管理 Red Hat Quay

流程

1. 输入以下命令生成 root CA 密钥：

   $ openssl genrsa -out rootCA.key 2048

2. 输入以下命令生成 root CA 证书：

   $ openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem

3. 输入将合并到证书请求中的信息，包括服务器主机名，例如：

   Country Name (2 letter code) [XX]:IE
   State or Province Name (full name) []:GALWAY
   Locality Name (eg, city) [Default City]:GALWAY
   Organization Name (eg, company) [Default Company Ltd]:QUAY
   Organizational Unit Name (eg, section) []:DOCS
   Common Name (eg, your name or your server's hostname) []:quay-server.example.com

流程

1. 将证书文件和主密钥文件复制到您的配置目录中，确保分别命名为 ssl.cert 和 ssl.key ：

   cp ~/ssl.cert ~/ssl.key $QUAY/config

2. 输入以下命令进入 $QUAY/config 目录：

   $ cd $QUAY/config

3. 编辑 config.yaml 文件并指定您希望 Red Hat Quay 处理 TLS/SSL：

   config.yaml

   ...
   SERVER_HOSTNAME: quay-server.example.com
   ...
   PREFERRED_URL_SCHEME: https
   ...

4. 可选：输入以下命令将 rootCA.pem 文件的内容应用到 ssl.cert 文件的末尾：

   $ cat rootCA.pem >> ssl.cert

5. 输入以下命令停止 Quay 容器：

   $ sudo podman stop quay

6. 输入以下命令重启 registry：

   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
     --name=quay \
     -v $QUAY/config:/conf/stack:Z \
     -v $QUAY/storage:/datastorage:Z \
     registry.redhat.io/quay/quay-rhel8:v3.12.0

流程

1. 以配置模式启动 Quay 容器：

   $ sudo podman run --rm -it --name quay_config -p 80:8080 -p 443:8443 registry.redhat.io/quay/quay-rhel8:v3.12.0 config secret

2. 在 Server Configuration 部分中，选择 Red Hat Quay 处理 SSL/TLS 的 TLS。上传之前创建的证书文件和私钥文件，确保 Server Hostname 与创建证书时使用的值匹配。
3. 验证并下载更新的配置。

4. 输入以下命令停止 Quay 容器，然后重启 registry：

   $ sudo podman rm -f quay
   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
   --name=quay \
   -v $QUAY/config:/conf/stack:Z \
   -v $QUAY/storage:/datastorage:Z \
   registry.redhat.io/quay/quay-rhel8:v3.12.0

流程

1. 导航到您的 Red Hat Quay registry 端点，例如 https://quay-server.example.com。如果正确配置，浏览器会警告潜在的风险：

   

2. 继续登录屏幕。浏览器通知您连接不安全。例如：

   

   在以下部分中，您要将 Podman 配置为信任 root 证书颁发机构。

流程

1. 将 root CA 文件复制到 /etc/containers/certs.d/ 或 /etc/docker/certs.d/ 之一。使用由服务器主机名确定的确切路径，并将文件命名为 ca.crt ：

   $ sudo cp rootCA.pem /etc/containers/certs.d/quay-server.example.com/ca.crt

2. 在登录到 Red Hat Quay registry 时，验证您不再需要使用 --tls-verify=false 选项：

   $ sudo podman login quay-server.example.com

   输出示例

   Login Succeeded!

流程

1. 输入以下命令将 rootCA.pem 文件复制到整合的系统范围信任存储中：

   $ sudo cp rootCA.pem /etc/pki/ca-trust/source/anchors/

2. 输入以下命令更新系统范围的信任存储配置：

   $ sudo update-ca-trust extract

3. 可选。您可以使用 trust list 命令确保已配置了 Quay 服务器：

   $ trust list | grep quay
       label: quay-server.example.com

   现在，当您通过 https://quay-server.example.com 访问 registry 时，锁定图标会显示连接安全：

   

4. 要从系统范围的信任中删除 rootCA.pem 文件，请删除该文件并更新配置：

   $ sudo rm /etc/pki/ca-trust/source/anchors/rootCA.pem

   $ sudo update-ca-trust extract

   $ trust list | grep quay

1. 查看添加到容器中的证书

   $ cat storage.crt
   -----BEGIN CERTIFICATE-----
   MIIDTTCCAjWgAwIBAgIJAMVr9ngjJhzbMA0GCSqGSIb3DQEBCwUAMD0xCzAJBgNV
   [...]
   -----END CERTIFICATE-----

2. 创建 certs 目录并复制证书

   $ mkdir -p quay/config/extra_ca_certs
   $ cp storage.crt quay/config/extra_ca_certs/
   $ tree quay/config/
   ├── config.yaml
   ├── extra_ca_certs
   │   ├── storage.crt

3. 使用 podman ps 获取 Quay 容器的 CONTAINER ID ：

   $ sudo podman ps
   CONTAINER ID        IMAGE                                COMMAND                  CREATED             STATUS              PORTS
   5a3e82c4a75f        <registry>/<repo>/quay:v3.12.0 "/sbin/my_init"          24 hours ago        Up 18 hours         0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 443/tcp   grave_keller

4. 使用该 ID 重启容器：

   $ sudo podman restart 5a3e82c4a75f

5. 检查复制到容器命名空间中的证书：

   $ sudo podman exec -it 5a3e82c4a75f cat /etc/ssl/certs/storage.pem
   -----BEGIN CERTIFICATE-----
   MIIDTTCCAjWgAwIBAgIJAMVr9ngjJhzbMA0GCSqGSIb3DQEBCwUAMD0xCzAJBgNV

流程

1. 输入以下命令对 SSL/TLS 证书的内容进行 Base64 编码：

   $ cat ca.crt | base64 -w 0

   输出示例

   ...c1psWGpqeGlPQmNEWkJPMjJ5d0pDemVnR2QNCnRsbW9JdEF4YnFSdVd3PT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo=

2. 输入以下 kubectl 命令来编辑 quay-enterprise-config-secret 文件：

   $ kubectl --namespace quay-enterprise edit secret/quay-enterprise-config-secret

3. 为证书添加一个条目，并将完整的 base64 编码字符串er 粘贴到该条目下。例如：

     custom-cert.crt:
   c1psWGpqeGlPQmNEWkJPMjJ5d0pDemVnR2QNCnRsbW9JdEF4YnFSdVd3PT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo=

4. 使用 kubectl delete 命令删除所有 Red Hat Quay pod。例如：

   $ kubectl delete pod quay-operator.v3.7.1-6f9d859bd-p5ftc quayregistry-clair-postgres-7487f5bd86-xnxpr quayregistry-quay-app-upgrade-xq2v6  quayregistry-quay-database-859d5445ff-cqthr quayregistry-quay-redis-84f888776f-hhgms

   之后，Red Hat Quay 部署会自动将 pod 替换为新证书数据。

流程

1. 获取 Elasticsearch 帐户。

2. 更新 Red Hat Quay config.yaml 文件，使其包含以下信息：

   # ...
   LOGS_MODEL: elasticsearch 1
   LOGS_MODEL_CONFIG:
       producer: elasticsearch 2
       elasticsearch_config:
           host: http://<host.elasticsearch.example>:<port> 3
           port: 9200 4
           access_key: <access_key> 5
           secret_key: <secret_key> 6
           use_ssl: True 7
           index_prefix: <logentry> 8
           aws_region: <us-east-1> 9
   # ...

