4.9. 管理自定义目录

流程

1. 初始化目录：

   1. 运行以下命令，为目录创建一个目录：

      $ mkdir <catalog_dir>

   2. 运行 opm generate dockerfile 命令生成可构建目录镜像的 Dockerfile：

      $ opm generate dockerfile <catalog_dir> \
          -i registry.redhat.io/openshift4/ose-operator-registry:v4.12 1

      1

      使用 -i 标志指定官方红帽基础镜像，否则 Dockerfile 使用默认的上游镜像。

      Dockerfile 必须与您在上一步中创建的目录目录位于相同的父目录中：

      目录结构示例

      . 1
      ├── <catalog_dir> 2
      └── <catalog_dir>.Dockerfile 3

      1

      父目录

      2

      Catalog 目录

      3

      opm generate dockerfile 命令生成的 Dockerfile

   3. 运行 opm init 命令，使用 Operator 的软件包定义填充目录：

      $ opm init <operator_name> \ 1
          --default-channel=preview \ 2
          --description=./README.md \ 3
          --icon=./operator-icon.svg \ 4
          --output yaml \ 5
          > <catalog_dir>/index.yaml 6

      1

      operator 或 package, name

      2

      在未指定时该订阅默认到的频道

      3

      Operator 的 README.md 或者其它文档的路径

      4

      到 Operator 图标的路径

      5

      输出格式：JSON 或 YAML

      6

      创建目录配置文件的路径

      此命令在指定的目录配置文件中生成 olm.package 声明性配置 blob。

2. 运行 opm render 命令向目录添加捆绑包：

   $ opm render <registry>/<namespace>/<bundle_image_name>:<tag> \ 1
       --output=yaml \
       >> <catalog_dir>/index.yaml 2

   1

   拉取捆绑包镜像的 spec

   2

   目录配置文件的路径

   注意

   频道必须至少包含一个捆绑包。

3. 为捆绑包添加频道条目。例如，根据您的规格修改以下示例，并将其添加到 <catalog_dir>/index.yaml 文件中：

   频道条目示例

   ---
   schema: olm.channel
   package: <operator_name>
   name: preview
   entries:
     - name: <operator_name>.v0.1.0 1

   1

   确定在 <operator_name> 之后、版本 v 中包含句点 (.)。否则，条目无法传递 opm validate 命令。

4. 验证基于文件的目录：

   1. 针对目录目录运行 opm validate 命令：

      $ opm validate <catalog_dir>

   2. 检查错误代码是否为 0:

      $ echo $?

      输出示例

      0

5. 运行 podman build 命令构建目录镜像：

   $ podman build . \
       -f <catalog_dir>.Dockerfile \
       -t <registry>/<namespace>/<catalog_image_name>:<tag>

6. 将目录镜像推送到 registry：

   1. 如果需要，运行 podman login 命令与目标 registry 进行身份验证：

      $ podman login <registry>

   2. 运行 podman push 命令来推送目录镜像：

      $ podman push <registry>/<namespace>/<catalog_image_name>:<tag>

流程

1. 以 YAML 格式将目录镜像的内容提取到 catalog 目录中的 index.yaml 文件中：

   $ opm render <registry>/<namespace>/<catalog_image_name>:<tag> \
       -o yaml > <catalog_dir>/index.yaml

   注意

   或者，您可以使用 -o json 标志以 JSON 格式输出。

2. 通过更新、添加或删除一个或多个 Operator 软件包条目，将生成的 index.yaml 文件的内容修改为您的规格。

   重要

   在目录中发布捆绑包后，假设您安装了其中一个用户。确保之前发布目录中的所有捆绑包都具有到当前或更新频道头的更新路径，以避免安装该版本的用户。

   例如，如果要删除 Operator 软件包，以下示例列出了一组 olm.package、olm.channel 和 olm.bundle blob，它们必须删除才能从目录中删除软件包：

