保护 OpenShift Pipelines

流程

1. 输入以下命令，使用 MONGO_SERVER_URL 文件创建一个名为 mongo-url 的 secret，该文件包含 Mongo 服务器 URL 值：

   Copy to Clipboard Toggle word wrap

   $ oc create secret generic mongo-url -n tekton-chains \
     --from-file=MONGO_SERVER_URL=<path>/MONGO_SERVER_URL 

   1

   1

   包含 Mongo 服务器 URL 值的 MONGO_SERVER_URL 文件的完整路径和名称。

2. 在 TektonConfig 自定义资源(CR)的 chain 部分中，配置 Tekton Chains 控制器上的 secret，并将 storage.docdb.mongo-server-url-dir 参数设置为挂载 secret 的目录，如下例所示：

   挂载 mongo-url secret 的配置示例

   Copy to Clipboard Toggle word wrap

   apiVersion: operator.tekton.dev/v1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
     chain:
       disabled: false
       storage.docdb.mongo-server-url-dir: /tmp/mongo-url
       options:
         deployments:
           tekton-chains-controller:
             spec:
               template:
                 spec:
                   containers:
                   - name: tekton-chains-controller
                     volumeMounts:
                     - mountPath: /tmp/mongo-url
                       name: mongo-url
                   volumes:
                   -  name: mongo-url
                      secret:
                       secretName: mongo-url
   # ...

流程

1. 输入以下命令，使用 KMS_AUTH_TOKEN 文件创建一个名为 kms-secrets 的 secret，该文件包含 KMS 服务器的身份验证令牌：

   Copy to Clipboard Toggle word wrap

   $ oc create secret generic kms-secrets -n tekton-chains \
     --from-file=KMS_AUTH_TOKEN=<path_and_name> 

   1

   1

   包含 KMS 服务器的身份验证令牌的完整路径和名称，例如 /home/user/KMS_AUTH_TOKEN。您可以使用另一个文件名而不是 KMS_AUTH_TOKEN。

2. 在 TektonConfig 自定义资源(CR)的 chain 部分中，在 Tekton Chains 控制器上配置 secret，并将 signers.kms.auth.token-path 参数设置为身份验证令牌文件的完整路径，如下例所示：

   挂载 kms-secrets secret 的配置示例

   Copy to Clipboard Toggle word wrap

   apiVersion: operator.tekton.dev/v1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
     chain:
       disabled: false
       signers.kms.auth.token-path: /etc/kms-secrets/KMS_AUTH_TOKEN
       options:
         deployments:
           tekton-chains-controller:
             spec:
               template:
                 spec:
                   containers:
                   - name: tekton-chains-controller
                     volumeMounts:
                     - mountPath: /etc/kms-secrets
                       name: kms-secrets
                   volumes:
                   -  name: kms-secrets
                      secret:
                       secretName: kms-secrets
   # ...

流程

1. 运行以下命令来编辑 TektonConfig CR：

   Copy to Clipboard Toggle word wrap

   $ oc edit TektonConfig config

2. 在 TektonConfig CR 中，将 generateSigningSecret 值设置为 true ：

   使用 TektonConfig CR 创建 ecdsa 密钥对示例

   Copy to Clipboard Toggle word wrap

   apiVersion: operator.tekton.dev/v1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
     chain:
       disabled: false
       generateSigningSecret: true 

   1

   
   # ...

   1

   默认值为 false。将值设为 true 会生成 ecdsa 密钥对。

流程

1. 运行以下命令，生成 cosign.key 和 cosign.pub 密钥对：

   Copy to Clipboard Toggle word wrap

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   Cosign 会提示您输入密码，然后创建一个 Kubernetes secret。

2. 将加密的 cosign.key 私钥和 cosign.password 解密密码存储在 signing-secrets Kubernetes secret 中。确保私钥存储为 ENCRYPTED COSIGN PRIVATE KEY 类型的加密 PEM 文件。