   1

   处理日志数据的方法。

   2

   选择 Elasticsearch 或 Kinesis 将日志定向到 AWS 上的中间 Kinesis 流。您需要设置自己的管道，将日志从 Kinesis 发送到 Elasticsearch，例如 Logstash。

   3

   提供 Elasticsearch 服务的系统的主机名或 IP 地址。

   4

   在您刚刚输入的主机上提供 Elasticsearch 服务的端口号。请注意，该端口必须可从所有运行 Red Hat Quay registry 的系统访问。默认为 TCP 端口 9200。

   5

   如果需要，需要访问 Elasticsearch 服务所需的访问密钥。

   6

   如果需要，获取 Elasticsearch 服务访问权限所需的 secret 密钥。

   7

   是否将 SSL/TLS 用于 Elasticsearch。默认值为 True。

   8

   选择要附加到日志条目的前缀。

   9

   如果您在 AWS 上运行，请设置 AWS 区域（否则，将其留空）。

3. 可选。如果使用 Kinesis 作为日志制作者，则必须在 config.yaml 文件中包含以下字段：

       kinesis_stream_config:
           stream_name: <kinesis_stream_name> 1
           access_key: <aws_access_key> 2
           secret_key: <aws_secret_key> 3
           aws_region: <aws_region> 4

   1

   Kinesis 流的名称。

   2

   如果需要，需要访问 Kinesis 流所需的 AWS 访问密钥名称。

   3

   需要访问 Kinesis 流所需的 AWS secret 密钥名称（如果需要）。

   4

   Amazon Web Services (AWS)区域。

4. 保存 config.yaml 文件并重启 Red Hat Quay 部署。

流程

1. 在 Red Hat Quay 安装目录中，为 Clair 数据库数据创建新目录：

   $ mkdir /home/<user-name>/quay-poc/postgres-clairv4

2. 输入以下命令为 postgres-clairv4 文件设置适当的权限：

   $ setfacl -m u:26:-wx /home/<user-name>/quay-poc/postgres-clairv4

3. 输入以下命令部署 Clair PostgreSQL 数据库：

   $ sudo podman run -d --name postgresql-clairv4 \
     -e POSTGRESQL_USER=clairuser \
     -e POSTGRESQL_PASSWORD=clairpass \
     -e POSTGRESQL_DATABASE=clair \
     -e POSTGRESQL_ADMIN_PASSWORD=adminpass \
     -p 5433:5432 \
     -v /home/<user-name>/quay-poc/postgres-clairv4:/var/lib/pgsql/data:Z \
     registry.redhat.io/rhel8/postgresql-13:1-109

4. 为您的 Clair 部署安装 PostgreSQL uuid-ossp 模块：

   $ sudo podman exec -it postgresql-clairv4 /bin/bash -c 'echo "CREATE EXTENSION IF NOT EXISTS \"uuid-ossp\"" | psql -d clair -U postgres'

   输出示例

   CREATE EXTENSION

   注意

   Clair 要求将 uuid-ossp 扩展添加到其 PostgreSQL 数据库中。对于具有适当权限的用户，Clair 将自动添加扩展。如果用户没有正确的权限，则必须在启动 Clair 前添加扩展。

   如果没有扩展，当 Clair 尝试启动时会显示以下错误： ERROR: Please load the "uuid-ossp" 扩展。(SQLSTATE 42501).

5. 如果 Quay 容器正在运行，并在配置模式中重启它，将现有配置载入为卷：

   $ sudo podman run --rm -it --name quay_config \
     -p 80:8080 -p 443:8443 \
     -v $QUAY/config:/conf/stack:Z \
     registry.redhat.io/quay/quay-rhel8:v3.12.0 config secret

6. 登录到配置工具，再单击 UI 的 Security Scanner 部分中的 Enable Security Scanning。
7. 使用 quay-server 系统上尚未使用的端口设置 Clair 的 HTTP 端点，例如 8081。

8. 使用 Generate PSK 按钮创建预共享密钥(PSK)。

   安全扫描器 UI

   

9. 验证并下载 Red Hat Quay 的 config.yaml 文件，然后停止运行配置编辑器的 Quay 容器。

10. 将新配置捆绑包提取到 Red Hat Quay 安装目录中，例如：

    $ tar xvf quay-config.tar.gz -d /home/<user-name>/quay-poc/

11. 为您的 Clair 配置文件创建一个文件夹，例如：

    $ mkdir /etc/opt/clairv4/config/

12. 进入 Clair 配置文件夹：

    $ cd /etc/opt/clairv4/config/

13. 创建 Clair 配置文件，例如：

    http_listen_addr: :8081
    introspection_addr: :8088
    log_level: debug
    indexer:
      connstring: host=quay-server.example.com port=5433 dbname=clair user=clairuser password=clairpass sslmode=disable
      scanlock_retry: 10
      layer_scan_concurrency: 5
      migrations: true
    matcher:
      connstring: host=quay-server.example.com port=5433 dbname=clair user=clairuser password=clairpass sslmode=disable
      max_conn_pool: 100
      migrations: true
      indexer_addr: clair-indexer
    notifier:
      connstring: host=quay-server.example.com port=5433 dbname=clair user=clairuser password=clairpass sslmode=disable
      delivery_interval: 1m
      poll_interval: 5m
      migrations: true
    auth:
      psk:
        key: "MTU5YzA4Y2ZkNzJoMQ=="
        iss: ["quay"]
    # tracing and metrics
    trace:
      name: "jaeger"
      probability: 1
      jaeger:
        agent:
          endpoint: "localhost:6831"
        service_name: "clair"
    metrics:
      name: "prometheus"

    有关 Clair 的配置格式的更多信息，请参阅 Clair 配置参考。

14. 使用容器镜像启动 Clair，从您创建的文件中挂载在配置中：

    $ sudo podman run -d --name clairv4 \
    -p 8081:8081 -p 8088:8088 \
    -e CLAIR_CONF=/clair/config.yaml \
    -e CLAIR_MODE=combo \
    -v /etc/opt/clairv4/config:/clair:Z \
    registry.redhat.io/quay/clair-rhel8:v3.12.0

