2.7. 为镜像 registry 访问配置额外的信任存储

流程

1. 在 openshift-config 命名空间中创建配置映射，然后在 image.config.openshift.io CR 的 AdditionalTrustedCA 参数中使用配置映射名称。这会添加集群联系外部镜像 registry 时应信任的 CA。

   镜像 registry CA 配置映射示例

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: my-registry-ca
   data:
     registry.example.com: |
       -----BEGIN CERTIFICATE-----
       ...
       -----END CERTIFICATE-----
     registry-with-port.example.com..5000: |
       -----BEGIN CERTIFICATE-----
       ...
       -----END CERTIFICATE-----

   Copy to Clipboard Toggle word wrap

   其中：

   data:registry.example.com:

   要信任此 CA 的 registry 主机名示例。

   data:registry-with-port.example.com..5000:

   信任此 CA 的端口的 registry 主机名示例。如果 registry 有一个端口，如 registry-with-port.example.com:5000，: 必须替换为 ..。

   PEM 证书内容是要信任的每个额外 registry CA 的值。

2. 可选。运行以下命令来配置额外的 CA：

   $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

   Copy to Clipboard Toggle word wrap

   $ oc edit image.config.openshift.io cluster

   Copy to Clipboard Toggle word wrap

   spec:
     additionalTrustedCA:
       name: registry-config

   Copy to Clipboard Toggle word wrap