创建自定义 RHEL 系统镜像

流程

1. 安装 RHEL 镜像构建器和其他必要的软件包：

   # yum install osbuild-composer composer-cli cockpit-composer

   • osbuild-composer - 一个构建自定义 RHEL 操作系统镜像的服务。
   • composer-cli- 这个软件包提供对 CLI 界面的访问。
   • cockpit-composer - 这个软件包提供对 Web UI 界面的访问。Web 控制台作为 cockpit-composer 软件包的依赖项安装。

2. 启用并启动 RHEL 镜像构建器套接字：

   # systemctl enable --now osbuild-composer.socket

3. 如果要在 web 控制台中使用 RHEL 镜像构建器，请启用并启动它。

   # systemctl enable --now cockpit.socket

   osbuild-composer 和 cockpit 服务在第一次访问时自动启动。

4. 加载 shell 配置脚本，以便 composer-cli 命令的自动完成功能立即开始工作，而无需退出，然后再次登录：

   $ source /etc/bash_completion.d/composer-cli

流程

1. 删除 osbuild-composer 后端。

   # yum remove osbuild-composer
   # yum remove weldr-client

2. 在 /etc/yum.conf 文件中 ，为 osbuild-composer 软件包添加一个排除项。

   # cat /etc/yum.conf
   [main]
   gpgcheck=1
   installonly_limit=3
   clean_requirements_on_remove=True
   best=True
   skip_if_unavailable=False
   exclude=osbuild-composer weldr-client

3. 安装 lorax-composer 软件包。

   # yum install lorax-composer composer-cli

4. 启用并启动 lorax-composer 服务，以便在每次重启后启动。

   # systemctl enable --now lorax-composer.socket
   # systemctl start lorax-composer

步骤

1. 创建一个存储库源文件，如 /root/repo.toml。例如：

   id = "k8s"
   name = "Kubernetes"
   type = "yum-baseurl"
   url = "https://server.example.com/repos/company_internal_packages/"
   check_gpg = false
   check_ssl = false
   system = false

   type 字段接受以下有效值 yum-baseurl、yum-mirrorlist 和 yum-metalink。

2. 以 TOML 格式保存文件。

3. 将新的第三方源添加到 RHEL 镜像构建器中：

   $ composer-cli sources add <file-name>.toml

验证

1. 检查新源是否已成功添加：

   $ composer-cli sources list

2. 检查新源内容：

   $ composer-cli sources info <source_id>

步骤

1. 创建一个存储库源文件，如 /root/repo.toml。例如，要指定发行版：

   check_gpg = true
   check_ssl = true
   distros = ["rhel-8"]
   id = "rh9-local"
   name = "packages for RHEL"
   system = false
   type = "yum-baseurl"
   url = "https://local/repos/rhel8/projectrepo/"

2. 以 TOML 格式保存文件。

3. 将新的第三方源添加到 RHEL 镜像构建器中：

   $ composer-cli sources add <file-name>.toml

验证

1. 检查新源是否已成功添加：

   $ composer-cli sources list

2. 检查新源内容：

   $ composer-cli sources info <source_id>

步骤

1. 访问您要创建存储库的文件夹：

   $ cd repo/

2. 运行 createrepo_c 来从 RPM 软件包创建存储库：

   $ createrepo_c .

3. 访问 repodata 的目录：

   $ cd repodata/

4. 为 repomd.xml 文件签名：

   $ gpg -u <_gpg-key-email_> --yes --detach-sign --armor /srv/repo/example/repomd.xml

5. 要在存储库中启用 GPG 签名检查：

   1. 在存储库源中设置 check_repogpg = true。

   2. 输入您要进行检查的 gpgkey。如果您的密钥可以通过 https 使用，请使用密钥的密钥 URL 设置 gpgkeys 字段。您可以根据需要添加任意数量的 URL 密钥。

      以下是一个示例：

      check_gpg = true
      check_ssl = true
      id = "signed local packages"
      name = "repository_name"
      type = "yum-baseurl"
      url = "https://local/repos/projectrepo/"
      check_repogpg = true
      gpgkeys=["https://local/keys/repokey.pub"]

      作为替代方案，直接在 gpgkeys 字段中添加 GPG 密钥，例如：

      check_gpg = true
      check_ssl = true
      check_repogpg
      id = "custom-local"
      name = "signed local packages"
      type = "yum-baseurl"
      url = "https://local/repos/projectrepo/"
      gpgkeys=["https://remote/keys/other-repokey.pub",
      '''-----BEGIN PGP PUBLIC KEY BLOCK-----
      …​
      -----END PGP PUBLIC KEY BLOCK-----''']