    注意

    也有可能运行多个 Clair 容器，但对于单一容器以外的部署场景，我们强烈建议使用 Kubernetes 或 OpenShift Container Platform 等容器编配器。

流程

1. 输入以下命令拉取示例镜像：

   $ podman pull ubuntu:20.04

2. 输入以下命令将镜像标记到 registry：

   $ sudo podman tag docker.io/library/ubuntu:20.04 <quay-server.example.com>/<user-name>/ubuntu:20.04

3. 输入以下命令将镜像推送到 Red Hat Quay registry：

   $ sudo podman push --tls-verify=false quay-server.example.com/quayadmin/ubuntu:20.04

4. 通过 UI 登录您的 Red Hat Quay 部署。
5. 单击存储库名称，如 quayadmin/ubuntu。

6. 在导航窗格中，点 Tags。

   报告概述

   

7. 点镜像报告（如 45 个介质 ）以显示更详细的报告：

   报告详情

   

   注意

   在某些情况下，Clair 会显示镜像重复报告，如 ubi8/nodejs-12 或 ubi8/nodejs-16。这是因为名称相同的漏洞用于不同的软件包。这个行为应该带有 Clair 漏洞报告，且不会作为程序错误解决。

1. 以配置模式启动 Quay 容器，再选中 Enable Repository Mirroring 复选框。如果要要求 HTTPS 通信并在镜像过程中验证证书，请选择 HTTPS 和证书验证复选框。

   

2. 验证并下载 配置文件，然后使用更新的配置文件在 registry 模式中重新启动 Quay。

流程

1. 在部署的 config.yaml 文件中，添加 FEATURE_LISTEN_IP_VERSION 参数并将其设置为 IPv6，例如：

   ---
   FEATURE_GOOGLE_LOGIN: false
   FEATURE_INVITE_ONLY_USER_CREATION: false
   FEATURE_LISTEN_IP_VERSION: IPv6
   FEATURE_MAILING: false
   FEATURE_NONSUPERUSER_TEAM_SYNCING_SETUP: false
   ---

2. 启动或重启您的 Red Hat Quay 部署。

3. 输入以下命令检查您的部署是否侦听 IPv6：

   $ curl <quay_endpoint>/health/instance
   {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

流程

1. 在部署的 config.yaml 文件中，添加 FEATURE_LISTEN_IP_VERSION 参数并将其设置为 双栈，例如：

   ---
   FEATURE_GOOGLE_LOGIN: false
   FEATURE_INVITE_ONLY_USER_CREATION: false
   FEATURE_LISTEN_IP_VERSION: dual-stack
   FEATURE_MAILING: false
   FEATURE_NONSUPERUSER_TEAM_SYNCING_SETUP: false
   ---

2. 启动或重启您的 Red Hat Quay 部署。

3. 输入以下命令检查您的部署是否在侦听这两个频道：

   1. 对于 IPv4，输入以下命令：

      $ curl --ipv4 <quay_endpoint>
      {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

   2. 对于 IPv6，输入以下命令：

      $ curl --ipv6 <quay_endpoint>
      {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

1. 直接更新 config.yaml 文件，使其包含以下相关信息：

   # ...
   AUTHENTICATION_TYPE: LDAP 1
   # ...
   LDAP_ADMIN_DN: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com 2
   LDAP_ADMIN_PASSWD: ABC123 3
   LDAP_ALLOW_INSECURE_FALLBACK: false 4
   LDAP_BASE_DN: 5
       - o=<organization_id>
       - dc=<example_domain_component>
       - dc=com
   LDAP_EMAIL_ATTR: mail 6
   LDAP_UID_ATTR: uid 7
   LDAP_URI: ldap://<example_url>.com 8
   LDAP_USER_FILTER: (memberof=cn=developers,ou=Users,dc=<domain_name>,dc=com) 9
   LDAP_USER_RDN: 10
       - ou=<example_organization_unit>
       - o=<organization_id>
       - dc=<example_domain_component>
       - dc=com
   LDAP_SECONDARY_USER_RDNS: 11
       - ou=<example_organization_unit_one>
       - ou=<example_organization_unit_two>
       - ou=<example_organization_unit_three>
       - ou=<example_organization_unit_four>
   # ...

   1

   必需。必须设置为 LDAP。

   2

   必需。用于 LDAP 验证的管理 DN。

   3

   必需。LDAP 身份验证的 admin 密码。

   4

   必需。是否允许 SSL/TLS 不安全的 LDAP 身份验证回退。

   5

   必需。LDAP 身份验证的基本 DN。

   6

   必需。LDAP 身份验证的电子邮件属性。

   7

   必需。LDAP 身份验证的 UID 属性。

   8

   必需。LDAP URI。

   9

   必需。LDAP 身份验证的用户过滤器。

   10

   必需。用于 LDAP 身份验证的用户 RDN。

2. 添加所有所需的 LDAP 字段后，保存更改并重启 Red Hat Quay 部署。

流程

1. 在部署的 config.yaml 文件中，添加 LDAP_RESTRICTED_USER_FILTER 参数，并指定受限用户组，例如 members ：

   # ...
   AUTHENTICATION_TYPE: LDAP
   # ...
   FEATURE_RESTRICTED_USERS: true 1
   # ...
   LDAP_ADMIN_DN: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com
   LDAP_ADMIN_PASSWD: ABC123
   LDAP_ALLOW_INSECURE_FALLBACK: false
   LDAP_BASE_DN:
       - o=<organization_id>
       - dc=<example_domain_component>
       - dc=com
   LDAP_EMAIL_ATTR: mail
   LDAP_UID_ATTR: uid
   LDAP_URI: ldap://<example_url>.com
   LDAP_USER_FILTER: (memberof=cn=developers,ou=Users,o=<example_organization_unit>,dc=<example_domain_component>,dc=com)
   LDAP_RESTRICTED_USER_FILTER: (<filterField>=<value>) 2
   LDAP_USER_RDN:
       - ou=<example_organization_unit>
       - o=<organization_id>
       - dc=<example_domain_component>
       - dc=com
   # ...