流程

1. 运行以下命令生成公钥/私钥对：

   Copy to Clipboard Toggle word wrap

   $ skopeo generate-sigstore-key --output-prefix <mykey> 

   1

   1

   将 <mykey> 替换为您选择的密钥名称。

   Skopeo 会提示您输入私钥的密码短语，然后创建名为 <mykey>.private 和 <mykey>.pub 的密钥文件。

2. 运行以下命令，使用 base64 工具对 <mykey>.pub 文件进行编码：

   Copy to Clipboard Toggle word wrap

   $ base64 -w 0 <mykey>.pub > b64.pub

3. 运行以下命令，使用 base64 工具对 <mykey>.private 文件进行编码：

   Copy to Clipboard Toggle word wrap

   $ base64 -w 0 <mykey>.private > b64.private

4. 运行以下命令，使用 base64 工具对 passhprase 进行编码：

   Copy to Clipboard Toggle word wrap

   $ echo -n '<passphrase>' | base64 -w 0 > b64.passphrase 

   1

   1

   将 <passphrase> 替换为用于密钥对的密码短语。

5. 运行以下命令，在 openshift-pipelines 命名空间中创建 signing-secrets secret：

   Copy to Clipboard Toggle word wrap

   $ oc create secret generic signing-secrets -n openshift-pipelines

6. 运行以下命令来编辑 signing-secrets secret：

   Copy to Clipboard Toggle word wrap

   $ oc edit secret -n openshift-pipelines signing-secrets

   使用以下方法在 secret 的数据中添加编码的密钥：

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   data:
     cosign.key: <Encoded <mykey>.private> 

   1

   
     cosign.password: <Encoded passphrase> 

   2

   
     cosign.pub: <Encoded <mykey>.pub> 

   3

   
   immutable: true
   kind: Secret
   metadata:
     name: signing-secrets
   # ...
   type: Opaque

   1

   将 <Encoded <mykey>.private> 替换为 b64.private 文件的内容。

   2

   将 <Encoded passphrase> 替换为 b64.passphrase 文件的内容。

   3

   将 <Encoded <mykey>.pub> 替换为 b64.pub 文件的内容。

流程

1. 运行以下命令来删除 signing-secret secret：

   Copy to Clipboard Toggle word wrap

   $ oc delete secret signing-secrets -n openshift-pipelines

2. 重新创建密钥对，并使用您首选的签名方案将其存储在机密中。

流程

1. 进入到 Activity → PipelineRuns 选项卡。
2. 对于您要查看的 SBOM 的项目，请选择其最新的管道运行。

3. 在 PipelineRun 详情页中，选择 View SBOM。

   1. 您可以使用 Web 浏览器立即搜索 SBOM 以了解软件供应链中漏洞的术语。例如，尝试搜索 log4j。
   2. 您可以选择 Download 下载 SBOM 或 Expand 来查看它全屏。

流程

1. 打开终端，登录到 Developer 或 Administrator 视角，然后切换到相关项目。

2. 在 OpenShift web 控制台中复制 download sbom 命令，并在终端中运行它。

   cosign 命令示例

   Copy to Clipboard Toggle word wrap

   $ cosign download sbom quay.io/<workspace>/user-workload@sha256

   1. （可选）要以可搜索格式查看完整的 SBOM，请运行以下命令来重定向输出：

      cosign 命令示例

      Copy to Clipboard Toggle word wrap

      $ cosign download sbom quay.io/<workspace>/user-workload@sha256 > sbom.txt

流程

1. 在 secret.yaml 文件中为 secret 创建 YAML 清单。在此清单中，指定用户名和密码或 GitHub 个人访问令牌来访问 目标 Git 存储库。

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: Secret
   metadata:
     name: basic-user-pass 

   1

   
     annotations:
       tekton.dev/git-0: https://github.com
   type: kubernetes.io/basic-auth
   stringData:
     username: <username> 

   2

   
     password: <password> 

   3

   1

   secret 的名称。在本例中，basic-user-pass。

   2

   Git 存储库的用户名。

   3

   Git 存储库的密码或个人访问令牌。

2. 在 serviceaccount.yaml 文件中为服务帐户创建 YAML 清单。在此清单中，将 secret 与服务帐户关联。

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: build-bot 

   1

   
   secrets:
     - name: basic-user-pass 

   2

   1

   服务帐户的名称。在本例中，build-bot。

   2

   secret 的名称。在本例中，basic-user-pass。

3. 为 run.yaml 文件中的任务运行或管道运行创建 YAML 清单，并将服务帐户与任务运行或管道运行关联。使用以下示例之一：

   • 将服务帐户与 TaskRun 资源关联：

     Copy to Clipboard Toggle word wrap

     apiVersion: tekton.dev/v1
     kind: TaskRun
     metadata:
       name: build-push-task-run-2 

