14.2. 镜像 OpenShift Container Platform 镜像存储库

流程

1. 使用 Red Hat OpenShift Container Platform Upgrade Graph visualizer 和 update planner 计划从一个版本升级到另一个版本。OpenShift Upgrade Graph 提供频道图形，并演示了如何确认您的当前和预定集群版本之间有更新路径。

2. 设置所需的环境变量：

   1. 导出发行版本信息：

      $ export OCP_RELEASE=<release_version>

      对于 <release_version>，请指定与升级到的 OpenShift Container Platform 版本对应的标签，如 4.5.4。

   2. 导出本地 registry 名称和主机端口：

      $ LOCAL_REGISTRY='<local_registry_host_name>:<local_registry_host_port>'

      对于 <local_registry_host_name>，请指定镜像存储库的 registry 域名；对于 <local_registry_host_port>，请指定用于提供内容的端口。

   3. 导出本地存储库名称：

      $ LOCAL_REPOSITORY='<local_repository_name>'

      对于 <local_repository_name>，请指定要在 registry 中创建的仓库名称，如 ocp4/openshift4。

   4. 如果使用 OpenShift Update Service，请导出一个额外的本地存储库名称，使其包含发行镜像：

      $ LOCAL_RELEASE_IMAGES_REPOSITORY='<local_release_images_repository_name>'

      对于 <local_release_images_repository_name>，请指定要在 registry 中创建的仓库名称，如 ocp4/openshift4-release-images。

   5. 导出要进行镜像的存储库名称：

      $ PRODUCT_REPO='openshift-release-dev'

      对于生产环境版本，必须指定 openshift-release-dev。

   6. 导出 registry pull secret 的路径：

      $ LOCAL_SECRET_JSON='<path_to_pull_secret>'

      对于 <path_to_pull_secret>，请指定您创建的镜像 registry 的 pull secret 的绝对路径和文件名。

      注意

      如果您的集群使用 ImageContentSourcePolicy 对象来配置存储库镜像，则只能将全局 pull secret 用于镜像 registry。您不能在项目中添加 pull secret。

   7. 导出发行版本镜像：

      $ RELEASE_NAME="ocp-release"

      对于生产环境版本，您必须指定 ocp-release。

   8. 为您的集群导出构架类型：

      $ ARCHITECTURE=<cluster_architecture> 1

      1

      指定集群的构架，如 x86_64, aarch64, s390x, 获 ppc64le。

   9. 导出托管镜像的目录的路径：

      $ REMOVABLE_MEDIA_PATH=<path> 1

      1

      指定完整路径，包括开始的前斜杠(/)字符。

3. 查看要镜像的镜像和配置清单：

   $ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} --dry-run

4. 将版本镜像镜像(mirror)到镜像 registry。

   • 如果您的镜像主机无法访问互联网，请执行以下操作：

     1. 将可移动介质连接到连接到互联网的系统。

     2. 将镜像和配置清单镜像到可移动介质的目录中：

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE}

        注意

        此命令还会生成镜像发行镜像签名配置映射并将其保存到可移动介质中。

     3. 将介质上传到受限网络环境中，并将镜像上传到本地容器 registry。

        $ oc image mirror  -a ${LOCAL_SECRET_JSON} --from-dir=${REMOVABLE_MEDIA_PATH}/mirror "file://openshift/release:${OCP_RELEASE}*" ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} 1

        1

        对于 REMOVABLE_MEDIA_PATH，您必须使用与镜像镜像时指定的同一路径。

     4. 使用 oc 命令行界面(CLI)登录到您要升级的集群。

     5. 将镜像发行镜像签名配置映射应用到连接的集群：

        $ oc apply -f ${REMOVABLE_MEDIA_PATH}/mirror/config/<image_signature_file> 1

        1

        对于 <image_signature_file>，指定文件的路径和名称，例如 signature-sha256-81154f5c03294534.yaml。

     6. 如果使用 OpenShift Update Service，请将发行镜像镜像到单独的存储库：

        $ oc image mirror -a ${LOCAL_SECRET_JSON} ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE} ${LOCAL_REGISTRY}/${LOCAL_RELEASE_IMAGES_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}

   • 如果本地容器 registry 和集群连接到镜像主机，请执行以下操作：

     1. 将发行镜像直接推送到本地 registry，并使用以下命令将配置映射应用到集群：

        $ oc adm release mirror -a ${LOCAL_SECRET_JSON} --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \
          --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} --apply-release-image-signature

        注意

        如果包含 --apply-release-image-signature 选项，不要为镜像签名验证创建配置映射。

     2. 如果使用 OpenShift Update Service，请将发行镜像镜像到单独的存储库：

        $ oc image mirror -a ${LOCAL_SECRET_JSON} ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE} ${LOCAL_REGISTRY}/${LOCAL_RELEASE_IMAGES_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}