第 6 章 以非 root 用户身份使用 Buildah 构建容器镜像

流程

1. 要创建 openshift-pipelines 命名空间中提供的 buildah 任务的副本，并将副本的名称改为 buildah-as-user，请输入以下命令：

   $ oc get task buildah -n openshift-pipelines -o yaml | yq '. |= (del .metadata |= with_entries(select(.key == "name" )))' | yq '.kind="Task"' | yq '.metadata.name="buildah-as-user"' | oc create -f -

   Copy to Clipboard Toggle word wrap

2. 输入以下命令编辑复制的 buildah 任务：

   $ oc edit task buildah-as-user

   Copy to Clipboard Toggle word wrap

   在新任务中，创建 annotations 和 stepTemplate 部分，如下例所示：

   在 buildah-as-user 任务中添加示例

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     annotations:
       io.kubernetes.cri-o.userns-mode: 'auto:size=65536;map-to-root=true'
       io.openshift.builder: 'true'
     name: assemble-containerimage
     namespace: pipeline-namespace
   spec:
     description: This task builds an image.
   #  ...
     stepTemplate:
       env:
         - name: HOME
           value: /tekton/home
       image: $(params.builder-image)
       imagePullPolicy: IfNotPresent
       name: ''
       resources:
         limits:
           cpu: '1'
           memory: 4Gi
         requests:
           cpu: 100m
           memory: 2Gi
       securityContext:
         capabilities:
           add:
             - SETFCAP
         runAsNonRoot: true
         runAsUser: 1000 

   1

   
       workingDir: $(workspaces.working-directory.path)
   #  ...

   Copy to Clipboard Toggle word wrap

   1

   runAsUser: 设置没有严格必要，因为使用了 podTemplate。

3. 使用新的 buildah-as-user 任务在管道中构建镜像。