     1

     
     spec:
       taskRunTemplate:
         serviceAccountName: build-bot 

     2

     
       taskRef:
         name: build-push 

     3

     1

     任务运行的名称。在本例中，build-push-task-run-2。

     2

     服务帐户的名称。在本例中，build-bot。

     3

     任务的名称。在本例中，build-push。

   • 将服务帐户与 PipelineRun 资源关联：

     Copy to Clipboard Toggle word wrap

     apiVersion: tekton.dev/v1
     kind: PipelineRun
     metadata:
       name: demo-pipeline 

     1

     
       namespace: default
     spec:
       taskRunTemplate:
         serviceAccountName: build-bot 

     2

     
       pipelineRef:
         name: demo-pipeline 

     3

     1

     管道运行的名称。在本例中，demo-pipeline。

     2

     服务帐户的名称。在本例中，build-bot。

     3

     管道的名称。在本例中，demo-pipeline。

4. 输入以下命令应用您创建的 YAML 清单：

   Copy to Clipboard Toggle word wrap

   $ oc apply --filename secret.yaml,serviceaccount.yaml,run.yaml

流程

1. 生成 SSH 私钥，或复制通常在 ~/.ssh/id_rsa 文件中提供的现有私钥。

2. 在 secret.yaml 文件中为 secret 创建 YAML 清单。在此清单中，将 ssh-privatekey 的值设置为 SSH 私钥文件的内容，并将 known_hosts 的值设置为已知主机文件的内容。

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: Secret
   metadata:
     name: ssh-key 

   1

   
     annotations:
       tekton.dev/git-0: github.com
   type: kubernetes.io/ssh-auth
   stringData:
     ssh-privatekey: 

   2

   
     known_hosts: 

   3

   1

   包含 SSH 私钥的机密的名称。在本例中，ssh-key。

   2

   SSH 私钥文件的内容。

   3

   已知主机文件的内容。

   重要

   如果省略已知主机文件，OpenShift Pipelines 会接受任何服务器的公钥。

3. 可选：通过在注解值末尾添加 :&lt ;port_number& gt; 来指定自定义 SSH 端口。例如： tekton.dev/git-0: github.com:2222。

4. 在 serviceaccount.yaml 文件中为服务帐户创建 YAML 清单。在此清单中，将 secret 与服务帐户关联。

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: build-bot 

   1

   
   secrets:
     - name: ssh-key 

   2

   1

   服务帐户的名称。在本例中，build-bot。

   2

   包含 SSH 私钥的机密的名称。在本例中，ssh-key。

5. 在 run.yaml 文件中，将服务帐户与任务运行或管道运行关联。使用以下示例之一：

   • 将服务帐户与任务运行关联：

     Copy to Clipboard Toggle word wrap

     apiVersion: tekton.dev/v1
     kind: TaskRun
     metadata:
       name: build-push-task-run-2 

     1

     
     spec:
       taskRunTemplate:
         serviceAccountName: build-bot 

     2

     
       taskRef:
         name: build-push 

     3

     1

     任务运行的名称。在本例中，build-push-task-run-2。

     2

     服务帐户的名称。在本例中，build-bot。

     3

     任务的名称。在本例中，build-push。

   • 将服务帐户与管道运行关联：

     Copy to Clipboard Toggle word wrap

     apiVersion: tekton.dev/v1
     kind: PipelineRun
     metadata:
       name: demo-pipeline 

     1

     
       namespace: default
     spec:
       taskRunTemplate:
         serviceAccountName: build-bot 