   1

   在配置 LDAP 受限用户时，必须设置为 true。

   2

   将指定用户为受限用户。

2. 启动或重启您的 Red Hat Quay 部署。

流程

1. 在部署的 config.yaml 文件中，添加 LDAP_SUPERUSER_FILTER 参数，并添加您要配置为超级用户的组，例如 root ：

   # ...
   AUTHENTICATION_TYPE: LDAP
   # ...
   LDAP_ADMIN_DN: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com
   LDAP_ADMIN_PASSWD: ABC123
   LDAP_ALLOW_INSECURE_FALLBACK: false
   LDAP_BASE_DN:
       - o=<organization_id>
       - dc=<example_domain_component>
       - dc=com
   LDAP_EMAIL_ATTR: mail
   LDAP_UID_ATTR: uid
   LDAP_URI: ldap://<example_url>.com
   LDAP_USER_FILTER: (memberof=cn=developers,ou=Users,o=<example_organization_unit>,dc=<example_domain_component>,dc=com)
   LDAP_SUPERUSER_FILTER: (<filterField>=<value>) 1
   LDAP_USER_RDN:
       - ou=<example_organization_unit>
       - o=<organization_id>
       - dc=<example_domain_component>
       - dc=com
   # ...

   1

   将指定的用户配置为超级用户。

2. 启动或重启您的 Red Hat Quay 部署。

1. 使用以下引用并更新 config.yaml 文件，使用您需要的 OIDC 供应商凭证更新您的 config.yaml 文件：

   AUTHENTICATION_TYPE: OIDC
   # ...
   AZURE_LOGIN_CONFIG: 1
       CLIENT_ID: <client_id> 2
       CLIENT_SECRET: <client_secret> 3
       OIDC_SERVER: <oidc_server_address_> 4
       SERVICE_NAME: Microsoft Entra ID 5
       VERIFIED_EMAIL_CLAIM_NAME: <verified_email> 6
   # ...

   1

   包含 OIDC 配置设置的父键。在本例中，所用的父密钥是 AZURE_LOGIN_CONFIG，但字符串 AZURE 可以根据您的特定需求替换任意任意字符串，如 ABC123。但是，以下字符串不被接受： GOOGLE,GITHUB。这些字符串为其对应的身份平台保留，且需要在您使用的平台时进行特定的 config.yaml 条目。

   2

   与身份提供程序一起注册的应用程序的客户端 ID。

   3

   与身份提供程序一起注册的应用的客户端机密。

   4

   用于身份验证的 OIDC 服务器地址。在本例中，您必须使用 sts.windows.net 作为签发者标识符。使用 https://login.microsoftonline.com 会导致以下错误： Could not create provider for AzureAD。error: oidc: issuer 与供应商返回的签发者不匹配，预期的 "https://login.microsoftonline.com/73f2e714-xxxx-xxxx-xxxx-dffe1df8a5d5" got "https://sts.windows.net/73f2e714-xxxx-xxxx-xxxx-dffe1df8a5d5/"。

   5

   正在验证的服务的名称。

   6

   用于验证用户电子邮件地址的声明名称。

2. 正确配置 Microsoft Entra ID 结果使用以下格式进行三个重定向：

   • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback
   • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback/attach
   • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback/cli
3. 重启 Red Hat Quay 部署。

流程

1. 登录到 Amazon Web Services (AWS)控制台，再进入到 Identity and Access Management (IAM)控制台。
2. 在导航窗格中，在 Access management 下点 Users。

3. 点 Create User 并输入以下信息：

   1. 输入有效的用户名，如 quay-user。
   2. 对于 权限选项，请单击 Add user to group。
4. 在 review and create 页面上，单击 Create user。您将被重定向到 Users 页面。
5. 单击用户名，如 quay-user。
6. 复制用户的 ARN，例如 arn:aws:iam::123492922789:user/quay-user。
7. 在同一页面上，单击 Security credentials 选项卡。
8. 导航到 Access keys。
9. 点 Create access key。
10. 在 Access key 最佳实践和 alternatives 页面中，点 Command Line Interface (CLI)，然后选中确认框。然后单击"下一步"。
11. 可选。在 Set description tag - 可选 页面中，输入描述。
12. 点 Create access key。

13. 复制并存储 access key 和 secret access key。

    重要

    这是查看或下载 secret 访问密钥的唯一时间。您不能稍后恢复。但是，您可以随时创建新访问密钥。

14. 点 Done。

流程

1. 如果还没有，点 Dashboard 进入 IAM 仪表板。
2. 在导航窗格中，单击 Access management 下的 Roles。

3. 单击 Create role。

   • 点 Custom Trust Policy，它显示了一个可编辑的 JSON 策略。默认情况下，它显示以下信息：

     {
     	"Version": "2012-10-17",
     	"Statement": [
     		{
     			"Sid": "Statement1",
     			"Effect": "Allow",
     			"Principal": {},
     			"Action": "sts:AssumeRole"
     		}
     	]
     }

4. 在 Principal configuration 字段中，添加 AWS ARN 信息。例如：

   {
       "Version": "2012-10-17",
       "Statement": [
      	 {
      		 "Sid": "Statement1",
      		 "Effect": "Allow",
      		 "Principal": {
      		 	"AWS": "arn:aws:iam::123492922789:user/quay-user"
      		 },
      		 "Action": "sts:AssumeRole"
      	 }
       ]
   }

5. 点击 Next。
6. 在 Add permissions 页面中，在搜索框中输入 AmazonS3FullAccess。选中该复选框，将该策略添加到 S3 角色，然后单击 Next。

7. 在 Name, review, and create 页面中，输入以下信息：

   1. 输入角色名称，如 example-role。
   2. 可选。添加描述。
8. 点 Create role 按钮。您将进入 Roles 页面。在 Role name 下，新创建的 S3 应可用。

流程

1. 更新 Red Hat Quay 的 config.yaml 文件，使其包含以下信息：

   # ...
   DISTRIBUTED_STORAGE_CONFIG:
      default:
       - STSS3Storage
       - sts_role_arn: <role_arn> 1
         s3_bucket: <s3_bucket_name> 2
         storage_path: <storage_path> 3
         s3_region: <region> 4
         sts_user_access_key: <s3_user_access_key> 5
         sts_user_secret_key: <s3_user_secret_key> 6
   # ...

   1

   配置 AWS STS 时需要的唯一 Amazon 资源名称(ARN)

   2

   s3 存储桶的名称。

   3

   数据的存储路径。通常 /datastorage。

   4

   可选。Amazon Web Services 区域。默认为 us-east-1。

   5

   配置 AWS STS 时生成的 AWS S3 用户访问密钥。

   6

   配置 AWS STS 时生成的 AWS S3 用户 secret 密钥。

2. 重启 Red Hat Quay 部署。

验证

1. 标记示例镜像，如 busybox，它将推送到存储库。例如：

   $ podman tag docker.io/library/busybox <quay-server.example.com>/<organization_name>/busybox:test

2. 运行以下命令来推送示例镜像：

   $ podman push <quay-server.example.com>/<organization_name>/busybox:test

3. 导航到您在 Red Hat Quay registry → Tags 中将镜像推送到的 Organization，以验证推送是否成功。
4. 进入到 Amazon Web Services (AWS)控制台，找到您的 s3 存储桶。
5. 点 s3 存储桶的名称。
6. 在 Objects 页面上，单击 datastorage/。