      • 如果测试没有找到签名，GPG 工具会显示一个类似如下的错误：

        $ GPG verification is enabled, but GPG signature is not available.
        This may be an error or the repository does not support GPG verification:
        Status code: 404 for http://repo-server/rhel/repodata/repomd.xml.asc (IP: 192.168.1.3)

      • 如果签名无效，GPG 工具会显示一个类似如下的错误：

        repomd.xml GPG signature verification error: Bad GPG signature

步骤

1. 创建 /etc/osbuild-composer/repositories/ 目录来存储存储库覆盖：

   $ sudo mkdir -p /etc/osbuild-composer/repositories

2. 使用与 RHEL 版本对应的名称，创建一个 JSON 文件。或者，您还可以从 /usr/share/osbuild-composer/ 中复制用于分发的文件，并修改其内容。

   对于 RHEL 8.9，请使用 /etc/osbuild-composer/repositories/rhel-89.json。

3. 将以下结构添加到 JSON 文件中。仅以字符串格式指定以下属性之一：

   • baseurl - 存储库的基本 URL。
   • metalink - 包含有效镜像存储库列表的 metalink 文件的 URL。

   • mirrorlist - 包含有效镜像存储库列表的 mirrorlist 文件的 URL。其余的字段（如 gpgkey ）和 metadata_expire 是可选的。

     例如：

     {
          "x86_64": [
             {
                 "name": "baseos",
                 "baseurl": "http://mirror.example.com/composes/released/RHEL-8/8.0/BaseOS/x86_64/os/",
                 "gpgkey": "-----BEGIN PGP PUBLIC KEY BLOCK-----\n\n (…​)",
                 "check_gpg": true
             }
         ]
     }

     或者，您可以通过将 rhel-version.json 替换为 RHEL 版本（例如：rhel-8.json）来复制用于分发的 JSON 文件。

     $  cp /usr/share/osbuild-composer/repositories/rhel-version.json /etc/osbuild-composer/repositories/

4. 可选：验证 JSON 文件：

   $ json_verify < /etc/osbuild-composer/repositories/rhel-version.json

5. 编辑 rhel-8.json 文件中的 baseurl 路径，并保存。例如：

   $ /etc/osbuild-composer/repositories/rhel-version.json

6. 重启 osbuild-composer.service ：

   $ sudo systemctl restart osbuild-composer.service

步骤

1. 从 /etc/yum.repos.d/redhat.repo 文件中获取 baseurl ：

   # cat /etc/yum.repos.d/redhat.repo
   [AppStream]
   name = AppStream mirror example
   baseurl = https://mirror.example.com/RHEL-8/8.0/AppStream/x86_64/os/
   enabled = 1
   gpgcheck = 0
   sslverify = 1
   sslcacert = /etc/pki/ca1/ca.crt
   sslclientkey = /etc/pki/ca1/client.key
   sslclientcert = /etc/pki/ca1/client.crt
   metadata_expire = 86400
   enabled_metadata = 0

2. 配置存储库覆盖以使用相同的 baseurl，并将 rhsm 设为 true：

   {
       "x86_64": [
           {
               "name": "AppStream mirror example",
               "baseurl": "https://mirror.example.com/RHEL-8/8.0/AppStream/x86_64/os/",
               "gpgkey": "-----BEGIN PGP PUBLIC KEY BLOCK-----\n\n (…​)",
               "check_gpg": true,
               "rhsm": true
           }
       ]
   }

3. 重启 osbuild-composer.service ：

   $ sudo systemctl restart osbuild-composer.service

流程

1. 从您当前配置的存储库中找到存储库 URL：

   $ sudo yum -v repolist "-baseos-rpms" | grep -i repo-baseurl
     Repo-baseurl :

   以下输出是一个示例：

   https://satellite6.example.com/pulp/content/YourOrg/YourEnv/YourCV/content/dist/rhel8/8/x86_64/baseos/os

2. 将硬编码的存储库修改为 Satellite 服务器。

   1. 创建具有 0755 权限的存储库目录：

      $ sudo mkdir -pvm 0755 /etc/osbuild-composer/repositories

   2. 将 /usr/share/osbuild-composer/repositories/*.json 中的内容复制到您创建的目录中：

      $ sudo cp /usr/share/osbuild-composer/repositories/*.json /etc/osbuild-composer/repositories/

   3. 通过 /content/dist/* 行更新 Satellite URL 和文件内容：

      $ sudo sed -i -e 's|cdn.redhat.com|satellite6.example.com/pulp/content/YourOrg/YourEnv/YourCV|' /etc/osbuild-composer/repositories/*.json

