7.2. 配置镜像设置

1. 配置其他CA：

   $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config
   $ oc edit image.config.openshift.io cluster
   spec:
     additionalTrustedCA:
       name: registry-config

流程

1. 编辑 image.config.openshift.io/cluster 自定义资源：

   $ oc edit image.config.openshift.io/cluster

   以下是 image.config.openshift.io/cluster 资源示例：

   apiVersion: config.openshift.io/v1
   kind: Image
   metadata:
     annotations:
       release.openshift.io/create-only: "true"
     creationTimestamp: "2019-05-17T13:44:26Z"
     generation: 1
     name: cluster
     resourceVersion: "8302"
     selfLink: /apis/config.openshift.io/v1/images/cluster
     uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
   spec:
     allowedRegistriesForImport:
       - domainName: quay.io
         insecure: false
     additionalTrustedCA:
       name: myconfigmap
     registrySources:
       insecureRegistries:1
       - insecure.com
       blockedRegistries:2
       - untrusted.com
       allowedRegistries:
       - quay.io 3
   status:
     internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

   1

   指定不安全的 registry。

   2

   指定应列入镜像拉取（pull）和推送（push）操作黑名单的 registry。允许所有其他 registry。可以设置 blockedRegistries 或 allowedRegistries ，但不能同时都被设置。

   3

   指定允许进行镜像拉取（pull）和推送（push）操作的 registry。所有其他 registry 都将被阻止。可以设置 blockedRegistries 或 allowedRegistries ，但不能同时都被设置。

   Machine Config Operator (MCO) 会监控 image.config.openshift.io/cluster 以了解对 registry 的任何更改，并在检测到更改时重启节点。对 registry 的更改将出现在每个节点上的 /host/etc/containers/registries.conf 文件中。

   cat /host/etc/containers/registries.conf
   [registries]
     [registries.search]
       registries = ["registry.access.redhat.com", "docker.io"]
     [registries.insecure]
       registries = ["insecure.com"]
     [registries.block]
       registries = ["untrusted.com"]

流程

1. 配置已镜像的存储库。为此，您可以：

   • 按照 Red Hat Quay 存储库镜像中所述，使用 Red Hat Quay 来设置已镜像的存储库。使用 Red Hat Quay 有助于您将镜像从一个存储库复制到另一存储库，并可随着时间的推移重复自动同步这些存储库。

   • 使用 skopeo 等工具手动将镜像从源目录复制到已镜像的存储库。

     例如：在 Red Hat Enterprise Linux（RHEL 7 或 RHEL 8）系统上安装 skopeo RPM 软件包后，使用 skopeo 命令，如下例所示：

     $ skopeo copy \
        docker://registry.access.redhat.com/ubi8/ubi-minimal@sha256:5cfbaf45ca96806917830c183e9f37df2e913b187adb32e89fd83fa455ebaa6 \
        docker://example.io/ubi8/ubi-minimal

     在本例中，您有一个名为 example.io 的容器镜像 registry，其中包含一个名为 example 的镜像存储库，您希望将 ubi8/ubi-minimal 镜像从 registry.access.redhat.com 复制到此镜像存储库。创建该 registry 后，您可将 OpenShift Container Platform 集群配置为将源存储库的请求重定向到已镜像的存储库。

2. 登录您的 OpenShift Container Platform 集群。

3. 创建 ImageContentSourcePolicy 文件（如：registryrepomirror.yaml），将源和镜像 (mirror) 替换为您自己的 registry、存储库对和镜像中的源和镜像：

   apiVersion: operator.openshift.io/v1alpha1
   kind: ImageContentSourcePolicy
   metadata:
     name: ubi8repo
   spec:
     repositoryDigestMirrors:
     - mirrors:
       - example.io/example/ubi-minimal1
       source: registry.access.redhat.com/ubi8/ubi-minimal2
     - mirrors:
       - example.com/example/ubi-minimal
       source: registry.access.redhat.com/ubi8/ubi-minimal

   1

   指明镜像 registry 和存储库的名称

   2

   指明包含所镜像内容的 registry 和存储库

4. 创建新的 ImageContentSourcePolicy：

   $ oc create -f registryrepomirror.yaml

   创建 ImageContentSourcePolicy 之后，新的设置会部署到每个节点，随即使用已镜像的存储库向源存储库发起请求。

5. 要检查已镜像的配置是否正常工作，请转至其中一个节点。例如：

   1. 列出您的节点：

      $ oc get node

      输出示例

      NAME                           STATUS                     ROLES    AGE  VERSION
      ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.16.2
      ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.16.2
      ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.16.2
      ip-10-0-147-35.ec2.internal    Ready,SchedulingDisabled   worker   7m   v1.16.2
      ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.16.2
      ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.16.2

      您可以发现，在应用更改时每个 worker 节点上的调度都会被禁用。

   2. 启动调试过程：

      $ oc debug node/ip-10-0-147-35.ec2.internal

      输出示例

      Starting pod/ip-10-0-147-35ec2internal-debug ...
      To use host binaries, run `chroot /host`

   3. 访问节点的文件：

      sh-4.2# chroot /host

   4. 检查 /etc/containers/registries.conf 文件，确保已完成更改：

      unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
      [[registry]]
        location = "registry.access.redhat.com/ubi8/"
        insecure = false
        blocked = false
        mirror-by-digest-only = true
        prefix = ""
      
        [[registry.mirror]]
          location = "example.io/example/ubi8-minimal"
          insecure = false
      
        [[registry.mirror]]
          location = "example.com/example/ubi8-minimal"
          insecure = false

   5. 将镜像摘要从源拉取到节点,并检查是否真正通过镜像解析。ImageContentSourcePolicy 仅支持镜像摘要,不支持镜像标签。

      sh-4.2# podman pull --log-level=debug registry.access.redhat.com/ubi8/ubi-minimal@sha256:5cfbaf45ca96806917830c183e9f37df2e913b187adb32e89fd83fa455ebaa6