自定义 Red Hat Trusted Application Pipeline

流程

1. 克隆 fork 的 tssc-sample-templates 存储库，然后在您首选的文本编辑器中打开它，如 Visual Studio Code。

2. 在项目目录中查找 属性文件。此文件存储您可以自定义的默认值。打开它以编辑，并根据您的环境更新以下键值对。

   Expand

   键	描述
   export GITHUB_DEFAULT_HOST	把它设置为您的 on-prem GitHub 主机完全限定域名。也就是说，没有 HTTP 协议的 URL，没有 .git 扩展。例如 github-github.apps.cluster-ljg9z.sandbox219.opentlc.com。默认为 github.com。
   export GITLAB_DEFAULT_HOST	把它设置为您的 on-prem GitLab 主机完全限定域名。也就是说，没有 HTTP 协议的 URL，没有 .git 扩展。例如 gitlab-gitlab.apps.cluster-ljg9z.sandbox219.opentlc.com。默认为 gitlab.com。
   export QUAY_DEFAULT_HOST	默认 Quay URL 对应于没有 HTTP 协议的特定 on-prem 镜像 registry URL。例如： quay-tv2pb.apps.cluster-tv2pb.sandbox1194.opentlc.com。默认的 quay 主机为 quay.io。
   导出 DEFAULT_DEPLOYMENT_NAMESPACE_PREFIX	RHTAP 中部署的命名空间前缀。默认为 rhtap-app。 注意 如果您在 RHTAP 安装过程中修改了默认的 trusted-application-pipeline: 命名空间，请更新此项。
   导出 PIPELINE_REPO_URL	分叉管道存储库的 URL。例如： https://github.com/redhat-appstudio/tssc-sample-pipelines。
   导出 PIPELINE_REPO_BRANCH	您要指向的已分叉管道存储库的分支。例如，main。
   export GITHUB_DEFAULT_ORG	要设置为默认的 GitHub 机构名称。
   export QUAY_DEFAULT_ORG	要设置为默认的 Quay 组织的名称。

   Show more

   图 1.1. 属性文件

   

   View larger image

   

3. 在终端中运行 generate.sh 脚本。此操作调整软件模板，使用您指定的输入替换默认主机值。

   ./generate.sh

   Copy to Clipboard Toggle word wrap

   图 1.2. generate.sh 脚本

   

   View larger image

   

4. 仅限 Jenkins：要自定义 Jenkins 库，请导航到 skeleton > ci > gitops-template > jenkins，并打开 Jenkinsfile。将远程 URL 替换为您的已分叉存储库的 URL。例如，remote: 'https://github.com/<username>/tssc-sample-jenkins.git'。

   另外，如果您的 Jenkins 位于非本地 OpenShift 实例，并且您的 Rekor 和 TUF 服务位于不同的集群中，请更新 REKOR_HOST 和 TUF_MIRROR 环境变量。您可以在组件存储库的 env.sh 文件中配置 这些变量，或者将其设置为 Jenkins 中的环境变量或机密。此配置可确保您的外部 Jenkins 服务器可以与通过 RHTAP 安装的 Rekor 和 TUF 通信。如果没有此，RHTAP 可能无法在 Jenkins 管道中正确签署容器镜像。

   更新 REKOR_HOST 和 TUF_MIRROR 变量：

   1. 通过 skeleton > ci > gitops-template > jenkins > rhtap 以打开 env.sh 文件。

      第二个 env.sh 文件位于 skeleton > ci > source-repo > jenkins > rhtap。选出适合您需要或更新两者的那一个。

      在 env.sh 中，查看 REKOR_HOST 和 TUF_MIRROR 的默认值：

      REKOR_HOST=http://rekor-server.rhtap-tas.svc
      TUF_MIRROR=http://tuf.rhtap-tas.svc

      Copy to Clipboard Toggle word wrap

   2. 将 .svc 替换为您的 OpenShift 集群 URL。.svc 域指的是本地集群，内部服务可以在其路由中使用 .svc 访问其他服务，但外部 Jenkins 无法访问。

      Rekor 和 TUF 服务的正确路由作为 RHTAP 的安装过程的一部分打印。如果这些数据不适用于您，请在 CLI 中运行这个命令，并在输出中选择 Rekor 和 TUF 路由：

