9.2. 镜像 OpenShift Container Platform 镜像存储库
您必须将容器镜像镜像到镜像 registry 中，然后才能在受限网络环境中更新集群。您还可以在连接的环境中使用此流程来确保集群只运行满足您机构对外部内容控制的批准的容器镜像。
9.2.1. 先决条件
- 您必须在托管 OpenShift Container Platform 集群的位置（如 Red Hat Quay）中有一个支持 Docker v2-2 的容器镜像 registry。
9.2.2. 准备您的镜像主机
执行镜像步骤前，必须准备主机以检索内容并将其推送到远程位置。
9.2.2.1. 通过下载二进制文件安装 OpenShift CLI
您可以安装 OpenShift CLI(oc)来使用命令行界面与 OpenShift Container Platform 进行交互。您可以在 Linux、Windows 或 macOS 上安装 oc。
如果安装了旧版本的 oc，则无法使用 OpenShift Container Platform 4.8 中的所有命令。下载并安装新版本的 oc。如果要在断开连接的环境中升级集群，请安装您要升级到的 oc 版本。
在 Linux 上安装 OpenShift CLI
您可以按照以下流程在 Linux 上安装 OpenShift CLI(oc)二进制文件。
流程
- 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
- 在 Version 下拉菜单中选择相应的版本。
- 单击 OpenShift v4.8 Linux 客户端 条目旁边的 Download Now，再保存文件。
解包存档：
$ tar xvzf <file>
将
oc二进制文件放到PATH 中的目录中。要查看您的
PATH，请执行以下命令：$ echo $PATH
安装 OpenShift CLI 后，可以使用 oc 命令：
$ oc <command>
在 Windows 上安装 OpenShift CLI
您可以按照以下流程在 Windows 上安装 OpenShift CLI(oc)二进制文件。
流程
- 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
- 在 Version 下拉菜单中选择相应的版本。
- 单击 OpenShift v4.8 Windows 客户端 条目旁边的 Download Now，再保存文件。
- 使用 ZIP 程序解压存档。
将
oc二进制文件移到PATH 中的目录中。要查看您的
PATH，请打开命令提示并执行以下命令：C:\> path
安装 OpenShift CLI 后，可以使用 oc 命令：
C:\> oc <command>
在 macOS 上安装 OpenShift CLI
您可以按照以下流程在 macOS 上安装 OpenShift CLI(oc)二进制文件。
流程
- 导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
- 在 Version 下拉菜单中选择相应的版本。
- 单击 OpenShift v4.8 MacOSX 客户端 条目旁边的 Download Now，再保存文件。
- 解包和解压存档。
将
oc二进制文件移到 PATH 的目录中。要查看您的
PATH，请打开终端并执行以下命令：$ echo $PATH
安装 OpenShift CLI 后，可以使用 oc 命令：
$ oc <command>
9.2.2.2. 配置允许对容器镜像进行镜像的凭证
创建容器镜像 registry 凭证文件，允许将红帽的镜像镜像到您的镜像环境中。
安装集群时不要使用此镜像 registry 凭据文件作为 pull secret。如果在安装集群时提供此文件，集群中的所有机器都将具有镜像 registry 的写入权限。
此过程需要您可以对镜像 registry 上的容器镜像 registry 进行写操作，并将凭证添加到 registry pull secret。
先决条件
- 您已将镜像 registry 配置为在断开连接的环境中使用。
- 您在镜像 registry 中标识了镜像仓库的位置，以将容器镜像镜像(mirror)到这个位置。
- 您置备了一个镜像 registry 帐户，允许将镜像上传到该镜像仓库。
流程
在安装主机上完成以下步骤：
-
从 Red Hat OpenShift Cluster Manager 下载
registry.redhat.io的 pull secret，并将它保存到.json文件中。 为您的镜像 registry 生成 base64 编码的用户名和密码或令牌：
$ echo -n '<user_name>:<password>' | base64 -w0 1 BGVtbYk3ZHAtqXs=- 1
- 通过
<user_name>和<password>指定 registry 的用户名和密码。
以 JSON 格式创建您的 pull secret 副本：
$ cat ./pull-secret.text | jq . > <path>/<pull_secret_file_in_json>1- 1
- 指定到存储 pull secret 的文件夹的路径，以及您创建的 JSON 文件的名称。
将文件保存为
~/.docker/config.json或$XDG_RUNTIME_DIR/containers/auth.json。该文件类似于以下示例：
{ "auths": { "cloud.openshift.com": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "quay.io": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "registry.connect.redhat.com": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" }, "registry.redhat.io": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" } } }编辑新文件并添加描述 registry 的部分：
"auths": { "<mirror_registry>": { 1 "auth": "<credentials>", 2 "email": "you@example.com" } },该文件类似于以下示例：