   4. 验证配置是否已被正确替换：

      $ sudo vi /etc/osbuild-composer/repositories/rhel-8.json

3. 重启服务：

   $ sudo systemctl restart osbuild-worker@1.service osbuild-composer.service

4. 覆盖红帽镜像构建器配置中所需的系统存储库，并使用 Satellite 存储库的 URL 作为 baseurl。请参阅 覆盖系统存储库。

流程

1. 在 Satellite Web UI 中，导航到 Content > Products，选择您的 Product 并点击您要使用的存储库。
2. 在 Published 字段中搜索安全 URL (HTTPS)，并复制它。
3. 使用您复制的 URL 作为红帽镜像构建器存储库的 baseurl。请参阅 在 RHEL 镜像构建器中添加自定义第三方存储库。

1. 创建蓝图或将现有蓝图定义导出(保存)到纯文本文件中
2. 在文本编辑器中编辑这个文件
3. 将蓝图文本文件重新导回到镜像构建器中
4. 运行 compose 来从蓝图构建镜像
5. 导出镜像文件以下载它

流程

1. 创建一个包含以下内容的纯文本文件：

   name = "BLUEPRINT-NAME"
   description = "LONG FORM DESCRIPTION TEXT"
   version = "0.0.1"
   modules = []
   groups = []

   用您的蓝图的名称和描述替换 BLUEPRINT-NAME 和 LONG FORM DESCRIPTION TEXT。

   根据 Semantic Versioning 方案，将 0.0.1 替换为版本号。

2. 对于您要包含在蓝图中的每个软件包，请在文件中添加以下行：

   [[packages]]
   name = "package-name"
   version = "package-version"

   使用软件包名称替换 package-name，如 httpd、gdb-doc 或 coreutils。

   可选，将 package-version 替换为要使用的版本。此字段支持 dnf 版本规范：

   • 对于特定版本，请使用确切的版本号，如 8.7.0。
   • 对于最新可用版本，请使用星号 *。
   • 对于最新的次版本，请使用以下格式，如 8.*。

3. 自定义蓝图以满足您的需要。例如，禁用 Simultaneous Multi Threading (SMT)，在蓝图文件中添加以下行：

   [customizations.kernel]
   append = "nosmt=force"

   有关其他可用的定制信息，请参阅 支持的镜像自定义。

   请注意，[] 和 [[]] 是以 TOML 表示的不同的数据结构。

   • [customizations.kernel] 标头代表一个由一组键及其相应的值对定义的表，例如：append = "nosmt=force" 。
   • [[packages]] 标头代表表数组。第一个实例定义数组及其第一个表元素，例如 name = "package-name" 和 version = "package-version"，每个后续实例都按照您定义它们的顺序创建并定义一个新的表元素。
4. 将文件保存为 例如 BLUEPRINT-NAME.toml，并关闭文本编辑器。

5. 可选：检查蓝图 TOML 文件中的所有设置是否已被正确解析。保存蓝图，并将保存的输出与输入文件进行比较：

   # composer-cli blueprints save BLUEPRINT-NAME.toml

   1. 将 BLUEPRINT-NAME.toml 保存的文件与输入文件进行比较。

6. 推送蓝图：

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   将 BLUEPRINT-NAME 替换为您在前面步骤中使用的值。

   注意

   以非 root 身份运行 composer-cli 命令创建镜像，请将您的用户添加到 weldr 或 root 组中。

   # usermod -a -G weldr user
   $ newgrp weldr

流程

1. 列出现有的蓝图：

   # composer-cli blueprints list

2. 将蓝图保存到一个本地文本文件中：

   # composer-cli blueprints save BLUEPRINT-NAME

3. 使用文本编辑器编辑 BLUEPRINT-NAME.toml 文件并进行更改。

4. 在完成编辑前，请验证该文件是否是一个有效的蓝图：

   1. 如果存在，从蓝图中删除以下行：

      packages = []

   2. 增加版本号，例如，从 0.0.1 增加到 0.1.0。请记住，RHEL 镜像构建器蓝图版本必须使用 Semantic Versioning 方案。请注意，如果您没有更改版本，补丁版本组件会自动增加。
5. 保存文件并关闭文本编辑器。