7. 在 datastorage/ 页面中，应该看到以下资源：

   • sha256/

   • 上传/

     这些资源表示推送成功，并且 AWS STS 已被正确配置。

流程

1. 输入以下命令拉取示例镜像 ，如 iwl:18.04 ：

   $ podman pull ubuntu:18.04

2. 输入以下命令标记同一镜像两次：

   $ podman tag docker.io/library/ubuntu:18.04 quay-server.example.com/quota-test/ubuntu:tag1

   $ podman tag docker.io/library/ubuntu:18.04 quay-server.example.com/quota-test/ubuntu:tag2

3. 输入以下命令将示例镜像推送到您的机构：

   $ podman push --tls-verify=false quay-server.example.com/quota-test/ubuntu:tag1

   $ podman push --tls-verify=false quay-server.example.com/quota-test/ubuntu:tag2

4. 在 Red Hat Quay UI 上，导航到 Organization，再单击 Repository Name，例如 quota-test/ubuntu。然后，单击 标签。应当有两个存储库标签 tag1 和 tag2，各自具有相同的清单。例如：

   

   但是，通过单击 Organization 链接，可以看到 Total Quota Consumed 为 27.94 MB，这意味着 Ubuntu 镜像仅被一次考虑：

   

   如果您删除其中一个 Ubuntu 标签，则 总配额 Consumed 保持不变。

   注意

   如果您将 Red Hat Quay 时间机器配置为大于 0 秒，则只有这些标签通过时间窗时才会发生减法。如果要加快永久删除，请参阅 Red Hat Quay 3.9 中永久删除镜像标签。

流程

1. 创建新机构或选择一个现有组织。最初，没有配置配额，如 Organization Settings 选项卡中可以看到：

   

2. 以超级用户身份登录 registry，再导航到 Super User Admin Panel 上的 Manage Organizations 选项卡。点击您要为其创建存储配额限制的机构的 Options 图标：

   

3. 单击 Configure Quota，再输入初始配额，例如 10 MB。然后点 Apply 和 Close ：

   

4. 检查在超级用户面板的 Manage Organizations 选项卡中是否显示 0 (10 MB )：

   

   所消耗的配额信息也可直接在 Organization 页面中可用：

   初始消耗的配额

   

5. 要将配额增加到 100MB，请导航到超级用户面板上的 Manage Organizations 选项卡。单击 Options 图标，再选择 Configure Quota，将配额设置为 100 MB。点 Apply，然后点 Close ：

   

6. 输入以下命令拉取示例镜像：

   $ podman pull ubuntu:18.04

7. 输入以下命令标记示例镜像：

   $ podman tag docker.io/library/ubuntu:18.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04

8. 输入以下命令将示例镜像推送到机构：

   $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04

9. 在超级用户面板中，会显示每个机构消耗的配额：

   

10. Organization 页面显示镜像使用的配额的总比例：

    第一个镜像使用的总配额

    

11. 输入以下命令拉取第二个示例镜像：

    $ podman pull nginx

12. 输入以下命令标记第二个镜像：

    $ podman tag docker.io/library/nginx example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx

13. 输入以下命令将第二个镜像推送到机构：

    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx

14. Organization 页面显示该机构中每个存储库使用的配额的总比例：

    每个软件仓库使用的总配额

    

15. 创建 拒绝 和警告 限制：

    从超级用户面板中，导航到 Manage Organizations 选项卡。单击机构的 Options 图标，然后选择 Configure Quota。在 Quota Policy 部分，将 Action 类型设置为 Reject，将 Quota Threshold 设置为 80 并点 Add Limit ：

    

16. 要创建 警告 限制，请选择 Warning 作为 Action 类型，将 Quota Threshold 设置为 70，然后点 Add Limit ：

    

17. 点配额弹出窗口中的 Close。这些限制可在 Organization 页面的 Settings 选项卡中查看，但不能编辑：

    

18. 推送超过拒绝限制的镜像：

    由于 reject 限制(80%)已设置为低于当前存储库大小(~83%)，因此下一个推送的镜像会自动被拒绝。

    镜像拉取示例

    $ podman pull ubuntu:20.04
    
    $ podman tag docker.io/library/ubuntu:20.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04
    
    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04

    超过配额时的输出示例

    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0002] failed, retrying in 1s ... (1/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0005] failed, retrying in 1s ... (2/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0009] failed, retrying in 1s ... (3/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace

19. 超过限制时，会在 UI 中显示通知：

    配额通知

    

流程

1. 在 Red Hat Quay UI 中，点击您的 username → Super User Admin Panel。
2. 在导航窗格中，单击 Manage Organizations。
3. 点 Calculate，单击 Total Registry Size: 0.00 KB, Updated: Never , Calculation required。然后，单击确定。

4. 几分钟后，根据 registry 的大小，刷新页面。现在，应计算 Total Registry Size。例如：

   

流程

1. 创建临时备份目录，如 quay-backup ：

   $ mkdir /tmp/quay-backup

2. 以下示例命令表示 Red Hat Quay 启动的本地目录，例如 /opt/quay-install ：

   $ podman run --name quay-app \
      -v /opt/quay-install/config:/conf/stack:Z \
      -v /opt/quay-install/storage:/datastorage:Z \
      registry.redhat.io/quay/quay-rhel8:v3.12.0

   运行以下命令，切换到容器中的 bind-mounts 到 /conf/stack 的目录，如 /opt/quay-install ：

   $ cd /opt/quay-install

3. 输入以下命令将 Red Hat Quay 部署的内容压缩到 quay-backup 目录中的存档中：

   $ tar cvf /tmp/quay-backup/quay-backup.tar.gz *

   输出示例：

   config.yaml
   config.yaml.bak
   extra_ca_certs/
   extra_ca_certs/ca.crt
   ssl.cert
   ssl.key

4. 输入以下命令备份 Quay 容器服务：

   $ podman inspect quay-app | jq -r '.[0].Config.CreateCommand | .[]' | paste -s -d ' ' -
   
     /usr/bin/podman run --name quay-app \
     -v /opt/quay-install/config:/conf/stack:Z \
     -v /opt/quay-install/storage:/datastorage:Z \
     registry.redhat.io/quay/quay-rhel8:v3.12.0

5. 输入以下命令将 conf/stack/config.yaml 文件的内容重定向到临时 quay-config.yaml 文件：

   $ podman exec -it quay cat /conf/stack/config.yaml > /tmp/quay-backup/quay-config.yaml

