保护 Red Hat Quay

流程

1. 将证书文件和主密钥文件复制到您的配置目录中，确保它们分别命名为 ssl.cert 和 ssl.key ：

   cp ~/ssl.cert ~/ssl.key /path/to/configuration_directory

2. 输入以下命令进入配置目录：

   $ cd /path/to/configuration_directory

3. 编辑 config.yaml 文件并指定您希望 Red Hat Quay 处理 SSL/TLS：

   config.yaml 文件示例

   # ...
   SERVER_HOSTNAME: <quay-server.example.com>
   ...
   PREFERRED_URL_SCHEME: https
   # ...

4. 可选：输入以下命令将 rootCA.pem 文件的内容添加到 ssl.cert 文件的末尾：

   $ cat rootCA.pem >> ssl.cert

5. 输入以下命令停止 Quay 容器：

   $ sudo podman stop <quay_container_name>

6. 输入以下命令重启 registry：

   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
     --name=quay \
     -v $QUAY/config:/conf/stack:Z \
     -v $QUAY/storage:/datastorage:Z \
     registry.redhat.io/quay/quay-rhel8:v3.15.4

流程

1. 将 root CA 文件复制到 /etc/containers/certs.d/ 或 /etc/docker/certs.d/ 之一。使用服务器主机名决定的确切路径，并将文件命名为 ca.crt ：

   $ sudo cp rootCA.pem /etc/containers/certs.d/quay-server.example.com/ca.crt

2. 在登录到 Red Hat Quay registry 时，验证您不再需要使用 the -tls-verify=false 选项：

   $ sudo podman login quay-server.example.com

   输出示例

   Login Succeeded!

流程

1. 输入以下命令将 rootCA.pem 文件复制到合并的系统范围信任存储中：

   $ sudo cp rootCA.pem /etc/pki/ca-trust/source/anchors/

2. 输入以下命令更新系统范围的信任存储配置：

   $ sudo update-ca-trust extract

3. 可选。您可以使用 trust list 命令来确保 Quay 服务器已配置：

   $ trust list | grep quay
       label: quay-server.example.com

   现在，当您通过 https://quay-server.example.com 浏览到 registry 时，锁定图标会显示连接安全：

   

4. 要从系统范围的信任中删除 rootCA.pem 文件，请删除该文件并更新配置：

   $ sudo rm /etc/pki/ca-trust/source/anchors/rootCA.pem

   $ sudo update-ca-trust extract

   $ trust list | grep quay

流程

1. 创建新的 YAML 文件，如 custom-ssl-config-bundle-secret.yaml ：

   $ touch custom-ssl-config-bundle-secret.yaml

2. 创建 custom-ssl-config-bundle-secret 资源。

   1. 运行以下命令来创建资源：

      $ oc -n <namespace> create secret generic custom-ssl-config-bundle-secret \
        --from-file=config.yaml=</path/to/config.yaml> \ 

      1

      
        --from-file=ssl.cert=</path/to/ssl.cert> \ 

      2

      
        --from-file=extra_ca_cert_<name-of-certificate>.crt=ca-certificate-bundle.crt
       \ 

      3

      
        --from-file=ssl.key=</path/to/ssl.key> \ 

      4

      
        --dry-run=client -o yaml > custom-ssl-config-bundle-secret.yaml

      1

      其中 <config.yaml& gt; 是您的 base64 解码 的 config.yaml 文件。

      2

      其中 <ssl.cert& gt; 是您的 ssl.cert 文件。

      3

      可选。--from-file=extra_ca_cert_<name-of-certificate>.crt=ca-certificate-bundle.crt 字段允许 Red Hat Quay 识别自定义证书颁发机构(CA)文件。如果您使用使用自定义 CA 的 LDAP、OIDC 或者其它服务，您必须通过 extra_ca_cert 路径添加它们。如需更多信息，请参阅"在 OpenShift Container Platform 上向 Red Hat Quay 添加其他证书颁发机构"。