     2

     
       pipelineRef:
         name: demo-pipeline 

     3

     1

     管道运行的名称。在本例中，demo-pipeline。

     2

     服务帐户的名称。在本例中，build-bot。

     3

     管道的名称。在本例中，demo-pipeline。

6. 应用更改。

   Copy to Clipboard Toggle word wrap

   $ oc apply --filename secret.yaml,serviceaccount.yaml,run.yaml

流程

1. 输入以下命令，从现有 config.json 文件创建容器 registry 身份验证 secret，该文件包含身份验证信息：

   Copy to Clipboard Toggle word wrap

   $ oc create secret generic my-registry-credentials \ 

   1

   
     --from-file=config.json=/home/user/credentials/config.json 

   2

   1

   secret 的名称，本例中为 my-registry-credentials

   2

   config.json 文件的路径名，本例中为 /home/user/credentials/config.json

2. 在 serviceaccount.yaml 文件中为服务帐户创建 YAML 清单。在此清单中，将 secret 与服务帐户关联。

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: container-bot 

   1

   
   secrets:
     - name: my-registry-credentials 

   2

   1

   服务帐户的名称。在本例中，container-bot。

   2

   包含 SSH 私钥的机密的名称。在本例中，my-registry-credentials。

3. 为任务运行或管道运行创建 YAML 清单，作为 run.yaml 文件运行。在这个文件中，将服务帐户与任务运行或管道运行关联。使用以下示例之一：

   • 将服务帐户与任务运行关联：

     Copy to Clipboard Toggle word wrap

     apiVersion: tekton.dev/v1
     kind: TaskRun
     metadata:
       name: build-container-task-run-2 

     1

     
     spec:
       taskRunTemplate:
         serviceAccountName: container-bot 

     2

     
       taskRef:
         name: build-container 

     3

     1

     任务运行的名称。在本例中，build-container-task-run-2。

     2

     服务帐户的名称。在本例中，container-bot。

     3

     任务的名称。在本例中，build-container。

   • 将服务帐户与管道运行关联：

     Copy to Clipboard Toggle word wrap

     apiVersion: tekton.dev/v1
     kind: PipelineRun
     metadata:
       name: demo-pipeline 

     1

     
       namespace: default
     spec:
       taskRunTemplate:
         serviceAccountName: container-bot 

     2

     
       pipelineRef:
         name: demo-pipeline 

     3

     1

     管道运行的名称。在本例中，demo-pipeline。

     2

     服务帐户的名称。在本例中，container-bot。

     3

     管道的名称。在本例中，demo-pipeline。

4. 输入以下命令应用更改：

   Copy to Clipboard Toggle word wrap

   $ oc apply --filename serviceaccount.yaml,run.yaml

流程

1. 输入以下命令从现有 .ssh 目录中的文件创建 Git SSH 身份验证 secret：

   Copy to Clipboard Toggle word wrap

   $ oc create secret generic my-github-ssh-credentials \ 

   1

   
     --from-file=id_ed25519=/home/user/.ssh/id_ed25519 \ 

   2

   
     --from-file=known_hosts=/home/user/.ssh/known_hosts 

   3

   1

   secret 的名称，在这个示例中，my-github-ssh-credentials

   2

   私钥文件的名称和完整路径名称，本例中为 /home/user/.ssh/id_ed25519

   3

   已知主机文件的名称和完整路径名称，本例中为 /home/user/.ssh/known_hosts

2. 在任务定义中，为 Git 身份验证配置命名工作区，如 ssh-directory ：

   工作区的定义示例

   Copy to Clipboard Toggle word wrap

   apiVersion: tekton.dev/v1beta1
   kind: Task
   metadata:
     name: git-clone
   spec:
     workspaces:
       - name: ssh-directory
         description: |
           A .ssh directory with private key, known_hosts, config, etc.

3. 在任务步骤中，使用 $(workspaces.<workspace_name>.path)环境变量中的路径 访问目录，例如 $(workspaces.ssh-directory.path)

4. 在运行任务时，通过在 tkn task start 命令中包含 the- workspace 参数来指定命名工作区的 secret：

   Copy to Clipboard Toggle word wrap

   $ tkn task start <task_name>
         --workspace name=<workspace_name>,secret=<secret_name> 

   1

   
         # ...

   1

   将 <workspace_name > 替换为您配置的工作区的名称，< secret_name > 替换为您创建的 secret 的名称。

流程

1. 输入以下命令，从现有 config.json 文件创建容器 registry 身份验证 secret，该文件包含身份验证信息：

   Copy to Clipboard Toggle word wrap

   $ oc create secret generic my-registry-credentials \ 

   1

   
     --from-file=config.json=/home/user/credentials/config.json 

   2

   1

   secret 的名称，本例中为 my-registry-credentials

   2

   config.json 文件的路径名，本例中为 /home/user/credentials/config.json

2. 在任务定义中，为 Git 身份验证配置命名工作区，如 ssh-directory ：

   工作区的定义示例

   Copy to Clipboard Toggle word wrap

   apiVersion: tekton.dev/v1beta1
   kind: Task
   metadata:
     name: skopeo-copy
   spec:
     workspaces:
       - name: dockerconfig
         description: Includes a docker `config.json`
   # ...