   例 4.1. 删除条目示例

   ---
   defaultChannel: release-2.7
   icon:
     base64data: <base64_string>
     mediatype: image/svg+xml
   name: example-operator
   schema: olm.package
   ---
   entries:
   - name: example-operator.v2.7.0
     skipRange: '>=2.6.0 <2.7.0'
   - name: example-operator.v2.7.1
     replaces: example-operator.v2.7.0
     skipRange: '>=2.6.0 <2.7.1'
   - name: example-operator.v2.7.2
     replaces: example-operator.v2.7.1
     skipRange: '>=2.6.0 <2.7.2'
   - name: example-operator.v2.7.3
     replaces: example-operator.v2.7.2
     skipRange: '>=2.6.0 <2.7.3'
   - name: example-operator.v2.7.4
     replaces: example-operator.v2.7.3
     skipRange: '>=2.6.0 <2.7.4'
   name: release-2.7
   package: example-operator
   schema: olm.channel
   ---
   image: example.com/example-inc/example-operator-bundle@sha256:<digest>
   name: example-operator.v2.7.0
   package: example-operator
   properties:
   - type: olm.gvk
     value:
       group: example-group.example.io
       kind: MyObject
       version: v1alpha1
   - type: olm.gvk
     value:
       group: example-group.example.io
       kind: MyOtherObject
       version: v1beta1
   - type: olm.package
     value:
       packageName: example-operator
       version: 2.7.0
   - type: olm.bundle.object
     value:
       data: <base64_string>
   - type: olm.bundle.object
     value:
       data: <base64_string>
   relatedImages:
   - image: example.com/example-inc/example-related-image@sha256:<digest>
     name: example-related-image
   schema: olm.bundle
   ---

3. 将更改保存到 index.yaml 文件。

4. 验证目录：

   $ opm validate <catalog_dir>

5. 重建目录：

   $ podman build . \
       -f <catalog_dir>.Dockerfile \
       -t <registry>/<namespace>/<catalog_image_name>:<tag>

6. 将更新的目录镜像推送到 registry：

   $ podman push <registry>/<namespace>/<catalog_image_name>:<tag>

验证

1. 在 Web 控制台中，进入 Administration Cluster Settings Configuration 页面中的 OperatorHub 配置资源。

2. 添加目录源或更新现有目录源，以便将 pull spec 用于更新的目录镜像。

   如需更多信息，请参阅本节的"添加资源"中的"在集群中添加目录源"。

3. 在目录源处于 READY 状态后，进入 Operators OperatorHub 页面，检查您所做的更改是否反映在 Operator 列表中。

流程

1. 启动一个新的索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<bundle_image_name>:<tag> \1
       --tag <registry>/<namespace>/<index_image_name>:<tag> \2
       [--binary-image <registry_base_image>] 3

   1

   要添加到索引中的捆绑包镜像以逗号分隔的列表。

   2

   希望索引镜像具有的镜像标签。

   3

   可选：用于为目录提供服务的备选 registry 基础镜像。

2. 将索引镜像推送到 registry。

   1. 如果需要，与目标 registry 进行身份验证：

      $ podman login <registry>

   2. 推送索引镜像：

      $ podman push <registry>/<namespace>/<index_image_name>:<tag>

流程

1. 通过添加捆绑包镜像来更新现有索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<new_bundle_image>@sha256:<digest> \1
       --from-index <registry>/<namespace>/<existing_index_image>:<existing_tag> \2
       --tag <registry>/<namespace>/<existing_index_image>:<updated_tag> \3
       --pull-tool podman 4

   1

   --bundles 标志指定要添加到索引中的、以逗号分隔的额外捆绑包镜像列表。

   2

   --from-index 标志指定之前推送的索引。

   3

   --tag 标志指定要应用到更新的索引镜像的镜像标签。

   4

   --pull-tool 标志指定用于拉取容器镜像的工具。

   其中：

   <registry>

   指定 registry 的主机名，如 quay.io 或 mirror.example.com。

   <namespace>

   指定 registry 的命名空间，如 ocs-dev 或 abc。

   <new_bundle_image>

   指定要添加到 registry 的新捆绑包镜像，如 ocs-operator。

   <digest>

   指定捆绑包镜像的 SHA 镜像 ID 或摘要，如 c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41。

   <existing_index_image>

   指定之前推送的镜像，如 abc-redhat-operator-index。

   <existing_tag>

   指定之前推送的镜像标签，如 4.12。

   <updated_tag>

   指定要应用到更新的索引镜像的镜像标签，如 4.12.1。

   示例命令

   $ opm index add \
       --bundles quay.io/ocs-dev/ocs-operator@sha256:c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41 \
       --from-index mirror.example.com/abc/abc-redhat-operator-index:4.12 \
       --tag mirror.example.com/abc/abc-redhat-operator-index:4.12.1 \
       --pull-tool podman

2. 推送更新的索引镜像：

   $ podman push <registry>/<namespace>/<existing_index_image>:<updated_tag>

3. Operator Lifecycle Manager（OLM）会在常规时间段内自动轮询目录源中引用的索引镜像，验证是否已成功添加新软件包：

   $ oc get packagemanifests -n openshift-marketplace

流程

1. 通过目标 registry 进行身份验证：

   $ podman login <target_registry>

2. 确定您要包括在您的修剪索引中的软件包列表。

   1. 运行您要修剪容器中的源索引镜像。例如：

      $ podman run -p50051:50051 \
          -it registry.redhat.io/redhat/redhat-operator-index:v4.12

      输出示例

      Trying to pull registry.redhat.io/redhat/redhat-operator-index:v4.12...
      Getting image source signatures
      Copying blob ae8a0c23f5b1 done
      ...
      INFO[0000] serving registry                              database=/database/index.db port=50051

   2. 在一个单独的终端会话中，使用 grpcurl 命令获取由索引提供的软件包列表：

      $ grpcurl -plaintext localhost:50051 api.Registry/ListPackages > packages.out

   3. 检查 package.out 文件，确定要保留在此列表中的哪个软件包名称。例如：

      软件包列表片断示例

      ...
      {
        "name": "advanced-cluster-management"
      }
      ...
      {
        "name": "jaeger-product"
      }
      ...
      {
      {
        "name": "quay-operator"
      }
      ...

   4. 在您执行 podman run 命令的终端会话中，按 Ctrl 和 C 停止容器进程。

3. 运行以下命令来修剪指定软件包以外的所有源索引：

   $ opm index prune \
       -f registry.redhat.io/redhat/redhat-operator-index:v4.12 \1
       -p advanced-cluster-management,jaeger-product,quay-operator \2
       [-i registry.redhat.io/openshift4/ose-operator-registry:v4.9] \3
       -t <target_registry>:<port>/<namespace>/redhat-operator-index:v4.12 4

   1

   到修剪的索引。

   2

   要保留的软件包用逗号隔开。

   3

   只适用于 IBM Power 和 IBM Z 镜像： Operator Registry 基础镜像和与目标 OpenShift Container Platform 集群主版本和次版本匹配的标签。

   4

   用于正在构建新索引镜像的自定义标签。

4. 运行以下命令将新索引镜像推送到目标 registry:

   $ podman push <target_registry>:<port>/<namespace>/redhat-operator-index:v4.12

   其中 <namespace> 是 registry 上的任何现有命名空间。

流程

1. 运行以下命令，将 SQLite 数据库目录迁移到基于文件的目录：

   $ opm migrate <registry_image> <fbc_directory>

2. 运行以下命令，为您的基于文件的目录生成 Dockerfile：

   $ opm generate dockerfile <fbc_directory> \
     --binary-image \
     registry.redhat.io/openshift4/ose-operator-registry:v4.12

流程

1. 通过将 spec.grpcPodConfig.securityContextConfig 标签设置为 legacy 来编辑 CatalogSource 定义，如下例所示：

   CatalogSource 定义示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: CatalogSource
   metadata:
     name: my-catsrc
     namespace: my-ns
   spec:
     sourceType: grpc
     grpcPodConfig:
       securityContextConfig: legacy
     image: my-image:latest

   提示

   在 OpenShift Container Platform 4.12 中，spec.grpcPodConfig.securityContextConfig 字段默认设置为 legacy。在以后的发行版本中，计划默认设置将更改为 restricted。如果您的目录无法在受限强制下运行，建议您手动将此字段设置为 legacy。

2. 编辑 <namespace>.yaml 文件，将升级的 pod 安全准入标准添加到目录源命名空间中，如下例所示：

   <namespace>.yaml 文件示例

   apiVersion: v1
   kind: Namespace
   metadata:
   ...
     labels:
       security.openshift.io/scc.podSecurityLabelSync: "false" 1
       openshift.io/cluster-monitoring: "true"
       pod-security.kubernetes.io/enforce: baseline 2
     name: "<namespace_name>"

   1

   通过在命名空间中添加 security.openshift.io/scc.podSecurityLabelSync=false 标签来关闭 pod 安全标签同步。

   2

   应用 pod 安全准入 pod-security.kubernetes.io/enforce 标签。将标签设置为 baseline 或 privileged。使用 baseline pod 安全配置集，除非命名空间中的其他工作负载需要 privileged 配置集。