      4

      其中 <ssl.key& gt; 是您的 ssl.key 文件。

3. 可选。您可以输入以下命令来检查 custom-ssl-config-bundle-secret.yaml 文件的内容：

   $ cat custom-ssl-config-bundle-secret.yaml

   输出示例

   apiVersion: v1
   data:
     config.yaml: QUxMT1dfUFVMTFNfV0lUSE9VVF9TVFJJQ1RfTE9HR0lORzogZmFsc2UKQVVUSEVOVElDQVRJT05fVFlQRTogRGF0YWJhc2UKREVGQVVMVF9UQUdfRVhQSVJBVElPTjogMncKRElTVFJJQlVURURfU1R...
     ssl.cert: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUVYakNDQTBhZ0F3SUJBZ0lVTUFBRk1YVWlWVHNoMGxNTWI3U1l0eFV5eTJjd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2dZZ3hDekFKQmdOVkJBWVR...
     extra_ca_cert_<name-of-certificate>:LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUVYakNDQTBhZ0F3SUJBZ0lVTUFBRk1YVWlWVHNoMGxNTWI3U1l0eFV5eTJjd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2dZZ3hDe...
     ssl.key: LS0tLS1CRUdJTiBQUklWQVRFIEtFWS0tLS0tCk1JSUV2UUlCQURBTkJna3Foa2lHOXcwQkFRRUZBQVNDQktjd2dnU2pBZ0VBQW9JQkFRQ2c0VWxZOVV1SVJPY1oKcFhpZk9MVEdqaS9neUxQMlpiMXQ...
   kind: Secret
   metadata:
     creationTimestamp: null
     name: custom-ssl-config-bundle-secret
     namespace: <namespace>

4. 输入以下命令来创建 configBundleSecret 资源：

   $ oc create -n <namespace> -f custom-ssl-config-bundle-secret.yaml

   输出示例

   secret/custom-ssl-config-bundle-secret created

5. 输入以下命令更新 QuayRegistry YAML 文件来引用 custom-ssl-config-bundle-secret 对象：

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"custom-ssl-config-bundle-secret"}}'

   输出示例

   quayregistry.quay.redhat.com/example-registry patched

6. 输入以下命令将 QuayRegistry YAML 的 tls 组件设置为 False ：

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"components":[{"kind":"tls","managed":false}]}}'

   输出示例

   quayregistry.quay.redhat.com/example-registry patched

7. 输入以下命令来确保 QuayRegistry YAML 文件已更新为使用自定义 SSL configBundleSecret 资源，并且您的 和 tls 资源已设置为 False ：

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml

   输出示例

   # ...
     configBundleSecret: custom-ssl-config-bundle-secret
   # ...
   spec:
     components:
     - kind: tls
       managed: false
   # ...

流程

1. 输入以下命令描述 QuayRegistry 资源：

   $ oc describe quayregistry -n <quay_namespace>

   # ...
     Config Bundle Secret: example-registry-config-bundle-v123x
   # ...

2. 输入以下命令来获取 secret 数据：

   $ oc get secret -n <quay_namespace> <example-registry-config-bundle-v123x> -o jsonpath='{.data}'

   {
       "config.yaml": "RkVBVFVSRV9VU0 ... MDAwMAo="
   }

3. 通过传递 >> config.yaml 标志，将数据 解码到当前目录中。例如：

   $ echo 'RkVBVFVSRV9VU0 ... MDAwMAo=' | base64 --decode >> config.yaml

4. 对 config.yaml 文件进行所需的更改，然后将该文件保存为 config.yaml。

5. 输入以下命令创建新的 configBundleSecret YAML。

   $ touch <new_configBundleSecret_name>.yaml

6. 输入以下命令来创建新的 configBundleSecret 资源，传递 config.yaml 文件'：

   $ oc -n <namespace> create secret generic <secret_name> \
     --from-file=config.yaml=</path/to/config.yaml> \
     --dry-run=client -o yaml > <new_configBundleSecret_name>.yaml

