5.4. 使用镜像 pull secret

流程

1. 要允许 project-a 中的 pod 引用 project-b 中的镜像，请将 project-a 中的服务帐户绑定到 project-b 中的 system:image-puller 角色。

   $ oc policy add-role-to-user \
       system:image-puller system:serviceaccount:project-a:default \
       --namespace=project-b

   添加该角色后，project-a 中引用默认服务帐户的 pod 能够从 project-b 拉取（pull）镜像。

2. 要允许访问 project-a 中的任意服务帐户，请使用组：

   $ oc policy add-role-to-group \
       system:image-puller system:serviceaccounts:project-a \
       --namespace=project-b

流程

1. 可选： 要将新的 pull secret 附加到现有 pull secret 中，请完成以下步骤：

   1. 输入以下命令下载 pull secret：

      $ oc get secret/pull-secret -n openshift-config --template='{{index .data ".dockerconfigjson" | base64decode}}' ><pull_secret_location> 1

      1

      提供 pull secret 文件的路径。

   2. 输入以下命令来添加新 pull secret：

      $ oc registry login --registry="<registry>" \ 1
      --auth-basic="<username>:<password>" \ 2
      --to=<pull_secret_location> 3

      1

      提供新的 registry。您可以在同一个 registry 中包含多个软件仓库，例如：--registry="<registry/my-namespace/my-repository>"。

      2

      提供新 registry 的凭据。

      3

      提供 pull secret 文件的路径。

      另外，您可以对 pull secret 文件执行手动更新。

2. 输入以下命令为您的集群更新全局 pull secret：

   $ oc set data secret/pull-secret -n openshift-config --from-file=.dockerconfigjson=<pull_secret_location> 1

   1

   提供新 pull secret 文件的路径。

   该更新将推广至所有节点，可能需要一些时间，具体取决于集群大小。

   注意

   从 OpenShift Container Platform 4.7.4 开始，对全局 pull secret 的更改不再触发节点排空或重启。