11.7. 为 Image Registry 配置自定义证书

OpenShift Container Platform 镜像 registry 是一个可促进构建和部署的内部服务。大多数与 registry 的通信都由 OpenShift Container Platform 中的内部组件处理。因此，您不应该需要替换 registry 服务本身使用的证书。

但是，默认情况下，registry 使用路由来允许外部系统和用户拉取和推送镜像。您可以使用带有提供给外部用户的自定义证书的重新加密路由，而不使用内部自签名证书。

要配置此功能，请将以下行添加到 Ansible 清单文件的 [OSEv3:vars] 部分，默认为 /etc/ansible/hosts 文件。指定要与 registry 路由一起使用的证书。

openshift_hosted_registry_routehost=registry.apps.c1-ocp.myorg.com 1
openshift_hosted_registry_routecertificates={"certfile": "/path/to/registry.apps.c1-ocp.myorg.com.crt", "keyfile": "/path/to/registry.apps.c1-ocp.myorg.com.key", "cafile": "/path/to/registry.apps.c1-ocp.myorg.com-ca.crt"} 2
openshift_hosted_registry_routetermination=reencrypt 3