在自动 Hub 中管理红帽认证的集合和 Ansible Galaxy 集合

流程

1. 登录到 console.redhat.com。
2. 进入 Automation Hub → Collections。
3. 在每个集合中使用切换开关来决定是否将其从同步列表中排除。
4. 完成同步列表管理集合后，进入 Automation Hub → Repo Management，将远程存储库同步启动到私有自动化中心。
5. 可选：如果您已经配置了远程存储库，您可以手动将 Red Hat Ansible 认证内容集合同步到私有自动化中心，以更新您可供本地用户使用的集合内容。

流程

1. 以机构管理员身份登录到 console.redhat.com。
2. 进入 Automation Hub → Repo Management。
3. 找到 Sync URL，点 Copy to clipboard 图标 ( )。在配置 rh-certified remote 时，在使用的文件中粘贴 Sync URL。
4. 点 More actions 图标 并点 Get token。
5. 在 Token Management 页面上，点 Load token。
6. 点 Copy to clipboard 复制 API 令牌。
7. 将 API 令牌粘贴到文件中，并存储在安全位置。

流程

1. 登录到您的私有自动化中心。
2. 进入 Repo Management。
3. 点 Remotes 选项卡。
4. 在 rh-certified 远程存储库中，点 并点 Edit。
5. 在界面中，粘贴您从 console.redhat.com 获取的 Sync URL 和 Token。

6. 点击 Save。

   界面关闭并返回到 Repo Management 页面。现在，您可以在 console.redhat.com 上的机构同步列表和私有自动化中心之间同步集合。

7. 点 Sync 来同步集合。

流程

1. 登录您的 Ansible Automation hub。
2. 进入 Repo Management。
3. 点 Remotes 选项卡。
4. 在 Community 远程中，点 More Actions 图标 并点 Edit。
5. 在相应的界面中，点 Browse 并在本地机器上找到 requirements.yml 文件。

6. 点击 Save。

   界面关闭并返回到 Repo Management 页面。现在，您可以将 requirements.yml 文件中标识的集合从 Ansible Galaxy 同步到私有自动化中心。

7. 点 Sync 以同步来自 Ansible Galaxy 和 Ansible Automation Hub 的集合。

流程

1. 创建 /var/lib/pulp 目录。

   # mkdir /var/lib/pulp

2. 挂载共享文件系统（此参考环境使用 NFS 共享）。

   # mount -t nfs4 <nfs_share_ip_address>:/ /var/lib/pulp

3. 确认共享文件系统已被成功挂载：

   $ df -h

1. 确保启用了以下 firewalld 服务(nfs、mountd、rpc-bind)。

   # firewall-cmd --zone=public --add-service=nfs
   # firewall-cmd --zone=public --add-service=mountd
   # firewall-cmd --zone=public --add-service=rpc-bind

2. 重新加载 firewalld 以使更改生效。

   # firewall-cmd --reload

3. 验证 firewalld 服务是否已启用。

   # firewall-cmd --get-services

流程

1. 创建只接受文件名的签名脚本。

   注意

   此脚本充当签名服务，必须使用通过 PULP_SIGNING_KEY_FINGERPRINT 环境变量指定的密钥为该文件生成 ascii-armored 分离 gpg 签名。

   然后，该脚本会输出一个 JSON 结构，其格式如下：

   {"file": "filename", "signature": "filename.asc"}

   所有文件名都是当前工作目录中的相对路径。对于分离的签名，文件名必须保持相同，如下所示。

   以下示例显示了为内容生成签名的脚本：

   #!/usr/bin/env bash
   
   FILE_PATH=$1
   SIGNATURE_PATH="$1.asc"
   
   ADMIN_ID="$PULP_SIGNING_KEY_FINGERPRINT"
   PASSWORD="password"
   
   # Create a detached signature
   gpg --quiet --batch --pinentry-mode loopback --yes --passphrase \
      $PASSWORD --homedir ~/.gnupg/ --detach-sign --default-key $ADMIN_ID \
      --armor --output $SIGNATURE_PATH $FILE_PATH
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
      echo {\"file\": \"$FILE_PATH\", \"signature\": \"$SIGNATURE_PATH\"}
   else
      exit $STATUS
   fi

   部署私有自动化中心后，向 Ansible Automation Platform 集群启用签名后，新的 UI 会在与集合交互时显示。

2. 查看 Ansible Automation Platform 安装程序清单文件中的以 automationhub_* 开头的选项。

   [all:vars]
   .
   .
   .
   automationhub_create_default_collection_signing_service = True
   automationhub_auto_sign_collections = True
   automationhub_require_content_approval = True
   automationhub_collection_signing_service_key = /abs/path/to/galaxy_signing_service.gpg
   automationhub_collection_signing_service_script = /abs/path/to/collection_signing.sh

   两个新密钥(automationhub_auto_sign_collections 和 automationhub_require_content_approval)表示必须签名集合，并在上传到私有自动化中心后需要批准。

流程

1. 在自动化中心 UI 中登录到您的私有自动化中心实例。
2. 在左侧导航中，点 Collections → Approval。Approval dashboard 带有集合列表会显示。
3. 对您要签名的每个集合点 Sign and approve。
4. 验证您签名和手动批准的集合是否在 Collections 选项卡中显示。

流程

1. 在自动化中心 UI 中登录到您的私有自动化中心实例。

2. 在导航窗格中，选择 Signature Keys。签名密钥仪表板显示多个键的列表：集合和容器镜像。

   • 要验证集合，请下载前缀为 collections- 的密钥。
   • 要验证容器镜像，请下载前缀为 container- 的密钥。

3. 选择以下方法之一下载您的公钥：

   • 选择菜单图标，然后点 Download Key 以下载公钥。
   • 从列表中选择公钥，然后点 Copy to clipboard 图标。
   • 点 Public Key 选项卡下的下拉菜单，再复制整个公钥块。

流程

1. 要将公钥导入到用于 ansible-galaxy 的非默认密钥环中，请运行以下命令：

   gpg --import --no-default-keyring --keyring ~/.ansible/pubring.kbx my-public-key.asc

   注意

   除了自动化中心提供的任何签名外，也可在要求文件和命令行中提供签名源。签名源应当是 URI。

2. 使用 --signature 选项验证 CLI 上提供的集合名称以及其他签名。

   ansible-galaxy collection install namespace.collection
   --signature https://examplehost.com/detached_signature.asc
   --signature file:///path/to/local/detached_signature.asc --keyring ~/.ansible/pubring.kbx

   您可以多次使用这个选项提供多个签名。

3. 确认要求文件中的集合在集合的签名密钥后列出任何其他签名源，如下例所示。

   # requirements.yml
   collections:
     - name: ns.coll
       version: 1.0.0
       signatures:
         - https://examplehost.com/detached_signature.asc
         - file:///path/to/local/detached_signature.asc
   
   ansible-galaxy collection verify -r requirements.yml --keyring ~/.ansible/pubring.kbx

   当您从自动化中心安装集合时，服务器提供的签名会与安装的集合一起保存，以验证集合的真实性。

4. （可选）如果您需要在不查询 Ansible Galaxy 服务器的情况下再次验证集合的内部一致性，请使用 --off 命令行选项运行之前使用的相同命令。