4.7. 管理自定义目录

流程

1. 初始化目录：

   1. 运行以下命令，为目录创建一个目录：

      $ mkdir <catalog_dir>

      Copy to Clipboard Toggle word wrap

   2. 运行 opm generate dockerfile 命令生成可构建目录镜像的 Dockerfile：

      $ opm generate dockerfile <catalog_dir> \
          -i registry.redhat.io/openshift4/ose-operator-registry-rhel9:v4 

      1

      Copy to Clipboard Toggle word wrap

      1

      使用 -i 标志指定官方红帽基础镜像，否则 Dockerfile 使用默认的上游镜像。

      Dockerfile 必须与您在上一步中创建的目录目录位于相同的父目录中：

      目录结构示例

      . 

      1

      
      ├── <catalog_dir> 

      2

      
      └── <catalog_dir>.Dockerfile 

      3

      Copy to Clipboard Toggle word wrap

      1

      父目录

      2

      Catalog 目录

      3

      opm generate dockerfile 命令生成的 Dockerfile

   3. 运行 opm init 命令，使用 Operator 的软件包定义填充目录：

      $ opm init <operator_name> \ 

      1

      
          --default-channel=preview \ 

      2

      
          --description=./README.md \ 

      3

      
          --icon=./operator-icon.svg \ 

      4

      
          --output yaml \ 

      5

      
          > <catalog_dir>/index.yaml 

      6

      Copy to Clipboard Toggle word wrap

      1

      operator 或 package, name

      2

      在未指定时该订阅默认到的频道

      3

      Operator 的 README.md 或者其它文档的路径

      4

      到 Operator 图标的路径

      5

      输出格式：JSON 或 YAML

      6

      创建目录配置文件的路径

      此命令在指定的目录配置文件中生成 olm.package 声明性配置 blob。

2. 运行 opm render 命令向目录添加捆绑包：

   $ opm render <registry>/<namespace>/<bundle_image_name>:<tag> \ 

   1

   
       --output=yaml \
       >> <catalog_dir>/index.yaml 

   2

   Copy to Clipboard Toggle word wrap

   1

   拉取捆绑包镜像的 spec

   2

   目录配置文件的路径

   注意

   频道必须至少包含一个捆绑包。

3. 为捆绑包添加频道条目。例如，根据您的规格修改以下示例，并将其添加到 <catalog_dir>/index.yaml 文件中：

   频道条目示例

   ---
   schema: olm.channel
   package: <operator_name>
   name: preview
   entries:
     - name: <operator_name>.v0.1.0 

   1

   Copy to Clipboard Toggle word wrap

   1

   确定在 <operator_name> 之后、版本 v 中包含句点 (.)。否则，条目无法传递 opm validate 命令。

4. 验证基于文件的目录：

   1. 针对目录目录运行 opm validate 命令：

      $ opm validate <catalog_dir>

      Copy to Clipboard Toggle word wrap

   2. 检查错误代码是否为 0:

      $ echo $?

      Copy to Clipboard Toggle word wrap

      输出示例

      0

      Copy to Clipboard Toggle word wrap

5. 运行 podman build 命令构建目录镜像：

   $ podman build . \
       -f <catalog_dir>.Dockerfile \
       -t <registry>/<namespace>/<catalog_image_name>:<tag>

   Copy to Clipboard Toggle word wrap

6. 将目录镜像推送到 registry：

   1. 如果需要，运行 podman login 命令与目标 registry 进行身份验证：

      $ podman login <registry>

      Copy to Clipboard Toggle word wrap

   2. 运行 podman push 命令来推送目录镜像：

      $ podman push <registry>/<namespace>/<catalog_image_name>:<tag>

      Copy to Clipboard Toggle word wrap

流程

1. 启动一个新的索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<bundle_image_name>:<tag> \

   1

   
       --tag <registry>/<namespace>/<index_image_name>:<tag> \

   2

   
       [--binary-image <registry_base_image>] 

   3

   Copy to Clipboard Toggle word wrap

   1

   要添加到索引中的捆绑包镜像以逗号分隔的列表。

   2

   希望索引镜像具有的镜像标签。

   3

   可选：用于为目录提供服务的备选 registry 基础镜像。

2. 将索引镜像推送到 registry。

   1. 如果需要，与目标 registry 进行身份验证：

      $ podman login <registry>

      Copy to Clipboard Toggle word wrap

   2. 推送索引镜像：

      $ podman push <registry>/<namespace>/<index_image_name>:<tag>

      Copy to Clipboard Toggle word wrap

流程

1. 通过添加捆绑包镜像来更新现有索引：

   $ opm index add \
       --bundles <registry>/<namespace>/<new_bundle_image>@sha256:<digest> \

   1

   
       --from-index <registry>/<namespace>/<existing_index_image>:<existing_tag> \

   2

   
       --tag <registry>/<namespace>/<existing_index_image>:<updated_tag> \

   3

   
       --pull-tool podman 

   4

   Copy to Clipboard Toggle word wrap

   1

   --bundles 标志指定要添加到索引中的、以逗号分隔的额外捆绑包镜像列表。

   2

   --from-index 标志指定之前推送的索引。

   3

   --tag 标志指定要应用到更新的索引镜像的镜像标签。

   4

   --pull-tool 标志指定用于拉取容器镜像的工具。

   其中：

   <registry>

   指定 registry 的主机名，如 quay.io 或 mirror.example.com。

   <namespace>

   指定 registry 的命名空间，如 ocs-dev 或 abc。

   <new_bundle_image>

   指定要添加到 registry 的新捆绑包镜像，如 ocs-operator。

   <digest>

   指定捆绑包镜像的 SHA 镜像 ID 或摘要，如 c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41。