{ "auths": { "registry.example.com": { "auth": "BGVtbYk3ZHAtqXs=", "email": "you@example.com" }, "cloud.openshift.com": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "quay.io": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "registry.connect.redhat.com": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" }, "registry.redhat.io": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" } } }
9.2.3. 镜像 OpenShift Container Platform 镜像存储库
先决条件
- 您已将镜像 registry 配置为在受限网络中使用，并可访问您配置的证书和凭证。
- 您已从 Red Hat OpenShift Cluster Manager 下载了 pull secret，并已修改为包含镜像存储库身份验证信息。
- 如果您使用自签名证书，已在证书中指定 Subject Alternative Name。
流程
- 使用 Red Hat OpenShift Container Platform Upgrade Graph visualizer 和 update planner 计划从一个版本升级到另一个版本。OpenShift Upgrade Graph 提供频道图形，并演示了如何确认您的当前和预定集群版本之间有更新路径。
设置所需的环境变量：
导出发行版本信息：
$ export OCP_RELEASE=<release_version>
对于
<release_version>，请指定与升级到的 OpenShift Container Platform 版本对应的标签，如4.5.4。导出本地 registry 名称和主机端口：
$ LOCAL_REGISTRY='<local_registry_host_name>:<local_registry_host_port>'
对于
<local_registry_host_name>，请指定镜像存储库的 registry 域名；对于<local_registry_host_port>，请指定用于提供内容的端口。导出本地存储库名称：
$ LOCAL_REPOSITORY='<local_repository_name>'
对于
<local_repository_name>，请指定要在 registry 中创建的仓库名称，如ocp4/openshift4。导出要进行镜像的存储库名称：
$ PRODUCT_REPO='openshift-release-dev'
对于生产环境版本，必须指定
openshift-release-dev。导出 registry pull secret 的路径：
$ LOCAL_SECRET_JSON='<path_to_pull_secret>'
对于
<path_to_pull_secret>，请指定您创建的镜像 registry 的 pull secret 的绝对路径和文件名。注意如果您的集群使用
ImageContentSourcePolicy对象来配置存储库镜像，则只能将全局 pull secret 用于镜像 registry。您不能在项目中添加 pull secret。导出发行版本镜像：
$ RELEASE_NAME="ocp-release"
对于生产环境版本，您必须指定
ocp-release。为您的服务器导出构架类型，如
x86_64。$ ARCHITECTURE=<server_architecture>
导出托管镜像的目录的路径：
$ REMOVABLE_MEDIA_PATH=<path> 1- 1
- 指定完整路径，包括开始的前斜杠(/)字符。
查看要镜像的镜像和配置清单：
$ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} --dry-run将版本镜像镜像(mirror)到镜像 registry。
如果您的镜像主机无法访问互联网，请执行以下操作：
- 将可移动介质连接到连接到互联网的系统。
将镜像和配置清单镜像到可移动介质的目录中：
$ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE}将介质上传到受限网络环境中，并将镜像上传到本地容器 registry。
$ oc image mirror -a ${LOCAL_SECRET_JSON} --from-dir=${REMOVABLE_MEDIA_PATH}/mirror "file://openshift/release:${OCP_RELEASE}*" ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} 1- 1
- 对于
REMOVABLE_MEDIA_PATH，您必须使用与镜像镜像时指定的同一路径。
-
使用
oc命令行界面(CLI)登录到您要升级的集群。 将镜像发行镜像签名配置映射应用到连接的集群：
$ oc apply -f ${REMOVABLE_MEDIA_PATH}/mirror/config/<image_signature_file> 1- 1
- 对于
<image_signature_file>，指定文件的路径和名称，例如signature-sha256-81154f5c03294534.yaml。
如果本地容器 registry 和集群连接到镜像主机，将发行镜像直接推送到本地 registry，并使用以下命令将配置映射应用到集群：
$ oc adm release mirror -a ${LOCAL_SECRET_JSON} --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \ --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} --apply-release-image-signature注意如果包含
--apply-release-image-signature选项，不要为镜像签名验证创建配置映射。
