容器镜像仓库（Registry）

1. 配置其他CA：

   $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

   $ oc edit image.config.openshift.io cluster

   spec:
     additionalTrustedCA:
       name: registry-config

1. 通过获取节点的名称来访问节点：

   $ oc get nodes

   $ oc debug nodes/<node_name>

2. 要在节点上启用对 oc 和 podman 等工具的访问，请将您的根目录改为 /host ：

   sh-4.2# chroot /host

3. 使用您的访问令牌登录到容器镜像registry：

   sh-4.2# oc login -u kubeadmin -p <password_from_install_log> https://api-int.<cluster_name>.<base_domain>:6443

   sh-4.2# podman login -u kubeadmin -p $(oc whoami -t) image-registry.openshift-image-registry.svc:5000

   您应该看到一条确认登录的消息，例如：

   Login Succeeded!

   注意

   用户名可以是任何值，令牌包含了所有必要的信息。如果用户名包含冒号，则会导致登录失败。

   因为 Image Registry Operator 创建了路由，所以它将与 default-route-openshift-image-registry.<cluster_name> 类似。

4. 针对您的registry执行podman pull和podman push操作：

   重要

   您可以抓取任意镜像，但是如果已添加了system:registry角色，则只能将镜像推送到您自己的registry中。

   在以下示例中，使用：

   组件	值
   <registry_ip>	172.30.124.220
   <port>	5000
   <project>	openshift
   <image>	image
   <tag>	忽略 (默认为 latest)

   1. 抓取任意镜像：

      sh-4.2# podman pull name.io/image

   2. 使用 <registry_ip>:<port>/<project>/<image> 格式标记（tag）新镜像。项目名称必须出现在这个 pull 规范中，以供OpenShift Container Platform 把这个镜像正确放置在 registry 中，并在以后正确访问 registry 中的这个镜像：

      sh-4.2# podman tag name.io/image image-registry.openshift-image-registry.svc:5000/openshift/image

      注意

      您必须具有指定项目的system:image-builder角色，该角色允许用户写或推送镜像。否则，下一步中的podman push将失败。为了进行测试，您可以创建一个新项目来推送镜像。

   3. 将新标记的镜像推送到 registry：

      sh-4.2# podman push image-registry.openshift-image-registry.svc:5000/openshift/image

流程

1. 列出 openshift-image-registry 项目中的 pod 并查看其状态：

   $ oc get pods -n openshift-image-registry

   输出示例

   NAME READY STATUS RESTARTS AGE
   cluster-image-registry-operator-764bd7f846-qqtpb 1/1 Running 0 78m
   image-registry-79fb4469f6-llrln 1/1 Running 0 77m
   node-ca-hjksc 1/1 Running 0 73m
   node-ca-tftj6 1/1 Running 0 77m
   node-ca-wb6ht 1/1 Running 0 77m
   node-ca-zvt9q 1/1 Running 0 74m

流程

1. 使用带有 deployments 的oc logs命令查看容器镜像 registry 的日志：

   $ oc logs deployments/image-registry -n openshift-image-registry

   输出示例

   2015-05-01T19:48:36.300593110Z time="2015-05-01T19:48:36Z" level=info msg="version=v2.0.0+unknown"
   2015-05-01T19:48:36.303294724Z time="2015-05-01T19:48:36Z" level=info msg="redis not configured" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303422845Z time="2015-05-01T19:48:36Z" level=info msg="using inmemory layerinfo cache" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303433991Z time="2015-05-01T19:48:36Z" level=info msg="Using OpenShift Auth handler"
   2015-05-01T19:48:36.303439084Z time="2015-05-01T19:48:36Z" level=info msg="listening on :5000" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002

1. 运行指标查询，例如：

   $ curl --insecure -s -u <user>:<secret> \ 1
       https://image-registry.openshift-image-registry.svc:5000/extensions/v2/metrics | grep imageregistry | head -n 20