3. 在任务步骤中，使用 $(workspaces.<workspace_name>.path) 环境变量中的路径访问目录，如 $(workspaces.dockerconfig.path)。

4. 要运行任务，请在 tkn task start 命令中包含 the- workspace 参数来指定命名工作区的 secret：

   Copy to Clipboard Toggle word wrap

   $ tkn task start <task_name>
         --workspace name=<workspace_name>,secret=<secret_name> 

   1

   
         # ...

   1

   将 <workspace_name > 替换为您配置的工作区的名称，< secret_name > 替换为您创建的 secret 的名称。

流程

1. 创建 openshift-pipelines 命名空间中提供的 buildah 任务的副本；将副本的名称更改为 buildah-as-user。

   Copy to Clipboard Toggle word wrap

   $ oc get task buildah -n openshift-pipelines -o yaml | yq '. |= (del .metadata |= with_entries(select(.key == "name" )))' | yq '.kind="Task"' | yq '.metadata.name="buildah-as-user"' | oc create -f -

2. 编辑复制的 buildah 任务。

   Copy to Clipboard Toggle word wrap

   $ oc edit task buildah-as-user

   示例：使用 build 用户修改 Buildah 任务

   Copy to Clipboard Toggle word wrap

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     name: buildah-as-user
   spec:
     description: >-
       Buildah task builds source into a container image and
       then pushes it to a container registry.
       Buildah Task builds source into a container image using Project Atomic's
       Buildah build tool.It uses Buildah's support for building from Dockerfiles,
       using its buildah bud command.This command executes the directives in the
       Dockerfile to assemble a container image, then pushes that image to a
       container registry.
     params:
     - name: IMAGE
       description: Reference of the image buildah will produce.
     - name: BUILDER_IMAGE
       description: The location of the buildah builder image.
       default: registry.redhat.io/rhel8/buildah@sha256:99cae35f40c7ec050fed3765b2b27e0b8bbea2aa2da7c16408e2ca13c60ff8ee
     - name: STORAGE_DRIVER
       description: Set buildah storage driver
       default: vfs
     - name: DOCKERFILE
       description: Path to the Dockerfile to build.
       default: ./Dockerfile
     - name: CONTEXT
       description: Path to the directory to use as context.
       default: .
     - name: TLSVERIFY
       description: Verify the TLS on the registry endpoint (for push/pull to a non-TLS registry)
       default: "true"
     - name: FORMAT
       description: The format of the built container, oci or docker
       default: "oci"
     - name: BUILD_EXTRA_ARGS
       description: Extra parameters passed for the build command when building images.
       default: ""
     - description: Extra parameters passed for the push command when pushing images.
       name: PUSH_EXTRA_ARGS
       type: string
       default: ""
     - description: Skip pushing the built image
       name: SKIP_PUSH
       type: string
       default: "false"
     results:
     - description: Digest of the image just built.
       name: IMAGE_DIGEST
       type: string
     workspaces:
     - name: source
     steps:
     - name: build
       securityContext:
         runAsUser: 1000 

   1

   
       image: $(params.BUILDER_IMAGE)
       workingDir: $(workspaces.source.path)
       script: |
         echo "Running as USER ID `id`" 

   2

   
         buildah --storage-driver=$(params.STORAGE_DRIVER) bud \
           $(params.BUILD_EXTRA_ARGS) --format=$(params.FORMAT) \
           --tls-verify=$(params.TLSVERIFY) --no-cache \
           -f $(params.DOCKERFILE) -t $(params.IMAGE) $(params.CONTEXT)
         [[ "$(params.SKIP_PUSH)" == "true" ]] && echo "Push skipped" && exit 0
         buildah --storage-driver=$(params.STORAGE_DRIVER) push \
           $(params.PUSH_EXTRA_ARGS) --tls-verify=$(params.TLSVERIFY) \
           --digestfile $(workspaces.source.path)/image-digest $(params.IMAGE) \
           docker://$(params.IMAGE)
         cat $(workspaces.source.path)/image-digest | tee /tekton/results/IMAGE_DIGEST
       volumeMounts:
       - name: varlibcontainers
         mountPath: /home/build/.local/share/containers 

