4.3. 为 Red Hat Edge Manager 构建 引导 操作系统镜像

流程

1. 运行以下命令，为适合您的系统的软件仓库启用订阅管理器：

   sudo subscription-manager repos --enable ansible-automation-platform-2.5-for-rhel-9-x86_64-rpms

   有关 Red Hat Edge Manager 可用存储库的完整列表，请参阅附加资源部分。

2. 运行以下命令，使用软件包管理器安装 flightctl CLI：

   sudo dnf install flightctl

流程

1. 按照通过 CLI 登录到 Red Hat Edge Manager 中的步骤登录到 flightctl CLI。

   注意

   CLI 使用主机的证书颁发机构池来验证 Red Hat Edge Manager 服务的身份。如果您不将证书颁发机构证书添加到池中，则验证可能会导致 TLS 验证错误。您可以通过在命令中添加 --insecure-skip-tls-verify 标志来绕过服务器验证。

2. 运行以下命令，以代理配置文件的格式获取注册凭证：

   flightctl certificate request --signer=enrollment --expiration=365d --output=embedded > config.yaml

   注意
   • --expiration=365d 选项指定凭据有效期为一年。
   • --output=embedded 选项指定输出是一个带有嵌入注册凭证的代理配置文件。

   返回的 config.yaml 包含 Red Hat Edge Manager 服务、证书颁发机构捆绑包以及代理注册客户端证书和密钥的 URL。请参见以下示例：

   enrollment-service:
     authentication:
       client-certificate-data: LS0tLS1CRUdJTiBD...
       client-key-data: LS0tLS1CRUdJTiBF...
     service:
       certificate-authority-data: LS0tLS1CRUdJTiBD...
       server: https://agent-api.flightctl.127.0.0.1.nip.io:7443
     enrollment-ui-endpoint: https://ui.flightctl.127.0.0.1.nip.io:8081

流程

1. 根据您使用的容器镜像类型，将 pull secret 放在该设备中的以下一个或多个系统路径中：

   • 操作系统镜像使用 /etc/ostree/auth.json 路径。

   • 应用程序容器镜像使用 /root/.config/containers/auth.json 路径。

     重要

     在 secret 可以被消耗前，该设备中必须存在 pull secret。

2. 确保 pull secret 使用以下格式：

   {
     "auths": {
       "registry.example.com": {
         "auth": "base64-encoded-credentials"
       }
     }
   }

流程

1. 创建包含以下内容的 Containerfile 文件来构建基于 RHEL 9 的操作系统镜像，其中包含 Red Hat Edge Manager 代理和配置：

   FROM registry.redhat.io/rhel9/rhel-bootc:<required_os_version> 

   1

   
   RUN dnf --enablerepo ansible-automation-platform-2.5-for-rhel-9-x86_64-rpms -y install flightctl-agent-0.7.2-1.el9fc  && \
       dnf -y clean all && \
       systemctl enable flightctl-agent.service && \
       systemctl mask bootc-fetch-apply-updates.timer  

   2

   1

   FROM 中引用的基础镜像是一个可引导容器(bootc)镜像，该镜像已有 Linux 内核，它允许您重复使用现有的标准容器构建工具和工作流。

   2

   禁用默认的自动更新。更新由 Red Hat Edge Manager 管理。

   重要

   如果您的设备依赖于私有软件仓库的容器，您必须将设备 pull secret 放在 /etc/ostree/auth.json 路径中。在 secret 可以被消耗前，该设备中必须存在 pull secret。

   • 可选： 要启用 podman-compose 应用程序支持，请在 Containerfile 文件中添加以下部分：

     RUN dnf -y install https://dl.fedoraproject.org/pub/epel/epel-release-latest-9.noarch.rpm && \
         dnf -y install podman-compose && \
         dnf -y clean all && \
         systemctl enable podman.service

   • 可选： 如果您为早期绑定创建了 config.yaml，请在 Containerfile 中添加以下部分：

     ADD config.yaml /etc/flightctl/

   如需更多信息，请参阅 可选：为早期绑定请求注册证书。

2. 运行以下命令定义开放容器项目(OCI) registry：

   OCI_REGISTRY=registry.redhat.io

3. 运行以下命令，定义您具有写入权限的镜像存储库：

   OCI_IMAGE_REPO=${OCI_REGISTRY}/<your_org>/<your_image>

4. 运行以下命令来定义镜像标签：

   OCI_IMAGE_TAG=v1

5. 为您的目标平台构建操作系统镜像：

   sudo podman build -t ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG} .

流程

1. 生成名为 signingkey.pub 和 signingkey.private 的 Sigstore 密钥对：

   skopeo generate-sigstore-key --output-prefix signingkey

2. 配置 Podman 和 Skopeo 等容器工具，将 Sigstore 签名与您的签名镜像一起上传到 OCI registry：

   sudo tee "/etc/containers/registries.d/${OCI_REGISTRY}.yaml" > /dev/null <<EOF
   docker:
       ${OCI_REGISTRY}:
           use-sigstore-attachments: true
   EOF

3. 运行以下命令登录到您的 OCI registry：

   sudo podman login ${OCI_REGISTRY}

4. 运行以下命令签名并发布操作系统镜像：

   sudo podman push \
       --sign-by-sigstore-private-key ./signingkey.private \
       ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

流程

1. 运行以下命令，创建一个名为 output 的目录：

   mkdir -p output

2. 运行以下命令，使用 bootc-image-builder 从操作系统镜像生成类型为 iso 的操作系统磁盘镜像：

   sudo podman run --rm -it --privileged --pull=newer \
       --security-opt label=type:unconfined_t \
       -v "${PWD}/output":/output \
       -v /var/lib/containers/storage:/var/lib/containers/storage \
       registry.redhat.io/rhel9/bootc-image-builder:latest \
       --type iso \
       ${OCI_IMAGE_REPO}:${OCI_IMAGE_TAG}

流程

1. 运行以下命令，将 ISO 磁盘镜像所在的目录的所有者从 root 更改为您的当前用户：

   sudo chown -R $(whoami):$(whoami) "${PWD}/output"

2. 运行以下命令，定义 OCI_DISK_IMAGE_REPO 环境变量与 bootc 镜像相同的存储库，并附加 /diskimage-iso ：

   OCI_DISK_IMAGE_REPO=${OCI_IMAGE_REPO}/diskimage-iso

3. 运行以下命令来创建清单列表：

   sudo podman manifest create \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}

4. 运行以下命令，将 ISO 磁盘镜像作为 OCI 工件添加到清单列表中：

   sudo podman manifest add \
       --artifact --artifact-type application/vnd.diskimage.iso \
       --arch=amd64 --os=linux \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG} \
       "${PWD}/output/bootiso/install.iso"

5. 运行以下命令，使用私有 Sigstore 密钥为清单列表签名：

   sudo podman manifest push --all \
        --sign-by-sigstore-private-key ./signingkey.private \
       ${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG} \
       docker://${OCI_DISK_IMAGE_REPO}:${OCI_IMAGE_TAG}