 registry 中指定单独的存储库。例如： reg1.io/myrepo/myapp:latest。

    应避免使用不安全的外部 registry，以减少可能的安全性风险。

  2. 要检查是否应用了更改，请列出您的节点： 

    $ oc get nodes
    Copy to Clipboard Toggle word wrap

    输出示例

    NAME                                         STATUS                     ROLES                  AGE   VERSION
ip-10-0-137-182.us-east-2.compute.internal   Ready,SchedulingDisabled   worker                 65m   v1.25.4+77bec7a
ip-10-0-139-120.us-east-2.compute.internal   Ready,SchedulingDisabled   control-plane          74m   v1.25.4+77bec7a
ip-10-0-176-102.us-east-2.compute.internal   Ready                      control-plane          75m   v1.25.4+77bec7a
ip-10-0-188-96.us-east-2.compute.internal    Ready                      worker                 65m   v1.25.4+77bec7a
ip-10-0-200-59.us-east-2.compute.internal    Ready                      worker                 63m   v1.25.4+77bec7a
ip-10-0-223-123.us-east-2.compute.internal   Ready                      control-plane          73m   v1.25.4+77bec7a
    Copy to Clipboard Toggle word wrap

如需有关允许、阻止和不安全的 registry 参数的更多信息，请参阅配置镜像 registry 设置。

Image.config.openshift.io/cluster 自定资源可包含对配置映射的引用，该配置映射包含要在镜像 registry 访问期间被信任的额外证书颁发机构。

先决条件

  • 证书颁发机构（CA）必须经过 PEM 编码。

流程

您可以在openshift-config命名空间中创建配置映射，并在 image.config.openshift.io 子定义资源中的 AdditionalTrustedCA 中使用其名称，以提供与外部 registry 联系时可以被信任的额外CA。

对于每个要信任的额外 registry CA，配置映射键是带有要信任此 CA 的端口的 registry 的主机名，而 PEM 证书内容是要信任的每个额外 registry CA。

镜像 registry CA 配置映射示例

apiVersion: v1
kind: ConfigMap
metadata:
  name: my-registry-ca
data:
  registry.example.com: |
    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----
  registry-with-port.example.com..5000: |
1 

    -----BEGIN CERTIFICATE-----
    ...
    -----END CERTIFICATE-----
Copy to Clipboard Toggle word wrap

1
如果 registry 带有端口，如 registry-with-port.example.com:5000，: 需要被 .. 替换。

您可以按照以下过程配置其他CA。

  1. 配置其他CA： 

    $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config
    Copy to Clipboard Toggle word wrap 
    $ oc edit image.config.openshift.io cluster
    Copy to Clipboard Toggle word wrap 
    spec:
  additionalTrustedCA:
    name: registry-config
    Copy to Clipboard Toggle word wrap

9.4.2.2. 配置镜像 registry 存储库镜像
复制链接

通过设置容器 registry 存储库镜像，您可以进行以下操作：

  • 配置 OpenShift Container Platform 集群，以便重定向从源镜像 registry 上的存储库拉取（pull）镜像的请求，并通过已镜像 (mirror) 的镜像 registry 上的存储库来解决该请求。
  • 为每个目标存储库识别多个已镜像 (mirror)的存储库，以确保如果一个镜像停止运作，仍可使用其他镜像。

OpenShift Container Platform 中存储库镜像的属性包括：

  • 镜像拉取（pull）可应对 registry 停机的问题。
  • 在断开连接的环境中的集群可以从关键位置（如 quay.io）拉取镜像，并让公司防火墙后面的 registry 提供请求的镜像。
  • 发出镜像拉取（pull）请求时尝试特定 registry 顺序，通常最后才会尝试持久性 registry。
  • 您所输入的镜像信息会添加到 OpenShift Container Platform 集群中每个节点上的 /etc/containers/registries.conf 文件中。
  • 当节点从源存储库中请求镜像时，它会依次尝试每个已镜像的存储库，直到找到所请求的内容。如果所有镜像均失败，集群则会尝试源存储库。如果成功，则镜像拉取至节点中。