      $ oc get routes -n rhtap-tas

      Copy to Clipboard Toggle word wrap

      一个 Rekor 服务器 URL 示例： http://rekor-server.rhtap-tas.apps.rosa.j6ufg-t3htv-ts6.z797.p3.openshiftapps.com。

   注意
   • 要在 Jenkins 中配置环境变量或机密，请参阅 Adding secrets to Jenkins 以便与外部工具集成。
   • 默认情况下，RHTAP 使用动态加载的 Jenkins 库。如果需要将 RHTAP 配置为使用内置 Jenkins 库而不是动态加载，您必须修改 Jenkins 置备设置。此更改可以在测试时提高可追溯性和红帽企业合同（企业合同）。具体步骤，请参阅配置 RHTAP 以使用内置 Jenkins 库。
5. 仅限 RHACS： 要在 env.sh 文件中启用 RHACS 扫描，将 export DISABLE_ACS 设置为 false。

6. 提交更改并将其推送到您的存储库。这会自动更新 RHDH 中的模板。或者，您可以在 RHDH 中直接导入和刷新单个或所有自定义模板。

   1. 进入 Git 供应商上的 fork 示例模板存储库。
   2. 对于单个模板，从 templates 目录中选择 template.yaml。从浏览器地址栏中复制其 URL。例如： https://github.com/<username>/tssc-sample-templates/blob/main/templates/devfile-sample-code-with-quarkus-dance/template.yaml。否则，对于所有模板，请选择 all.yaml 并从浏览器地址栏中复制其 URL。例如： https://github.com/<username>/tssc-sample-templates/blob/main/all.yaml。
   3. 切回到 RHDH 平台。
   4. 选择 Create > Register Existing Component。
   5. 在 Select URL 字段中，粘贴在第 4b 步中复制的适当 URL。
   6. 选择 Analyze，然后选择 Import 以更新 RHDH 中的模板。

流程

1. 访问 fork 中的示例管道存储库 URL:

   1. 打开 fork 的示例管道存储库。
   2. 从地址栏中复制完整的 URL。例如： https://github.com/<username>/tssc-sample-pipelines。

2. 更新示例模板存储库中的 pac URL：

   1. 使用您的终端导航到您的本地克隆示例模板存储库。
   2. 运行以下命令，将 {fork_url} 替换为步骤 1 中复制的 URL，使用您需要的分支名称（如 main）替换 {branch_name}：

   ./scripts/update-tekton-definition {fork_url} {branch_name}
   
   # For example, .scripts/update-tekton-definition https://github.com/<username>/tssc-sample-pipelines main

   Copy to Clipboard Toggle word wrap

3. 检查、提交和推送更改：

   1. 查看示例模板存储库中的更新文件。
   2. 使用适当的消息提交更改。
   3. 将提交的更改推送到您的已分叉的存储库。

流程

1. 为构建资源创建一个目录。目录的位置取决于您的角色：

   • 平台工程师： 如果您要重建镜像以更新机构的默认管道，您可以在 fork tssc-sample-templates 存储库的位置创建该目录。例如，重新构建。
   • 开发人员： 如果您要为自己的使用或特定项目重建镜像，请在 tssc-sample-templates 机构范围内分叉之外的位置创建一个目录以避免冲突。

   mkdir rebuild-image

   Copy to Clipboard Toggle word wrap

2. 运行以下命令并复制 容器镜像 URL：

   more ../tssc-sample-templates/skeleton/ci/source-repo/gitlabci/.gitlab-ci.yml
   
   # Example:
   ...
   image: registry.access.redhat.com/rhtap-task-runner/rhtap-task-runner-rhel9:1.5
   ...

   Copy to Clipboard Toggle word wrap

3. 运行以下命令在本地复制现有管道内容：

   podman run -v $(pwd):/pwd:z <The_url_you_copied_in_step_2> cp -r /work/rhtap /pwd 

   1

   Copy to Clipboard Toggle word wrap

   1

   此命令使用 < the_url_you_copied_in_step_2> 镜像启动容器。然后，它会将容器内的 /work/rhtap 中的管道文件复制到工作目录中（$(pwd)。另外，如果您不在启用了 SELinux 的系统上（如 Fedora、RHEL、pr CentOS），请删除命令中的 :z 选项以确保兼容性。