   3

   
     volumes:
     - name: varlibcontainers
       emptyDir: {}

   1

   以用户 id 1000 明确运行容器，它与 Buildah 镜像中的 build 用户对应。

   2

   显示用户 id，以确认进程以用户 ID 1000 身份运行。

   3

   您可以根据需要更改卷挂载的路径。

流程

1. 使用自定义 ConfigMap 和 Dockerfile 对象创建一个 TaskRun 对象。

   示例：以用户 ID 1000 身份运行 Buildah 的任务运行

   Copy to Clipboard Toggle word wrap

   apiVersion: v1
   data:
     Dockerfile: |
       ARG BASE_IMG=registry.access.redhat.com/ubi9/ubi
       FROM $BASE_IMG AS buildah-runner
       RUN dnf -y update && \
           dnf -y install git && \
           dnf clean all
       CMD git
   kind: ConfigMap
   metadata:
     name: dockerfile 

   1

   
   ---
   apiVersion: tekton.dev/v1
   kind: TaskRun
   metadata:
     name: buildah-as-user-1000
   spec:
     taskRunTemplate:
       serviceAccountName: pipelines-sa-userid-1000 

   2

   
     params:
     - name: IMAGE
       value: image-registry.openshift-image-registry.svc:5000/test/buildahuser
     taskRef:
       kind: Task
       name: buildah-as-user
     workspaces:
     - configMap:
         name: dockerfile 

   3

   
       name: source

   1

   使用配置映射，因为重点是在任务运行中，而无需使用 Dockerfile 获取某些源的以前的任务。

   2

   您创建的服务帐户的名称。

   3

   将配置映射挂载为 buildah-as-user 任务的源工作区。

2. （可选）创建管道和对应的管道运行。

   示例：管道和对应的管道运行

   Copy to Clipboard Toggle word wrap

   apiVersion: tekton.dev/v1
   kind: Pipeline
   metadata:
     name: pipeline-buildah-as-user-1000
   spec:
     params:
     - name: IMAGE
     - name: URL
     workspaces:
     - name: shared-workspace
     - name: sslcertdir
       optional: true
     tasks:
     - name: fetch-repository 

   1

   
       taskRef:
         resolver: cluster
         params:
         - name: kind
           value: task
         - name: name
           value: git-clone
         - name: namespace
           value: openshift-pipelines
       workspaces:
       - name: output
         workspace: shared-workspace
       params:
       - name: URL
         value: $(params.URL)
       - name: SUBDIRECTORY
         value: ""
       - name: DELETE_EXISTING
         value: "true"
     - name: buildah
       taskRef:
         name: buildah-as-user 

   2

   
       runAfter:
       - fetch-repository
       workspaces:
       - name: source
         workspace: shared-workspace
       - name: sslcertdir
         workspace: sslcertdir
       params:
       - name: IMAGE
         value: $(params.IMAGE)
   ---
   apiVersion: tekton.dev/v1
   kind: PipelineRun
   metadata:
     name: pipelinerun-buildah-as-user-1000
   spec:
     taskRunSpecs:
       - pipelineTaskName: buildah
         taskServiceAccountName: pipelines-sa-userid-1000 

   3

   
     params:
     - name: URL
       value: https://github.com/openshift/pipelines-vote-api
     - name: IMAGE
       value: image-registry.openshift-image-registry.svc:5000/test/buildahuser
     pipelineRef:
       name: pipeline-buildah-as-user-1000
     workspaces:
     - name: shared-workspace 

   4

   
       volumeClaimTemplate:
         spec:
           accessModes:
             - ReadWriteOnce
           resources:
             requests:
               storage: 100Mi

   1

   使用 git-clone 任务获取包含 Dockerfile 的源，并使用修改后的 Buildah 任务构建它。

   2

   请参阅修改后的 Buildah 任务。

   3

   使用您为 Buildah 任务创建的服务帐户。

   4

   使用控制器自动创建的持久性卷声明 (PVC) 在 git-clone 任务和修改后的 Buildah 任务间共享数据。

3. 启动任务运行或管道运行。