可通过以下方式设置存储库镜像：

  • 在 OpenShift Container Platform 安装中：

    通过拉取（pull） OpenShift Container Platform 所需的容器镜像，然后将这些镜像放至公司防火墙后，即可将 OpenShift Container Platform 安装到受限网络中的数据中心。

  • 安装 OpenShift Container Platform 后：

    即使没有在 OpenShift Container Platform 安装期间配置镜像 (mirror)，之后您仍可使用 ImageContentSourcePolicy 对象进行配置。

以下流程提供安装后镜像配置，您可在此处创建 ImageContentSourcePolicy 对象来识别：

  • 您希望镜像 (mirror) 的容器镜像存储库的源。
  • 您希望为其提供从源存储库请求的内容的每个镜像存储库的单独条目。
注意

您只能为具有 ImageContentSourcePolicy 对象的集群配置全局 pull secret。您不能在项目中添加 pull secret。

先决条件

  • 使用具有 cluster-admin 角色的用户访问集群。

流程

  1. 通过以下方法配置已镜像的存储库：

    • 按照 Red Hat Quay 存储库镜像中所述，使用 Red Hat Quay 来设置已镜像的存储库。使用 Red Hat Quay 有助于您将镜像从一个存储库复制到另一存储库，并可随着时间的推移重复自动同步这些存储库。

    • 使用 skopeo 等工具手动将镜像从源目录复制到已镜像的存储库。

      例如：在 Red Hat Enterprise Linux（RHEL 7 或 RHEL 8）系统上安装 skopeo RPM 软件包后，使用 skopeo 命令，如下例所示： 

      $ skopeo copy \
docker://registry.access.redhat.com/ubi8/ubi-minimal@sha256:5cfbaf45ca96806917830c183e9f37df2e913b187adb32e89fd83fa455ebaa6 \
docker://example.io/example/ubi-minimal
      Copy to Clipboard Toggle word wrap

      在本例中，您有一个名为 example.io 的容器镜像 registry，其中包含一个名为 example 的镜像存储库，您希望将 ubi8/ubi-minimal 镜像从 registry.access.redhat.com 复制到此镜像存储库。创建该 registry 后，您可将 OpenShift Container Platform 集群配置为将源存储库的请求重定向到已镜像的存储库。

  2. 登录您的 OpenShift Container Platform 集群。

  3. 创建 ImageContentSourcePolicy 文件（如：registryrepomirror.yaml），将源和镜像 (mirror) 替换为您自己的 registry、存储库对和镜像中的源和镜像： 

    apiVersion: operator.openshift.io/v1alpha1
kind: ImageContentSourcePolicy
metadata:
  name: ubi8repo
spec:
  repositoryDigestMirrors:
  - mirrors:
    - example.io/example/ubi-minimal
    1 
    
    - example.com/example/ubi-minimal
    2 
    
    source: registry.access.redhat.com/ubi8/ubi-minimal
    3 
    
  - mirrors:
    - mirror.example.com/redhat
    source: registry.redhat.io/openshift4
    4 
    
  - mirrors:
    - mirror.example.com
    source: registry.redhat.io
    5 
    
  - mirrors:
    - mirror.example.net/image
    source: registry.example.com/example/myimage
    6 
    
  - mirrors:
    - mirror.example.net
    source: registry.example.com/example
    7 
    
  - mirrors:
    - mirror.example.net/registry-example-com
    source: registry.example.com
    8
    Copy to Clipboard Toggle word wrap
    1
    指明镜像 registry 和存储库的名称。
    2
    表示每个目标仓库的多个镜像仓库。如果一个镜像停机，则目标仓库可以使用另一个镜像。
    3
    指明包含所镜像内容的 registry 和存储库。
    4
    您可以在 registry 中配置命名空间以使用该命名空间中的任何镜像。如果您使用 registry 域作为源，ImageContentSourcePolicy 资源将应用到 registry 中的所有存储库。
    5
    如果配置 registry 名称，则 ImageContentSourcePolicy 资源将应用到源 registry 中的所有软件仓库。
    6
    拉取镜像 mirror.example.net/image@sha256:…​。
    7
    从 mirror mirror.example.net/myimage@sha256:…​ 的源 registry 命名空间中拉取镜像 myimage。
    8
    从 mirror registry mirror.example.net/registry-example-com/example/myimage@sha256:…​ 拉取镜像 registry.example.com/example/myimage。ImageContentSourcePolicy 资源会应用到源 registry 中的所有仓库到到 mirror registry mirror.example.net/registry-example-com。