6. 将蓝图推送回 RHEL 镜像构建器：

   # composer-cli blueprints push BLUEPRINT-NAME.toml

   注意

   要将蓝图导回到 RHEL 镜像构建器，请提供包括 .toml 扩展名的文件名，而在其他命令中则只使用蓝图名称。

验证

1. 要验证上传到 RHEL 镜像构建器的内容是否与您编辑的内容匹配，请列出蓝图的内容：

   # composer-cli blueprints show BLUEPRINT-NAME

2. 检查蓝图中列出的组件和版本是否有效：

   # composer-cli blueprints depsolve BLUEPRINT-NAME

流程

1. 可选：列出您可以创建的镜像格式：

   # composer-cli compose types

2. 启动 compose：

   # composer-cli compose start BLUEPRINT-NAME IMAGE-TYPE

   将 BLUEPRINT-NAME 替换为蓝图的名称，将 IMAGE-TYPE 替换为镜像的类型。有关可用值，请查看 composer-cli compose types 命令的输出。

   compose 进程在后台启动，并显示 composer Universally Unique Identifier (UUID)。

3. 镜像创建最多可能需要十分钟才能完成。

   检查 Compose 的状态：

   # composer-cli compose status

   完成的 compose 显示 FINISHED 状态值。要识别列表中您的 compose，请使用其 UUID。

4. 完成 compose 过程后，下载生成的镜像文件：

   # composer-cli compose image UUID

   使用前面步骤中显示的 UUID 值替换 UUID。

3. 4. 注意

5. 2. 1. • 注意

      2. 注意

1. # composer-cli compose start BLUEPRINT-NAME image-installer

2. # composer-cli compose status

3. # composer-cli compose list

4. # composer-cli compose image UUID

2. $ mount -o ro path_to_ISO /mnt

3. $ tar ztvf /mnt/liveimg.tar.gz

4. $ tar -xf content.tar

1. dd if=installer.iso of=/dev/sdX

1. # oscap xccdf generate fix --profile=<profileID> --fix-type=<blueprint> /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml > cis.toml

2. # composer-cli blueprints push <blueprint_name>.toml

3. # composer-cli compose start <blueprint_name> <image_type>

1. # oscap xccdf generate fix --profile=<profileID> --fix-type=blueprint /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml > <profileID>-tailored.toml

2. # Blueprint for CIS Red Hat Enterprise Linux 8 Benchmark for Level 2 - Server
   # ...
   [customizations.openscap.tailoring]
   selected = [ "xccdf_org.ssgproject.content_bind_crypto_policy" ]
   unselected = [ "grub2_password" ]

3. # composer-cli blueprints push <blueprintProfileID>-tailored.toml

4. # composer-cli compose start <blueprintProfileID> <image_type>

2. $ mkdir cloudinitiso
   $ cd cloudinitiso

3. instance-id: citest
   local-hostname: vmname

4. #cloud-config
   user: admin
   password: password
   chpasswd: {expire: False}
   ssh_pwauth: True
   ssh_authorized_keys:
     - ssh-rsa AAA...fhHQ== your.email@example.com

5. # genisoimage -output cloud-init.iso -volid cidata -joliet -rock user-data meta-data
   
   I: -input-charset not specified, using utf-8 (detected in locale settings)
   Total translation table size: 0
   Total rockridge attributes bytes: 331
   Total directory bytes: 0
   Path table size(bytes): 10
   Max brk space used 0
   183 extents written (0 MB)

6. # virt-install \
       --memory 4096 \
       --vcpus 4 \
       --name myvm \
       --disk rhel-8-x86_64-kvm.qcow2,device=disk,bus=virtio,format=qcow2 \
       --disk cloud-init.iso,device=cdrom \
       --os-variant rhel 8 \
       --virt-type kvm \
       --graphics none \
       --import

7. Starting install...
   Connected to domain mytestcivm
   ...
   [  OK  ] Started Execute cloud user/final scripts.
   [  OK  ] Reached target Cloud-init target.
   
   Red Hat Enterprise Linux 8 (Ootpa)
   Kernel 4.18.0-221.el8.x86_64 on an x86_64

1. provider = "container_provider"
   [settings]
   tls_verify = false
   username = "admin"
   password = "your_password"

2. name = "simple-container"
   description = "Simple RHEL container"
   version = "0.0.1"
   [[packages]]
   name = "nginx"
   version = "*"

3. # composer-cli blueprints push blueprint.toml

4. # composer-cli compose start simple-container container "quay.io:8080/osbuild/repository" registry-config.toml

   • 注意

1.  You can see details about the container you created, such as:
   - last modified
   - image size
   - the `manifest ID`, that you can copy to the clipboard.

1. name = "image"
   description = "A qcow2 image with a container"
   version = "0.0.1"
   distro = "rhel-90"
   [[packages]]
   name = "podman"
   version = "*"
   [[containers]]
   source = "registry.access.redhat.com/ubi9:8080/osbuild/container/container-image@sha256:manifest-ID-from-Repository-tag: tag-version"
   name =  "source-name"
   tls-verify = true

2. # composer-cli blueprints push blueprint-image.toml

3. # composer-cli start compose image qcow2

   • 注意

4. # composer-cli compose status

5. # composer-cli compose image UUID

3. # podman run -it registry.access.redhat.com/ubi9:8080/osbuild/repository /bin/bash/

4. # type -a nginx