6. 输入以下命令获取位于临时 quay-config.yaml 中的 DB_URI ：

   $ grep DB_URI /tmp/quay-backup/quay-config.yaml

   输出示例：

   $ postgresql://<username>:test123@172.24.10.50/quay

7. 输入以下命令将 PostgreSQL 内容提取到备份 .sql 文件中的临时备份目录中：

   $ pg_dump -h 172.24.10.50  -p 5432 -d quay  -U  <username>   -W -O > /tmp/quay-backup/quay-backup.sql

8. 输入以下命令输出 DISTRIBUTED_STORAGE_CONFIG 的内容：

   DISTRIBUTED_STORAGE_CONFIG:
      default:
       - S3Storage
       - s3_bucket: <bucket_name>
         storage_path: /registry
         s3_access_key: <s3_access_key>
         s3_secret_key: <s3_secret_key>
         host: <host_name>
         s3_region: <region>

9. 使用在第 7 步中获取的 access_key 凭证导出 AWS_ACCESS_KEY_ID ：

   $ export AWS_ACCESS_KEY_ID=<access_key>

10. 使用在第 7 步中获取的 secret_key 导出 AWS_SECRET_ACCESS_KEY ：

    $ export AWS_SECRET_ACCESS_KEY=<secret_key>

11. 将 quay 存储桶从 DISTRIBUTED_STORAGE_CONFIG 的主机名 同步到 /tmp/quay-backup/blob-backup/ 目录：

    $ aws s3 sync s3://<bucket_name>  /tmp/quay-backup/blob-backup/ --source-region us-east-2

    输出示例：

    download: s3://<user_name>/registry/sha256/9c/9c3181779a868e09698b567a3c42f3744584ddb1398efe2c4ba569a99b823f7a to registry/sha256/9c/9c3181779a868e09698b567a3c42f3744584ddb1398efe2c4ba569a99b823f7a
    download: s3://<user_name>/registry/sha256/e9/e9c5463f15f0fd62df3898b36ace8d15386a6813ffb470f332698ecb34af5b0d to registry/sha256/e9/e9c5463f15f0fd62df3898b36ace8d15386a6813ffb470f332698ecb34af5b0d

流程

1. 在 Red Hat Quay 容器中创建一个将 bind-mount 到 /conf/stack 的新目录：

   $ mkdir /opt/new-quay-install

2. 将 在独立部署中备份 Red Hat Quay 中创建的临时备份目录的内容复制到在第 1 步中创建的 new-quay-install1 目录中：

   $ cp /tmp/quay-backup/quay-backup.tar.gz /opt/new-quay-install/

3. 输入以下命令进入 new-quay-install 目录：

   $ cd /opt/new-quay-install/

4. 提取 Red Hat Quay 目录的内容：

   $ tar xvf /tmp/quay-backup/quay-backup.tar.gz *

   输出示例：

   config.yaml
   config.yaml.bak
   extra_ca_certs/
   extra_ca_certs/ca.crt
   ssl.cert
   ssl.key

5. 输入以下命令从备份 config.yaml 文件中重新调用 DB_URI ：

   $ grep DB_URI config.yaml

   输出示例：

   postgresql://<username>:test123@172.24.10.50/quay

6. 运行以下命令来进入 PostgreSQL 数据库服务器：

   $ sudo postgres

7. 输入以下命令，输入 psql 并在 IANA10.50 中创建一个新数据库，以恢复 quay 数据库，如 example_restore_registry_quay_database ：

   $ psql "host=172.24.10.50  port=5432 dbname=postgres user=<username>  password=test123"
   postgres=> CREATE DATABASE example_restore_registry_quay_database;

   输出示例：

   CREATE DATABASE

8. 运行以下命令连接到数据库：

   postgres=# \c "example-restore-registry-quay-database";

   输出示例：

   You are now connected to database "example-restore-registry-quay-database" as user "postgres".

9. 运行以下命令，为 Quay 数据库创建 pg_trmg 扩展：

   example_restore_registry_quay_database=> CREATE EXTENSION IF NOT EXISTS pg_trgm;

   输出示例：

   CREATE EXTENSION

10. 输入以下命令退出 postgres CLI：

    \q

11. 运行以下命令，将数据库备份导入到您的新数据库：

    $ psql "host=172.24.10.50 port=5432 dbname=example_restore_registry_quay_database user=<username> password=test123"  -W <  /tmp/quay-backup/quay-backup.sql

    输出示例：

    SET
    SET
    SET
    SET
    SET

    在重启 Red Hat Quay 部署前，将 config.yaml 中的 DB_URI 从 postgresql://<username>:test123@172.24.10.50/quay 更新至 postgresql://<username>:test123@172.24.10.50/example-restore-registry-quay-database。

    注意

    DB_URI 格式为 DB_ URI postgresql://<login_user_name>:<login_user_password>@<postgresql_host>/<quay_database>。如果您要从一个 PostgreSQL 服务器移动到另一个 PostgreSQL 服务器，请同时更新 < login_user_name>、< login_user_password> 和 <postgresql_host > 的值。

12. 在 /opt/new-quay-install 目录中，打印 DISTRIBUTED_STORAGE_CONFIG 捆绑包的内容：

    $ cat config.yaml | grep DISTRIBUTED_STORAGE_CONFIG -A10

    输出示例：

    DISTRIBUTED_STORAGE_CONFIG:
       default:
    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_region: <region>
          s3_secret_key: <s3_secret_key>
          host: <host_name>

    注意

    在重启 Red Hat Quay 部署前，必须更新 /opt/new-quay-install 中的 DISTRIBUTED_STORAGE_CONFIG。

13. 使用第 13 步中获取的 access_key 凭证导出 AWS_ACCESS_KEY_ID ：

    $ export AWS_ACCESS_KEY_ID=<access_key>

14. 使用在第 13 步中获取的 secret_key 导出 AWS_SECRET_ACCESS_KEY ：

    $ export AWS_SECRET_ACCESS_KEY=<secret_key>

15. 输入以下命令创建新的 s3 存储桶：

    $ aws s3 mb s3://<new_bucket_name>  --region us-east-2

    输出示例：

    $ make_bucket: quay

16. 输入以下命令将所有 Blob 上传到新的 s3 存储桶：

    $ aws s3 sync --no-verify-ssl \
    --endpoint-url <example_endpoint_url> 1
    /tmp/quay-backup/blob-backup/. s3://quay/

    1

    Red Hat Quay registry 端点必须在备份和恢复前相同。

    输出示例：

    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/50/505edb46ea5d32b5cbe275eb766d960842a52ee77ac225e4dc8abb12f409a30d to s3://quay/datastorage/registry/sha256/50/505edb46ea5d32b5cbe275eb766d960842a52ee77ac225e4dc8abb12f409a30d
    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/27/27930dc06c2ee27ac6f543ba0e93640dd21eea458eac47355e8e5989dea087d0 to s3://quay/datastorage/registry/sha256/27/27930dc06c2ee27ac6f543ba0e93640dd21eea458eac47355e8e5989dea087d0
    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/8c/8c7daf5e20eee45ffe4b36761c4bb6729fb3ee60d4f588f712989939323110ec to s3://quay/datastorage/registry/sha256/8c/8c7daf5e20eee45ffe4b36761c4bb6729fb3ee60d4f588f712989939323110ec
    ...