4. 导航到 rhtap 目录，并根据需要自定义管道任务。

5. 在 rebuild-image 目录中创建 Dockerfile，并添加以下内容来在容器中包含您的更改：另外，基础镜像 registry.access.redhat.com/rhtap-task-runner/rhtap-task-runner-rhel9:1.5 基于 ubi/ubi-minimal 构建，它提供轻量级通用基础镜像(UBI)。如果您需要安装其他软件和依赖项，请使用 microdnf。一个命令示例：

   FROM registry.access.redhat.com/rhtap-task-runner/rhtap-task-runner-rhel9:1.5 

   1

   
   
   #Copy the updated pipeline tasks
   
   COPY ./rhtap /work/rhtap 

   2

   
   
   # Example: Install additional software (for example, git)
   RUN microdnf -y install make 

   3

   Copy to Clipboard Toggle word wrap

   1

   使用现有的 rhtap-runner 容器作为起点。

   2

   将本地 rhtap 文件夹中的更新的管道任务复制到容器内的 /work/rhtap 目录中。

   3

   演示使用 microdnf 来安装其他软件或依赖项。

6. 使用以下命令构建新容器镜像：

   podman build -f Dockerfile -t quay.io/<namespace>/<new_image_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   -f Dockerfile 指定用于构建容器镜像的 Dockerfile。如果 Dockerfile 没有被命名或位于其他目录中，可以使用 -f 标志明确指向 Dockerfile。-T quay.io/<namespace>/<new_image_name > 为容器镜像分配一个标签（名称）以便轻松识别。

7. 登录到 Quay.io 并推送更新的镜像：

   podman login quay.io
   
   # Enter username and password
   
   podman push quay.io/<namespace>/<new_image_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   这会将自定义容器镜像上传到 Quay.io，使它可用于 GitLab 管道。

8. 仅限平台工程师：导航到 tssc-sample-templates > skeleton > ci > source-repo > gitlabci > .gitlab-ci.yml 文件，并将容器镜像 URL 替换为您刚才创建的镜像 URL。这使得新容器镜像成为默认值。

   image: quay.io/<namespace>/<new_image_name>

   Copy to Clipboard Toggle word wrap

9. 仅限开发人员：为 GitLab 中的单个存储库更新容器镜像：

   1. 导航到源存储库 > .gitlab-ci.yaml，并将容器镜像 URL 替换为您刚才创建的镜像 URL。

   image: quay.io/<namespace>/<new_image_name>

   Copy to Clipboard Toggle word wrap
10. 提交并推送更改以应用更新的管道配置。

1. 启用单个现有组件的选项卡。
2. 修改 registry 检测脚本，并将正确标注所有新组件。

流程

1. 在 Git 存储库中，导航到 skeleton > source-repo 并打开 catalog-info.yaml 文件。

2. 添加与您的问题单相关的注解：

   metadata:
       annotations:
           'quay.io/repository-slug': `<ORGANIZATION>/<REPOSITORY>'

   Copy to Clipboard Toggle word wrap

   metadata:
       annotations:
           'jfrog-artifactory/image-name': '<IMAGE-NAME>'

   Copy to Clipboard Toggle word wrap
3. 提交更改并推送到存储库。

流程

1. 在带有模板的 GitHub 存储库中，导航到 skeleton > source-repo 并打开 catalog-info.yaml 文件。

2. 查找与 registry 检测相关的代码：

     {%- if "quay" in values.image %}
       quay.io/repository-slug: ${{ values.repoSlug }}
   
     {%- elif "jfrog" in values.image or "artifactory" in values.image %}
       jfrog-artifactory/image-name: ${{ values.imageName }}

   Copy to Clipboard Toggle word wrap

3. 将 "quay", "jfrog" 或 "artifactory" 替换为 registry 的 URL 的一部分。

   例如，如果您的 Artifactory registry 名为 my-registry.mycompany.com，则您的镜像名称可以是 my-registry.mycompany.com/username/my-image。您可以将 my-registry.mycompany 添加到 catalog-info.yaml 中。