   其中：

   </path/to/config.yaml>

   指定您的 base64 解码的 config.yaml 文件。

7. 输入以下命令来创建 configBundleSecret 资源：

   $ oc create -n <namespace> -f <new_configBundleSecret_name>.yaml

   secret/config-bundle created

8. 输入以下命令更新 QuayRegistry YAML 文件来引用新的 configBundleSecret 对象：

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"<new_configBundleSecret_name>"}}'

   quayregistry.quay.redhat.com/example-registry patched

验证

1. 验证 QuayRegistry CR 已使用新的 configBundleSecret 更新：

   $ oc describe quayregistry -n <quay_namespace>

   # ...
     Config Bundle Secret: <new_configBundleSecret_name>
   # ...

   修补 registry 后，Red Hat Quay Operator 会自动协调更改。

流程

1. 创建新的 YAML 文件，如 extra-ca-certificate-config-bundle-secret.yaml ：

   $ touch extra-ca-certificate-config-bundle-secret.yaml

2. 创建 extra-ca-certificate-config-bundle-secret 资源。

   1. 运行以下命令来创建资源：

      $ oc -n <namespace> create secret generic extra-ca-certificate-config-bundle-secret \
        --from-file=config.yaml=</path/to/config.yaml> \ 

      1

      
        --from-file=extra_ca_cert_<name-of-certificate-one>=<path/to/certificate_one> \ 

      2

      
        --from-file=extra_ca_cert_<name-of-certificate-two>=<path/to/certificate_two> \ 

      3

      
        --from-file=extra_ca_cert_<name-of-certificate-three>=<path/to/certificate_three> \ 

      4

      
        --dry-run=client -o yaml > extra-ca-certificate-config-bundle-secret.yaml

      1

      其中 <config.yaml& gt; 是您的 base64 解码 的 config.yaml 文件。

      2

      要添加到系统信任捆绑包中的额外 CA 文件。

      3

      可选。要添加到系统信任捆绑包中的第二个 CA 文件。

      4

      可选。要添加到系统信任捆绑包中的第三个 CA 文件。

3. 可选。您可以输入以下命令来检查 extra-ca-certificate-config-bundle-secret.yaml 文件的内容：

   $ cat extra-ca-certificate-config-bundle-secret.yaml

   输出示例

   apiVersion: v1
   data:
     config.yaml: QUxMT1dfUFVMTFNfV0lUSE9VVF9TVFJJQ1RfTE9HR0lORzogZmFsc2UKQVVUSEVOVElDQVRJT05fVFlQRTogRGF0YWJhc2UKREVGQVVMVF9UQUdfRVhQSVJBVElPTjogMncKUFJFRkVSU...
     extra_ca_cert_certificate-one: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUQyVENDQXNHZ0F3SUJBZ0lVS2xOai90VUJBZHBkNURjYkdRQUo4anRuKzd3d0RRWUpLb1pJaHZjTkFRRUwKQlFBd2ZERUxNQWtHQ...
     extra_ca_cert_certificate-three: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUQ0ekNDQXN1Z0F3SUJBZ0lVQmJpTXNUeExjM0s4ODNWby9GTThsWXlOS2lFd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2ZERUxNQWtHQ...
     extra_ca_cert_certificate-two: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUQ0ekNDQXN1Z0F3SUJBZ0lVVFVPTXZ2YVdFOFRYV3djYTNoWlBCTnV2QjYwd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2ZERUxNQWtHQ...
   kind: Secret
   metadata:
     creationTimestamp: null
     name: custom-ssl-config-bundle-secret
     namespace: <namespace>

4. 输入以下命令来创建 configBundleSecret 资源：

   $ oc create -n <namespace> -f extra-ca-certificate-config-bundle-secret.yaml

   输出示例

   secret/extra-ca-certificate-config-bundle-secret created

5. 输入以下命令更新 QuayRegistry YAML 文件，以引用 extra-ca-certificate-config-bundle-secret 对象：

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"extra-ca-certificate-config-bundle-secret"}}'

   输出示例

   quayregistry.quay.redhat.com/example-registry patched

6. 输入以下命令来确保 QuayRegistry YAML 文件已更新为使用额外的 CA 证书 configBundleSecret 资源：

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml

   输出示例

   # ...
     configBundleSecret: extra-ca-certificate-config-bundle-secret
   # ...