17. 在重启 Red Hat Quay 部署前，更新 config.yaml 中的存储设置：

    DISTRIBUTED_STORAGE_CONFIG:
       default:
    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <new_bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_secret_key: <s3_secret_key>
          s3_region: <region>
          host: <host_name>

流程

1. 备份独立 Red Hat Quay 部署的 config.yaml ：

   $ mkdir /tmp/quay-backup
   $ cp /path/to/Quay/config/directory/config.yaml /tmp/quay-backup

2. 创建独立 Red Hat Quay 部署正在使用的数据库备份：

   $ pg_dump -h DB_HOST -p 5432 -d QUAY_DATABASE_NAME -U QUAY_DATABASE_USER -W -O > /tmp/quay-backup/quay-database-backup.sql

3. 如果还没有安装 AWS CLI。

4. 创建 ~/.aws/ 目录：

   $ mkdir ~/.aws/

5. 从独立部署的 config.yaml 获取 access_key 和 secret_key ：

   $ grep -i DISTRIBUTED_STORAGE_CONFIG -A10 /tmp/quay-backup/config.yaml

   输出示例：

   DISTRIBUTED_STORAGE_CONFIG:
       minio-1:
           - RadosGWStorage
           - access_key: ##########
             bucket_name: quay
             hostname: 172.24.10.50
             is_secure: false
             port: "9000"
             secret_key: ##########
             storage_path: /datastorage/registry

6. 将 config.yaml 文件中的 access_key 和 secret_key 存储在 ~/.aws 目录中：

   $ touch ~/.aws/credentials

7. 可选：检查您的 access_key 和 secret_key 是否已存储：

   $ cat > ~/.aws/credentials << EOF
   [default]
   aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
   aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
   EOF

   输出示例：

   aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
   aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG

   注意

   如果 aws cli 没有从 '~/.aws/credentials 文件中 自动收集 access_key 和 secret_key，您可以通过运行 aws 配置并手动输入凭证来配置 它们。

8. 在 quay-backup 目录中，创建一个 bucket_backup 目录：

   $ mkdir /tmp/quay-backup/bucket-backup

9. 从 S3 存储备份所有 Blob：

   $ aws s3 sync --no-verify-ssl --endpoint-url https://PUBLIC_S3_ENDPOINT:PORT s3://QUAY_BUCKET/ /tmp/quay-backup/bucket-backup/

   注意

   PUBLIC_S3_ENDPOINT 可以从位于 DISTRIBUTED_STORAGE_CONFIG 的主机名 下的 Red Hat Quay config.yaml 文件中读取。如果端点不安全，请在端点 URL 中使用 http 而不是 https。

1. 缩减 Red Hat Quay Operator：

   $ oc scale --replicas=0 deployment quay-operator.v3.6.2 -n openshift-operators

2. 缩减应用程序和镜像部署：

   $ oc scale --replicas=0 deployment QUAY_MAIN_APP_DEPLOYMENT QUAY_MIRROR_DEPLOYMENT

3. 将数据库 SQL 备份复制到 Quay PostgreSQL 数据库实例中：

   $ oc cp /tmp/user/quay-backup/quay-database-backup.sql quay-enterprise/quayregistry-quay-database-54956cdd54-p7b2w:/var/lib/pgsql/data/userdata

4. 从 Operator 创建的 config.yaml 文件获取数据库密码：

   $ oc get deployment quay-quay-app -o json | jq '.spec.template.spec.volumes[].projected.sources' | grep -i config-secret

   输出示例：

         "name": "QUAY_CONFIG_SECRET_NAME"

   $ oc get secret quay-quay-config-secret-9t77hb84tb -o json | jq '.data."config.yaml"' | cut -d '"' -f2 | base64 -d -w0 > /tmp/quay-backup/operator-quay-config-yaml-backup.yaml

   cat /tmp/quay-backup/operator-quay-config-yaml-backup.yaml | grep -i DB_URI

   输出示例：

   postgresql://QUAY_DATABASE_OWNER:PASSWORD@DATABASE_HOST/QUAY_DATABASE_NAME

5. 在数据库 pod 中执行 shell：

   # oc exec -it quay-postgresql-database-pod -- /bin/bash

6. 输入 psql ：

   bash-4.4$ psql

7. 丢弃数据库：

   postgres=# DROP DATABASE "example-restore-registry-quay-database";

   输出示例：

   DROP DATABASE

8. 创建新数据库并设置与相同名称的所有者：

   postgres=# CREATE DATABASE "example-restore-registry-quay-database" OWNER "example-restore-registry-quay-database";

   输出示例：

   CREATE DATABASE

9. 连接到数据库：

   postgres=# \c "example-restore-registry-quay-database";

   输出示例：

   You are now connected to database "example-restore-registry-quay-database" as user "postgres".

10. 为您的 Quay 数据库创建一个 pg_trmg 扩展：

    example-restore-registry-quay-database=# create extension pg_trgm ;

    输出示例：

    CREATE EXTENSION

11. 退出 postgres CLI 以重新输入 bash-4.4:

    \q

12. 为您的 PostgreSQL 部署设置密码：

    bash-4.4$ psql -h localhost -d "QUAY_DATABASE_NAME" -U QUAY_DATABASE_OWNER -W < /var/lib/pgsql/data/userdata/quay-database-backup.sql

    输出示例：

    SET
    SET
    SET
    SET
    SET

13. 退出 bash 模式：

    bash-4.4$ exit

14. 为 Red Hat Quay Operator 创建新的配置捆绑包。

    $ touch config-bundle.yaml

15. 在您的新 config-bundle.yaml 中，包括 registry 所需的所有信息，如 LDAP 配置、密钥和其他旧 registry 有的修改。运行以下命令，将 secret_key 移到 config-bundle.yaml 中：

    $ cat /tmp/quay-backup/config.yaml | grep SECRET_KEY > /tmp/quay-backup/config-bundle.yaml

    注意

    您必须手动复制所有 LDAP、OIDC 和其他信息，并将其添加到 /tmp/quay-backup/config-bundle.yaml 文件中。

16. 在 OpenShift 集群中创建配置捆绑包 secret：

    $ oc create secret generic new-custom-config-bundle --from-file=config.yaml=/tmp/quay-backup/config-bundle.yaml

17. 扩展 Quay pod:

    $ oc scale --replicas=1 deployment quayregistry-quay-app
    deployment.apps/quayregistry-quay-app scaled

18. 扩展镜像 pod：

    $ oc scale --replicas=1  deployment quayregistry-quay-mirror
    deployment.apps/quayregistry-quay-mirror scaled

19. 对 QuayRegistry CRD 进行补丁，使其包含对新自定义配置捆绑包的引用：

    $ oc patch quayregistry QUAY_REGISTRY_NAME --type=merge -p '{"spec":{"configBundleSecret":"new-custom-config-bundle"}}'

    注意

    如果 Red Hat Quay 返回 500 内部服务器错误，您可能需要将 DISTRIBUTED_STORAGE_CONFIG 的位置 更新为 默认值。

20. 在 /.aws/ 目录中创建一个新的 AWS credentials.yaml，并从 Operator 创建的 config.yaml 文件包含 access_key 和 secret_key ：

    $ touch credentials.yaml

    $ grep -i DISTRIBUTED_STORAGE_CONFIG -A10 /tmp/quay-backup/operator-quay-config-yaml-backup.yaml

    $ cat > ~/.aws/credentials << EOF
    [default]
    aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
    aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
    EOF

    注意

    如果 aws cli 没有从 '~/.aws/credentials 文件中 自动收集 access_key 和 secret_key，您可以通过运行 aws 配置并手动输入凭证来配置 它们。

21. 记录 NooBaa 的公共可用端点：

    $ oc get route s3 -n openshift-storage -o yaml -o jsonpath="{.spec.host}{'\n'}"

22. 将备份数据同步到 NooBaa 后端存储：

    $ aws s3 sync --no-verify-ssl --endpoint-url https://NOOBAA_PUBLIC_S3_ROUTE /tmp/quay-backup/bucket-backup/* s3://QUAY_DATASTORE_BUCKET_NAME

23. 将 Operator 扩展至 1 个 pod：

    $ oc scale –replicas=1 deployment quay-operator.v3.6.4 -n openshift-operators

流程

1. 将 IGNORE_UNKNOWN_MEDIATYPES 配置字段添加到 Red Hat Quay config.yaml 文件中：

   IGNORE_UNKNOWN_MEDIATYPES: true

   启用此字段后，您的 Red Hat Quay 部署接受未知和未识别的工件类型。

流程

1. 输入以下命令来确保垃圾回收正常工作：

   $ sudo podman logs <container_id>

   输出示例：

   gcworker stdout | 2022-11-14 18:46:52,458 [63] [INFO] [apscheduler.executors.default] Job "GarbageCollectionWorker._garbage_collection_repos (trigger: interval[0:00:30], next run at: 2022-11-14 18:47:22 UTC)" executed successfully

2. 删除镜像标签。

3. 输入以下命令以确保标签已被删除：

   $ podman logs quay-app

   输出示例：

   gunicorn-web stdout | 2022-11-14 19:23:44,574 [233] [INFO] [gunicorn.access] 192.168.0.38 - - [14/Nov/2022:19:23:44 +0000] "DELETE /api/v1/repository/quayadmin/busybox/tag/test HTTP/1.0" 204 0 "http://quay-server.example.com/repository/quayadmin/busybox?tab=tags" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0"

流程

1. 登录您的部署。

2. 在部署的导航窗格中，您可以选择在 Current UI 和 New UI 之间切换。点击切换按钮将其设置为新 UI，然后点 Use Beta Environment，例如：

   

流程

1. 在 Red Hat Quay v2 UI 仪表板中，单击导航窗格中的 Repositories。
2. 单击具有镜像标签的存储库的名称。

3. 单击 Tag History。在这个页面中，您可以执行以下操作：

   • 根据标签名称搜索
   • 选择日期范围
   • 查看标签更改
   • 查看标签修改日期及其更改的时间

流程

1. 在 Red Hat Quay v2 UI 仪表板中，单击导航窗格中的 Repositories。
2. 单击具有镜像标签的存储库的名称。
3. 单击镜像的 kebab 菜单，再选择 Edit labels。
4. 在 Edit labels 窗口中，点 Add new label。

5. 使用 key=value 格式输入镜像标签的标签，如 com.example.release-date=2023-11-14。

   注意

   当无法使用 key=value 格式时返回以下错误： Invalid label format，必须为由 = 分隔的键值。

6. 单击框的空格来添加标签。
7. 可选。添加第二个标签。
8. 点 Save labels 将标签保存到镜像标签。返回以下通知： Created labels successfully。
9. 可选。点标签上的同一镜像标签菜单 kebab → Edit labels → X 将其删除；或者，您可以编辑文本。点 Save labels。标签现已被删除或编辑。

流程

1. 在 Red Hat Quay v2 UI 仪表板中，单击导航窗格中的 Repositories。
2. 单击具有镜像标签的存储库的名称。
3. 单击镜像的 kebab 菜单，然后选择 Change expiration。
4. 可选。或者，您可以通过点击多个标签框来批量添加过期日期，然后选择 Actions → Set expiration。
5. 在 Change Tags Expiration 窗口中，设置一个过期日期，指定星期几、月份、月份和年的日期。例如，2023 年 11 月 15 日星期三。或者，您也可以单击日历按钮并手动选择日期。
6. 设置时间，例如 2:30 PM。
7. 点 Change Expiration 确认日期和时间。返回以下通知：成功将 标签测试的过期时间设置为 2023 年 11 月 15 日，2:26 PM。

8. 在 Red Hat Quay v2 UI Tags 页面中，您可以看到标签被设置为过期的时间。例如：

   

流程

1. 登录到您的 Red Hat Quay 存储库。
2. 在导航窗格中，点您的用户名，例如 quayadmin。
3. 在 Appearance 下，选择 Light theme、Dark 主题 和 Device-based theme。基于主题的设备会根据浏览器的颜色首选项设置模式。

流程

1. 登录到您的 Red Hat Quay registry。
2. 导航到您作为管理员的 Organization、repository 或 namespace。

3. 点 Logs。

   

4. 可选。通过将日期添加到 From 和 To 框来设置用于查看日志条目的日期范围。
5. 可选。点 Export 来导出日志。您必须输入电子邮件地址或以 http:// 或 https:// 开头的有效回调 URL。根据存在多少个日志，此过程可能需要一小时。

1. 在导航窗格中，您可以选择在 Current UI 和 New UI 之间切换。点击切换按钮，来将它设为 Current UI。

   

流程

1. 在 Web 浏览器中，导航到 https://{quay-ip-endpoint}/health/instance。

2. 您使用健康实例页面，它会返回类似如下的信息：

   {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

   对于 Red Hat Quay，"status_code": 200 表示实例是健康的。相反，如果您收到 "status_code": 503，则部署有问题。