4.14. 构建并签名 kmod 镜像

如果您有源代码且必须首先构建镜像，请使用这个流程。

以下 YAML 文件使用存储库中的源代码构建新容器镜像。生成的镜像将保存到带有临时名称的 registry 中，然后使用 sign 部分中的参数来签名此临时镜像。

临时镜像名称基于最终镜像名称，设置为 <containerImage>:<tag>-<namespace>_<module name>_kmm_unsigned。

例如，使用以下 YAML 文件，内核模块管理(KMM) 构建名为 example.org/repository/minimal-driver:final-default_example-module_kmm_unsigned 的镜像，其中包含带有未签名的 kmods 的构建并将其推送到 registry。然后，它创建一个名为 example.org/repository/minimal-driver:final 的第二个镜像，其中包含签名的 kmod。它是 worker pod 拉取的第二个镜像，其中包含要在集群节点上载入的 kmods。

签名后，您可以从 registry 中安全地删除临时镜像。如果需要，它将被重建。

先决条件

keySecret 和 certSecret secret 已在与其他资源相同的命名空间中创建。

流程

应用 YAML 文件：

---
apiVersion: v1
kind: ConfigMap
metadata:
  name: example-module-dockerfile
  namespace: <namespace> 
data:
  dockerfile: |
    ARG DTK_AUTO
    ARG KERNEL_VERSION
    FROM ${DTK_AUTO} as builder
    WORKDIR /build/
    RUN git clone -b main --single-branch https://github.com/rh-ecosystem-edge/kernel-module-management.git
    WORKDIR kernel-module-management/ci/kmm-kmod/
    RUN make
    FROM registry.access.redhat.com/ubi9/ubi:latest
    ARG KERNEL_VERSION
    RUN yum -y install kmod && yum clean all
    RUN mkdir -p /opt/lib/modules/${KERNEL_VERSION}
    COPY --from=builder /build/kernel-module-management/ci/kmm-kmod/*.ko /opt/lib/modules/${KERNEL_VERSION}/
    RUN /usr/sbin/depmod -b /opt
---
apiVersion: kmm.sigs.x-k8s.io/v1beta1
kind: Module
metadata:
  name: example-module
  namespace: <namespace> 
spec:
  moduleLoader:
    serviceAccountName: default 
    container:
      modprobe:
        moduleName: simple_kmod
      kernelMappings:
        - regexp: '^.*\.x86_64$'
          containerImage: <final_driver_container_name>
          build:
            dockerfileConfigMap:
              name: example-module-dockerfile
          sign:
            keySecret:
              name: <private_key_secret_name>
            certSecret:
              name: <certificate_secret_name>
            filesToSign:
              - /opt/lib/modules/4.18.0-348.2.1.el8_5.x86_64/kmm_ci_a.ko
  imageRepoSecret: 
    name: repo-pull-secret
  selector: # top-level selector
    kubernetes.io/arch: amd64

---
apiVersion: v1
kind: ConfigMap
metadata:
  name: example-module-dockerfile
  namespace: <namespace>


data:
  dockerfile: |
    ARG DTK_AUTO
    ARG KERNEL_VERSION
    FROM ${DTK_AUTO} as builder
    WORKDIR /build/
    RUN git clone -b main --single-branch https://github.com/rh-ecosystem-edge/kernel-module-management.git
    WORKDIR kernel-module-management/ci/kmm-kmod/
    RUN make
    FROM registry.access.redhat.com/ubi9/ubi:latest
    ARG KERNEL_VERSION
    RUN yum -y install kmod && yum clean all
    RUN mkdir -p /opt/lib/modules/${KERNEL_VERSION}
    COPY --from=builder /build/kernel-module-management/ci/kmm-kmod/*.ko /opt/lib/modules/${KERNEL_VERSION}/
    RUN /usr/sbin/depmod -b /opt
---
apiVersion: kmm.sigs.x-k8s.io/v1beta1
kind: Module
metadata:
  name: example-module
  namespace: <namespace>


spec:
  moduleLoader:
    serviceAccountName: default


    container:
      modprobe:
        moduleName: simple_kmod
      kernelMappings:
        - regexp: '^.*\.x86_64$'
          containerImage: <final_driver_container_name>
          build:
            dockerfileConfigMap:
              name: example-module-dockerfile
          sign:
            keySecret:
              name: <private_key_secret_name>
            certSecret:
              name: <certificate_secret_name>
            filesToSign:
              - /opt/lib/modules/4.18.0-348.2.1.el8_5.x86_64/kmm_ci_a.ko
  imageRepoSecret:


    name: repo-pull-secret
  selector: # top-level selector
    kubernetes.io/arch: amd64

Copy to Clipboard

Toggle word wrap

1 2: 使用有效命名空间替换 default。
3: 默认 serviceAccountName 没有运行特权模块所需的权限。有关创建服务帐户的详情，请参考本节的"添加资源"中的"创建服务帐户"。
4: 用作 DaemonSet 对象中的 imagePullSecrets，用于拉取和推送构建和签名功能。

返回顶部

4.14. 构建并签名 kmod 镜像

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links