  4. 创建新的 ImageContentSourcePolicy 对象： 

    $ oc create -f registryrepomirror.yaml
    Copy to Clipboard Toggle word wrap

    创建 ImageContentSourcePolicy 对象后，新的设置将部署到每个节点，集群开始使用已镜像的存储库来响应源存储库请求。

  5. 要检查是否应用了已镜像的配置设置，在其中一个节点上执行以下内容。

    1. 列出您的节点： 

      $ oc get node
      Copy to Clipboard Toggle word wrap

      输出示例

      NAME                           STATUS                     ROLES    AGE  VERSION
ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.24.0
ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.24.0
ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.24.0
ip-10-0-147-35.ec2.internal    Ready                      worker   7m   v1.24.0
ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.24.0
ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.24.0
      Copy to Clipboard Toggle word wrap

      Imagecontentsourcepolicy 资源不会重启节点。

    2. 启动调试过程以访问节点： 

      $ oc debug node/ip-10-0-147-35.ec2.internal
      Copy to Clipboard Toggle word wrap

      输出示例

      Starting pod/ip-10-0-147-35ec2internal-debug ...
To use host binaries, run `chroot /host`
      Copy to Clipboard Toggle word wrap

    3. 将您的根目录改为 /host ： 

      sh-4.2# chroot /host
      Copy to Clipboard Toggle word wrap

    4. 检查 /etc/containers/registries.conf 文件，确保已完成更改： 

      sh-4.2# cat /etc/containers/registries.conf
      Copy to Clipboard Toggle word wrap

      输出示例

      unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
short-name-mode = ""

[[registry]]
  prefix = ""
  location = "registry.access.redhat.com/ubi8/ubi-minimal"
  mirror-by-digest-only = true

  [[registry.mirror]]
    location = "example.io/example/ubi-minimal"

  [[registry.mirror]]
    location = "example.com/example/ubi-minimal"

[[registry]]
  prefix = ""
  location = "registry.example.com"
  mirror-by-digest-only = true

  [[registry.mirror]]
    location = "mirror.example.net/registry-example-com"

[[registry]]
  prefix = ""
  location = "registry.example.com/example"
  mirror-by-digest-only = true

  [[registry.mirror]]
    location = "mirror.example.net"

[[registry]]
  prefix = ""
  location = "registry.example.com/example/myimage"
  mirror-by-digest-only = true

  [[registry.mirror]]
    location = "mirror.example.net/image"

[[registry]]
  prefix = ""
  location = "registry.redhat.io"
  mirror-by-digest-only = true

  [[registry.mirror]]
    location = "mirror.example.com"

[[registry]]
  prefix = ""
  location = "registry.redhat.io/openshift4"
  mirror-by-digest-only = true

  [[registry.mirror]]
    location = "mirror.example.com/redhat"
      Copy to Clipboard Toggle word wrap

    5. 将镜像摘要从源拉取到节点，并检查是否通过镜像解析。ImageContentSourcePolicy 对象仅支持镜像摘要，不支持镜像标签。 

      sh-4.2# podman pull --log-level=debug registry.access.redhat.com/ubi8/ubi-minimal@sha256:5cfbaf45ca96806917830c183e9f37df2e913b187adb32e89fd83fa455ebaa6
      Copy to Clipboard Toggle word wrap

存储库镜像故障排除

如果存储库镜像流程未按规定工作，请使用以下有关存储库镜像如何工作的信息协助排查问题。

  • 首个工作镜像用于提供拉取（pull）的镜像。
  • 只有在无其他镜像工作时，才会使用主 registry。
  • 从系统上下文，Insecure 标志用作回退。
  • 最近更改了 /etc/containers/registries.conf 文件的格式。现在它是第 2 版，采用 TOML 格式。
返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat