镜像

• 如果 Cluster Samples Operator 在全新安装后初始启动时三分钟后仍无法访问 registry.redhat.io。
• 如果 Cluster Samples Operator 检测到它位于 IPv6 网络中。
• 镜像控制器配置参数 阻止使用默认镜像 registry 或通过 samplesRegistry 设置 指定的镜像 registry 创建镜像流。

• 如果在安装过程中删除了 Cluster Samples Operator，您可以使用带有备用 registry 的 Cluster Samples Operator，以便导入内容，然后将 Cluster Samples Operator 设置为 Managed 来获取示例。

• 在带有初始网络访问权限的受限网络安装中确保 Cluster Samples Operator 引导为 Removed，直到您决定需要哪些样本，请按照自定义节点来覆盖 Cluster Samples Operator 默认配置，最初以 Removed 的形式出现。https://docs.redhat.com/en/documentation/openshift_container_platform/4.13/html-single/installation_configuration/#installing-customizing

  • 要在断开连接的环境中托管示例，请按照使用带有备用 registry 的 Cluster Samples Operator 的说明进行操作。

• 在 Cluster Samples Operator 被设置为 Removed 时，您可以创建镜像的 registry，或决定您要使用哪些现有镜像 registry。
• 使用新的配置映射作为指南来镜像您要镜像的 registry 的示例。
• 将没有镜像的任何镜像流添加到 Cluster Samples Operator 配置对象的 skippedImagestreams 列表中。
• 将 Cluster Samples Operator 配置对象的 samplesRegistry 设置为已镜像的 registry。
• 然后，将 Cluster Samples Operator 设置为 Managed 来安装您已镜像的镜像流。

• 将 Management State 标记为 Removed，并保存更改。
• 在随后更改中，编辑构架并将 Management State 改回 Managed。

验证

• 安装 OpenShift CLI 后，可以使用 oc 命令：

  $ oc <command>

验证

• 安装 OpenShift CLI 后，可以使用 oc 命令：

  C:\> oc <command>

验证

• 安装 OpenShift CLI 后，可以使用 oc 命令：

  $ oc <command>

• 在 Cluster Samples Operator 被设置为 Removed 时，您可以创建镜像的 registry，或决定您要使用哪些现有镜像 registry。
• 使用新的配置映射作为指南来镜像您要镜像的 registry 的示例。
• 将没有镜像的任何镜像流添加到 Cluster Samples Operator 配置对象的 skippedImagestreams 列表中。
• 将 Cluster Samples Operator 配置对象的 samplesRegistry 设置为已镜像的 registry。
• 然后，将 Cluster Samples Operator 设置为 Managed 来安装您已镜像的镜像流。

• 公开端口显示在 podman ps 下，与从您的镜像创建的容器关联。
• 公开端口存在于 podman inspect 返回的镜像元数据中。
• 当将一个容器链接到另一容器时，公开端口也会链接到一起

• 源
• Source-to-image(S2I)脚本
• 构建器镜像

• image:///path_to_scripts_dir：镜像中 S2I 脚本所处目录的绝对路径
• file:///path_to_scripts_dir：主机上 S2I 脚本所处目录的相对或绝对路径
• http(s)://path_to_scripts_dir：S2I 脚本所处目录的 URL

• 如果使用 Podman，请运行以下命令：

  $ podman build -t <builder_image_name>

• 如果使用 Docker，请运行以下命令：

  $ docker build -t <builder_image_name>

流程

• 您可使用 oc tag 命令向镜像流中添加标签：

  $ oc tag <source> <destination>

  例如：要将 ruby 镜像流 static-2.0标签配置为始终引用 ruby镜像流2.0 标签的当前镜像：

  $ oc tag ruby:2.0 ruby:static-2.0

  这会在 ruby 镜像流中创建名为 static-2.0 的新镜像流标签。运行 oc tag 时，新标签会直接引用 ruby:2.0 镜像流标签所指向的镜像 id，而所指向的镜像不会改变。

• 为确保目标标签在源标签更改时进行更新，请使用 --alias=true 标志：

  $ oc tag --alias=true <source> <destination>

• 您还可添加 --scheduled=true 标志来定期刷新或重新导入目的地标签。周期在系统级别进行全局配置。

• --reference 标志会创建一个非导入的镜像流标签。该标签持久指向源位置。

  如果您想指示 OpenShift Container Platform 始终从集成的 registry 中获取标记的镜像，请使用 --reference-policy=local。registry 使用 pull-through 功能为客户端提供镜像。默认情况下，镜像 Blob 由 registry 在本地进行镜像。因此，下次需要时便可更快拉取（pull）。只要镜像流具有不安全的注解，或者标签具有不安全的导入策略，该标志也允许从不安全的 registry 拉取（pull），无需向容器运行时提供 --insecure-registry。

流程

• 要从镜像流运行中完全删除标签：

  $ oc delete istag/ruby:latest

  或：

  $ oc tag -d ruby:latest

流程

• 要引用给定镜像流和标签的镜像，请使用 ImageStreamTag：

  <image_stream_name>:<tag>

• 要引用给定镜像流的镜像和镜像 sha ID，请使用 ImageStreamImage：

  <image_stream_name>@<id>

  <id> 是针对特定镜像的不可变标识符，也称摘要。

• 要引用或检索给定外部 registry 的镜像，请使用 DockerImage：

  openshift/ruby-20-centos7:2.0

  注意

  如果未指定标签，则会假定使用 latest标签。

  此外，您还可引用第三方 registry：

  registry.redhat.io/rhel7:latest

  或者带有摘要的镜像：

  centos/ruby-22-centos7@sha256:3a335d7d8a452970c5b4054ad7118ff134b3a6b50a2bb6d0c07c746e8986b28e

• docker ：默认情况下，Docker 使用 $HOME/.docker/config.json。
• Podman: 默认情况下，Podman 使用 $HOME/.config/containers/auth.json。

流程

• 从现有身份验证文件创建 secret：

  • 对于使用 .docker/config.json 的 Docker 客户端，请输入以下命令：

    $ oc create secret generic <pull_secret_name> \
        --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
        --type=kubernetes.io/dockerconfigjson

  • 对于使用 .config/containers/auth.json 的 Podman 客户端，请输入以下命令：

    $ oc create secret generic <pull_secret_name> \
         --from-file=<path/to/.config/containers/auth.json> \
         --type=kubernetes.io/podmanconfigjson

• 如果您还没有安全 registry 的 Docker 凭证文件，则可运行以下命令创建一个 secret：

  $ oc create secret docker-registry <pull_secret_name> \
      --docker-server=<registry_server> \
      --docker-username=<user_name> \
      --docker-password=<password> \
      --docker-email=<email>

• 要使用 secret 为 Pod 拉取镜像，您必须将 secret 添加到您的服务帐户中。本例中服务帐户的名称应与 Pod 使用的服务帐户的名称匹配。默认服务帐户是 default：

  $ oc secrets link default <pull_secret_name> --for=pull

先决条件

• 您可以使用具有 cluster-admin 角色的用户访问集群。

流程

• 要获取有关镜像流的常规信息及其指向的所有标签的详细信息，请输入以下命令：

  $ oc describe is/<image-name>

  例如：

  $ oc describe is/python

  输出示例

  Name:			python
  Namespace:		default
  Created:		About a minute ago
  Labels:			<none>
  Annotations:		openshift.io/image.dockerRepositoryCheck=2017-10-02T17:05:11Z
  Docker Pull Spec:	docker-registry.default.svc:5000/default/python
  Image Lookup:		local=false
  Unique Images:		1
  Tags:			1
  
  3.5
    tagged from centos/python-35-centos7
  
    * centos/python-35-centos7@sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
        About a minute ago

• 要获取有关特定镜像流标签的所有信息，请输入以下命令：

  $ oc describe istag/<image-stream>:<tag-name>

  例如：

  $ oc describe istag/python:latest

  输出示例

  Image Name:	sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
  Docker Image:	centos/python-35-centos7@sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
  Name:		sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
  Created:	2 minutes ago
  Image Size:	251.2 MB (first layer 2.898 MB, last binary layer 72.26 MB)
  Image Created:	2 weeks ago
  Author:		<none>
  Arch:		amd64
  Entrypoint:	container-entrypoint
  Command:	/bin/sh -c $STI_SCRIPTS_PATH/usage
  Working Dir:	/opt/app-root/src
  User:		1001
  Exposes Ports:	8080/tcp
  Docker Labels:	build-date=20170801

  注意

  输出的信息多于显示的信息。

• 输入以下命令发现镜像流标签支持的构架或操作系统：

  $ oc get istag <image-stream-tag> -ojsonpath="{range .image.dockerImageManifests[*]}{.os}/{.architecture}{'\n'}{end}"

  例如：

  $ oc get istag busybox:latest -ojsonpath="{range .image.dockerImageManifests[*]}{.os}/{.architecture}{'\n'}{end}"

  输出示例

  linux/amd64
  linux/arm
  linux/arm64
  linux/386
  linux/mips64le
  linux/ppc64le
  linux/riscv64
  linux/s390x

流程

• 使用 `oc tag` 命令添加指向其中一个现有标签的标签：

  $ oc tag <image-name:tag1> <image-name:tag2>

  例如：

  $ oc tag python:3.5 python:latest

  输出示例

  Tag python:latest set to python@sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25.

• 确认镜像流有两个标签，3.5 指向外部容器镜像，latest 指向同一镜像，因为它基于第一个标签创建而成。

  $ oc describe is/python

  输出示例

  Name:			python
  Namespace:		default
  Created:		5 minutes ago
  Labels:			<none>
  Annotations:		openshift.io/image.dockerRepositoryCheck=2017-10-02T17:05:11Z
  Docker Pull Spec:	docker-registry.default.svc:5000/default/python
  Image Lookup:		local=false
  Unique Images:		1
  Tags:			2
  
  latest
    tagged from python@sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
  
    * centos/python-35-centos7@sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
        About a minute ago
  
  3.5
    tagged from centos/python-35-centos7
  
    * centos/python-35-centos7@sha256:49c18358df82f4577386404991c51a9559f243e0b1bdc366df25
        5 minutes ago

流程

• 通过使用 oc tag 命令执行所有标签相关操作，添加指向内部或外部镜像的标签：

  $ oc tag <repository/image> <image-name:tag>

  例如，该命令可将 docker.io/python:3.6.0 镜像映射到 python 镜像流中的 3.6 标签。

  $ oc tag docker.io/python:3.6.0 python:3.6

  输出示例

  Tag python:3.6 set to docker.io/python:3.6.0.

  如果外部镜像安全，则您必须创建带有凭证的 secret 以访问该 registry。

流程

• 更新标签：

  $ oc tag <image-name:tag> <image-name:latest>

  例如，以下命令更新了 latest 标签，以反映镜像流中的 3.6 标签：

  $ oc tag python:3.6 python:latest

  输出示例

  Tag python:latest set to python@sha256:438208801c4806548460b27bd1fbcb7bb188273d13871ab43f.

流程

• 从镜像流中删除旧标签：

  $ oc tag -d <image-name:tag>

  例如：

  $ oc tag -d python:3.6

  输出示例

  Deleted tag default/python:3.6

流程

• 输入以下命令来创建包含多架构镜像的镜像流，并将导入模式设置为 PreserveOriginal ：

  $ oc import-image <multiarch-image-stream-tag>  --from=<registry>/<project_name>/<image-name> \
  --import-mode='PreserveOriginal' --reference-policy=local --confirm

  输出示例

  ---
  Arch:           <none>
  Manifests:      linux/amd64     sha256:6e325b86566fafd3c4683a05a219c30c421fbccbf8d87ab9d20d4ec1131c3451
                  linux/arm64     sha256:d8fad562ffa75b96212c4a6dc81faf327d67714ed85475bf642729703a2b5bf6
                  linux/ppc64le   sha256:7b7e25338e40d8bdeb1b28e37fef5e64f0afd412530b257f5b02b30851f416e1
  ---

• 或者，输入以下命令使用 Legacy 导入模式导入镜像，这会丢弃清单列表并导入单个子清单：

  $ oc import-image <multiarch-image-stream-tag>  --from=<registry>/<project_name>/<image-name> \
  --import-mode='Legacy' --confirm

  注意

  --import-mode= 默认值为 Legacy。排除这个值，或者没有指定 Legacy 或 PreserveOriginal，会导入单个子清单。无效的导入模式会返回以下错误：error: valid ImportMode values are Legacy or PreserveOriginal。

• 在某些情况下，用户可能想直接使用子清单。当运行 oc adm prune images 或 CronJob 修剪器运行时，它们无法检测何时使用子清单列表。因此，使用 oc adm prune images 或 CronJob 修剪器的管理员可能会删除整个清单列表，包括子清单列表。

  为避免这种限制，您可以根据标签或摘要使用清单列表。

流程

• 运行以下命令，通过排除 --import-mode= 标志，将镜像流从多架构更新至单一架构：

  $ oc import-image <multiarch-image-stream-tag> --from=<registry>/<project_name>/<image-name>

• 运行以下命令，将镜像流从单架构更新至多架构：

  $ oc import-image <multiarch-image-stream-tag>  --from=<registry>/<project_name>/<image-name> \
  --import-mode='PreserveOriginal'

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是一个带有允许列表的 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

  2

  指定 registry 以及该 registry 中的存储库（可选）用于镜像拉取（pull）和推送（push）操作。阻止所有其他 registry。

  注意

  可以设置 allowedRegistries 参数或 blockedRegistries 参数，但不能同时设置这两个参数。

  Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster 资源以了解对 registry 的任何更改。当 MCO 检测到更改时，它会在机器配置池(MCP)的节点中触发推出部署。允许的 registry 列表用于更新每个节点上的 /etc/containers/policy.json 文件中的镜像签名策略。对 /etc/containers/policy.json 文件的更改不需要节点排空。

验证

• 输入以下命令获取节点列表：

  $ oc get nodes

  输出示例

  NAME               STATUS   ROLES                  AGE   VERSION
  <node_name>        Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 运行以下命令在节点上进入 debug 模式：

     $ oc debug node/<node_name>

  2. 出现提示时，在终端中输入 chroot /host：

     sh-4.4# chroot /host

  3. 输入以下命令检查 registry 是否已添加到策略文件中：

     sh-5.1# cat /etc/containers/policy.json | jq '.'

     以下策略表示，仅允许来自 example.com、quay.io 和 registry.redhat.io registry 中的镜像拉取和推送镜像：

     例 9.1. 镜像签名策略文件示例

     {
        "default":[
           {
              "type":"reject"
           }
        ],
        "transports":{
           "atomic":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker-daemon":{
              "":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           }
        }
     }

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是一个带有块列表的 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      blockedRegistries: 2
      - untrusted.com
      - reg1.io/myrepo/myapp:latest
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

  2

  指定 registry，并可选择性地指定 registry 中的存储库，以使它们不应该用于镜像拉取（pull）和推送（push）操作。允许所有其他 registry。

  注意

  可以设置 blockedRegistries registry 或 allowedRegistries registry，但不能同时设置这两个 registry。

  Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster 资源以了解对 registry 的任何更改。当 MCO 检测到更改时，它会排空节点，应用更改，并对节点进行 uncordon 处理。节点返回 Ready 状态后，在每个节点上的 /etc/containers/registries.conf 文件中会显示对被阻断的 registry 的更改。

验证

• 输入以下命令获取节点列表：

  $ oc get nodes

  输出示例

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 运行以下命令在节点上进入 debug 模式：

     $ oc debug node/<node_name>

  2. 出现提示时，在终端中输入 chroot /host：

     sh-4.4# chroot /host

  3. 输入以下命令检查 registry 是否已添加到策略文件中：

     sh-5.1# cat etc/containers/registries.conf

     以下示例显示，在进行镜像拉取和推送时，不使用 untrusted.com：

     输出示例

     unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
     
     [[registry]]
       prefix = ""
       location = "untrusted.com"
       blocked = true

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是一个带有不安全 registry 列表的 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      insecureRegistries: 2
      - insecure.com
      - reg4.io/myrepo/myapp:latest
      allowedRegistries:
      - example.com
      - quay.io
      - registry.redhat.io
      - insecure.com 3
      - reg4.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

  2

  指定不安全的 registry。您可以在该 registry 中指定存储库。

  3

  确保将任何不安全的 registry 包含在 allowedRegistries 列表中。

  注意

  当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。如果使用参数，为了避免 pod 失败，将所有 registry（包括 registry.redhat.io 和 quay.io registry）和 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。对于断开连接的集群，还应添加镜像的 registry。

  Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster CR 是否有对 registry 的更改，然后在检测到更改时排空并取消记录节点。节点返回 Ready 状态后，改为在每个节点的 /etc/containers/registries.conf 文件中列出的不安全和受阻 registry。

验证

• 要检查 registry 是否已添加到策略文件中，请在节点上使用以下命令：

  $ cat /etc/containers/registries.conf

  以下示例表示来自 insecure.com registry 的镜像是不安全的，并允许进行镜像拉取和推送。

  输出示例

  unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
  
  [[registry]]
    prefix = ""
    location = "insecure.com"
    insecure = true

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    allowedRegistriesForImport:
      - domainName: quay.io
        insecure: false
    additionalTrustedCA:
      name: myconfigmap
    registrySources:
      containerRuntimeSearchRegistries: 1
      - reg1.io
      - reg2.io
      - reg3.io
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io
      - reg2.io
      - reg3.io
      - image-registry.openshift-image-registry.svc:5000
  ...
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  指定用于镜像简短名称的 registry。您应该只使用带有内部或私有 registry 的镜像短名称，以减少可能的安全问题。

  2

  确保在 containerRuntimeSearchRegistries 下列出的任何 registry 都包含在 allowedRegistries 列表中。

  注意

  当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。如果使用此参数，为了避免 pod 失败，请将所有 registry（包括 registry.redhat.io 和 quay.io registry）和 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。对于断开连接的集群，还应添加镜像的 registry。

验证

• 输入以下命令获取节点列表：

  $ oc get nodes

  输出示例

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 运行以下命令在节点上进入 debug 模式：

     $ oc debug node/<node_name>

  2. 出现提示时，在终端中输入 chroot /host：

     sh-4.4# chroot /host

  3. 输入以下命令检查 registry 是否已添加到策略文件中：

     sh-5.1# cat /etc/containers/registries.conf.d/01-image-searchRegistries.conf

     输出示例

     unqualified-search-registries = ['reg1.io', 'reg2.io', 'reg3.io']

先决条件

• 证书颁发机构（CA）必须经过 PEM 编码。

• 配置其他CA：

  $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

  $ oc edit image.config.openshift.io cluster

  spec:
    additionalTrustedCA:
      name: registry-config

先决条件

• 使用具有 cluster-admin 角色的用户访问集群。

• 首个工作镜像用于提供拉取（pull）的镜像。
• 只有在无其他镜像工作时，才会使用主 registry。
• 从系统上下文，Insecure 标志用作回退。
• 最近更改了 /etc/containers/registries.conf 文件的格式。现在它是第 2 版，采用 TOML 格式。

先决条件

• 使用具有 cluster-admin 角色的用户访问集群。
• 确保集群中具有 ImageContentSourcePolicy 对象。

流程

• 从以下命令行在模板中添加标签：

  $ oc process -f <filename> -l name=otherLabel

• 作为字符串值，将格式为 ${PARAMETER_NAME} 的值放在模板的任意字符串字段中。
• 作为 JSON 或 YAML 值，将格式为 ${{PARAMETER_NAME}} 的值放在模板中的任意字段中。

• [\w]{10} 生成 10 个字母字符、数字和下划线。它遵循 PCRE 标准，等同于 [a-zA-Z0-9_]{10}。
• [\d]{10} 生成 10 个数字。等同于 [0-9]{10}。
• [\a]{10} 生成 10 个字母字符。这等同于 [a-zA-Z]{10}。
• [\a]{10} 生成 10 个标点或符号字符。这等同于 [~!@#$%\^&*()\-_+={}\[\]\\|<,>.?/"';:`]{10}。

• 通过将注解 template.openshift.io/bindable: "false" 添加至模板中，防止最终用户绑定从给定模板制备的服务。

流程

• 使用 template.openshift.io/expose- 注解来以字符串形式返回字段值。这样很方便，尽管没有处理任意二进制数据。
• 如果要返回二进制数据，请在返回前使用 template.openshift.io/base64-expose- 注解对数据进行 base64 编码。

其他建议

• 设置内存、CPU 和存储的默认大小，以确保您的应用程序获得足够资源使其平稳运行。
• 如果要在主版本中使用该标签，请避免引用来自镜的 latest 标签。当新镜像被推送（push）到该标签时，这可能会导致运行中的应用程序中断。
• 良好的模板可整洁地构建和部署，无需在部署模板后进行修改。

流程

• 以 YAML 格式导出项目中的对象：

  $ oc get -o yaml all > <yaml_filename>

  您还可替换特定资源类型或多个资源，而非 all 资源。运行 oc get -h 获取更多示例。

  oc get -o yaml all 中包括的对象类型是：

  • BuildConfig
  • Build
  • DeploymentConfig
  • ImageStream
  • Pod
  • ReplicationController
  • Route
  • Service

• 使用 index 操作创建控制器。
• 为 welcome 控制器 index 操作创建 view 页面。
• 使用所创建的 controller 和 view 创建一个提供应用程序 root 页面的路由。

流程

• 使用预定义的变量按照以下方式编辑 config/database.yml 中的 default 部分：

  config/database YAML 文件示例

  <% user = ENV.key?("POSTGRESQL_ADMIN_PASSWORD") ? "root" : ENV["POSTGRESQL_USER"] %>
  <% password = ENV.key?("POSTGRESQL_ADMIN_PASSWORD") ? ENV["POSTGRESQL_ADMIN_PASSWORD"] : ENV["POSTGRESQL_PASSWORD"] %>
  <% db_service = ENV.fetch("DATABASE_SERVICE_NAME","").upcase %>
  
  default: &default
    adapter: postgresql
    encoding: unicode
    # For details on connection pooling, see rails configuration guide
    # http://guides.rubyonrails.org/configuring.html#database-pooling
    pool: <%= ENV["POSTGRESQL_MAX_CONNECTIONS"] || 5 %>
    username: <%= user %>
    password: <%= password %>
    host: <%= ENV["#{db_service}_SERVICE_HOST"] %>
    port: <%= ENV["#{db_service}_SERVICE_PORT"] %>
    database: <%= ENV["POSTGRESQL_DATABASE"] %>

先决条件

• 安装 git。

• POSTGRESQL_DATABASE
• POSTGRESQL_USER
• POSTGRESQL_PASSWORD

• 存在具有指定名称的数据库。
• 存在具有指定名称的用户。
• 用户可使用指定密码访问指定数据库。

流程

• 要通过向服务提供外部可访问的主机名（如 www.example.com）来公开服务，请使用 OpenShift Container Platform 路由。对于您的情况，需要通过键入以下命令来公开前端服务：

  $ oc expose service rails-app --hostname=www.example.com