   输出示例

   # HELP imageregistry_build_info A metric with a constant '1' value labeled by major, minor, git commit & git version from which the image registry was built.
   # TYPE imageregistry_build_info gauge
   imageregistry_build_info{gitCommit="9f72191",gitVersion="v3.11.0+9f72191-135-dirty",major="3",minor="11+"} 1
   # HELP imageregistry_digest_cache_requests_total Total number of requests without scope to the digest cache.
   # TYPE imageregistry_digest_cache_requests_total counter
   imageregistry_digest_cache_requests_total{type="Hit"} 5
   imageregistry_digest_cache_requests_total{type="Miss"} 24
   # HELP imageregistry_digest_cache_scoped_requests_total Total number of scoped requests to the digest cache.
   # TYPE imageregistry_digest_cache_scoped_requests_total counter
   imageregistry_digest_cache_scoped_requests_total{type="Hit"} 33
   imageregistry_digest_cache_scoped_requests_total{type="Miss"} 44
   # HELP imageregistry_http_in_flight_requests A gauge of requests currently being served by the registry.
   # TYPE imageregistry_http_in_flight_requests gauge
   imageregistry_http_in_flight_requests 1
   # HELP imageregistry_http_request_duration_seconds A histogram of latencies for requests to the registry.
   # TYPE imageregistry_http_request_duration_seconds summary
   imageregistry_http_request_duration_seconds{method="get",quantile="0.5"} 0.01296087
   imageregistry_http_request_duration_seconds{method="get",quantile="0.9"} 0.014847248
   imageregistry_http_request_duration_seconds{method="get",quantile="0.99"} 0.015981195
   imageregistry_http_request_duration_seconds_sum{method="get"} 12.260727916000022

   1

   <user>可以是任意的，但<secret>必须与registry配置中指定的值匹配。

1. 如果还没有一个访问指标的集群角色，创建一个集群角色：

   $ cat <<EOF | oc create -f -
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: prometheus-scraper
   rules:
   - apiGroups:
     - image.openshift.io
     resources:
     - registry/metrics
     verbs:
     - get
   EOF

2. 将此角色添加到用户，运行以下命令：

   $ oc adm policy add-cluster-role-to-user prometheus-scraper <username>

3. 使用集群角色访问指标数据。配置文件中与指标数据相关的部分应如下所示：

   openshift:
     version: 1.0
     metrics:
       enabled: true
   ...

1. 将 defaultRoute 设为 true ：

   $ oc patch configs.imageregistry.operator.openshift.io/cluster --patch '{"spec":{"defaultRoute":true}}' --type=merge

2. 获取默认 registry 路由：

   $ HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')

3. 获取 Ingress Operator 的证书：

   $ oc get secret -n openshift-ingress  router-certs-default -o go-template='{{index .data "tls.crt"}}' | base64 -d | sudo tee /etc/pki/ca-trust/source/anchors/${HOST}.crt  > /dev/null

4. 使用以下命令启用集群的默认证书来信任路由：

   $ sudo update-ca-trust enable

5. 使用默认路由通过 podman 登录：

   $ sudo podman login -u kubeadmin -p $(oc whoami -t) $HOST

1. 将DefaultRoute设置为True ：

   $ oc patch configs.imageregistry.operator.openshift.io/cluster --patch '{"spec":{"defaultRoute":true}}' --type=merge

2. 使用 podman 登录：

   $ HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')

   $ podman login -u kubeadmin -p $(oc whoami -t) --tls-verify=false $HOST 1

   1

   如果集群的默认路由证书不受信任，则需要--tls-verify=false 。您可以将一个自定义的可信证书设置为 Ingress Operator 的默认证书。

1. 使用路由的 TLS 密钥创建一个 secret：

   $ oc create secret tls public-route-tls \
       -n openshift-image-registry \
       --cert=</path/to/tls.crt> \
       --key=</path/to/tls.key>

   此步骤是可选的。如果不创建一个secret，则路由将使用Ingress Operator的默认TLS配置。

2. 在 Registry Operator 中：

   spec:
     routes:
       - name: public-routes
         hostname: myregistry.mycorp.organization
         secretName: public-route-tls
   ...

   注意

   如果为registry的路由提供了一个自定义的 TLS 配置，则仅需设置secretName 。