   <existing_index_image>

   指定之前推送的镜像，如 abc-redhat-operator-index。

   <existing_tag>

   指定之前推送的镜像标签，如 4。

   <updated_tag>

   指定要应用到更新的索引镜像的镜像标签，如 4.1。

   示例命令

   $ opm index add \
       --bundles quay.io/ocs-dev/ocs-operator@sha256:c7f11097a628f092d8bad148406aa0e0951094a03445fd4bc0775431ef683a41 \
       --from-index mirror.example.com/abc/abc-redhat-operator-index:4 \
       --tag mirror.example.com/abc/abc-redhat-operator-index:4.1 \
       --pull-tool podman

   Copy to Clipboard Toggle word wrap

2. 推送更新的索引镜像：

   $ podman push <registry>/<namespace>/<existing_index_image>:<updated_tag>

   Copy to Clipboard Toggle word wrap

3. Operator Lifecycle Manager（OLM）会在常规时间段内自动轮询目录源中引用的索引镜像，验证是否已成功添加新软件包：

   $ oc get packagemanifests -n openshift-marketplace

   Copy to Clipboard Toggle word wrap

流程

1. 通过目标 registry 进行身份验证：

   $ podman login <target_registry>

   Copy to Clipboard Toggle word wrap

2. 确定您要包括在您的修剪索引中的软件包列表。

   1. 运行您要修剪容器中的源索引镜像。例如：

      $ podman run -p50051:50051 \
          -it registry.redhat.io/redhat/redhat-operator-index:v4

      Copy to Clipboard Toggle word wrap

      输出示例

      Trying to pull registry.redhat.io/redhat/redhat-operator-index:v4...
      Getting image source signatures
      Copying blob ae8a0c23f5b1 done
      ...
      INFO[0000] serving registry                              database=/database/index.db port=50051

      Copy to Clipboard Toggle word wrap

   2. 在一个单独的终端会话中，使用 grpcurl 命令获取由索引提供的软件包列表：

      $ grpcurl -plaintext localhost:50051 api.Registry/ListPackages > packages.out

      Copy to Clipboard Toggle word wrap

   3. 检查 package.out 文件，确定要保留在此列表中的哪个软件包名称。例如：

      软件包列表片断示例

      ...
      {
        "name": "advanced-cluster-management"
      }
      ...
      {
        "name": "jaeger-product"
      }
      ...
      {
      {
        "name": "quay-operator"
      }
      ...

      Copy to Clipboard Toggle word wrap

   4. 在您执行 podman run 命令的终端会话中，按 Ctrl 和 C 停止容器进程。

3. 运行以下命令来修剪指定软件包以外的所有源索引：

   $ opm index prune \
       -f registry.redhat.io/redhat/redhat-operator-index:v4 \

   1

   
       -p advanced-cluster-management,jaeger-product,quay-operator \

   2

   
       [-i registry.redhat.io/openshift4/ose-operator-registry-rhel9:v4] \

   3

   
       -t <target_registry>:<port>/<namespace>/redhat-operator-index:v4 

   4

   Copy to Clipboard Toggle word wrap

   1

   到修剪的索引。

   2

   要保留的软件包用逗号隔开。

   3

   只适用于 IBM Power® 和 IBM Z® 镜像： Operator Registry 基础镜像和与目标 Red Hat OpenShift Service on AWS 集群主版本和次版本匹配的标签。

   4

   用于正在构建新索引镜像的自定义标签。

4. 运行以下命令将新索引镜像推送到目标 registry:

   $ podman push <target_registry>:<port>/<namespace>/redhat-operator-index:v4

   Copy to Clipboard Toggle word wrap

   其中 <namespace> 是 registry 上的任何现有命名空间。

流程

1. 通过将 spec.grpcPodConfig.securityContextConfig 标签设置为 legacy 来编辑 CatalogSource 定义，如下例所示：

   CatalogSource 定义示例

   apiVersion: operators.coreos.com/v1alpha1
   kind: CatalogSource
   metadata:
     name: my-catsrc
     namespace: my-ns
   spec:
     sourceType: grpc
     grpcPodConfig:
       securityContextConfig: legacy
     image: my-image:latest

   Copy to Clipboard Toggle word wrap

   提示

   在 Red Hat OpenShift Service on AWS 4 中，spec.grpcPodConfig.securityContextConfig 字段默认设置为 legacy。在以后的 Red Hat OpenShift Service on AWS 发行版本中，计划默认设置将更改为 restricted。如果您的目录无法在受限强制下运行，建议您手动将此字段设置为 legacy。

2. 编辑 <namespace>.yaml 文件，将升级的 pod 安全准入标准添加到目录源命名空间中，如下例所示：

   <namespace>.yaml 文件示例

   apiVersion: v1
   kind: Namespace
   metadata:
   ...
     labels:
       security.openshift.io/scc.podSecurityLabelSync: "false" 

   1

   
       openshift.io/cluster-monitoring: "true"
       pod-security.kubernetes.io/enforce: baseline 

   2

   
     name: "<namespace_name>"

   Copy to Clipboard Toggle word wrap

   1

   通过在命名空间中添加 security.openshift.io/scc.podSecurityLabelSync=false 标签来关闭 pod 安全标签同步。

   2

   应用 pod 安全准入 pod-security.kubernetes.io/enforce 标签。将标签设置为 baseline 或 privileged。使用 baseline pod 安全配置集，除非命名空间中的其他工作负载需要 privileged 配置集。