9.2. 配置镜像 registry 设置

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是一个带有允许列表的 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

  2

  指定 registry 以及该 registry 中的存储库（可选）用于镜像拉取（pull）和推送（push）操作。阻止所有其他 registry。

  注意

  可以设置 allowedRegistries 参数或 blockedRegistries 参数，但不能同时设置这两个参数。

  Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster 资源以了解对 registry 的任何更改。当 MCO 检测到更改时，它会在机器配置池(MCP)的节点中触发推出部署。允许的 registry 列表用于更新每个节点上的 /etc/containers/policy.json 文件中的镜像签名策略。对 /etc/containers/policy.json 文件的更改不需要节点排空。

验证

• 输入以下命令获取节点列表：

  $ oc get nodes

  输出示例

  NAME               STATUS   ROLES                  AGE   VERSION
  <node_name>        Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 运行以下命令在节点上进入 debug 模式：

     $ oc debug node/<node_name>

  2. 出现提示时，在终端中输入 chroot /host：

     sh-4.4# chroot /host

  3. 输入以下命令检查 registry 是否已添加到策略文件中：

     sh-5.1# cat /etc/containers/policy.json | jq '.'

     以下策略表示，仅允许来自 example.com、quay.io 和 registry.redhat.io registry 中的镜像拉取和推送镜像：

     例 9.1. 镜像签名策略文件示例

     {
        "default":[
           {
              "type":"reject"
           }
        ],
        "transports":{
           "atomic":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker":{
              "example.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "image-registry.openshift-image-registry.svc:5000":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "insecure.com":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "quay.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "reg4.io/myrepo/myapp:latest":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ],
              "registry.redhat.io":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           },
           "docker-daemon":{
              "":[
                 {
                    "type":"insecureAcceptAnything"
                 }
              ]
           }
        }
     }

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是一个带有块列表的 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      blockedRegistries: 2
      - untrusted.com
      - reg1.io/myrepo/myapp:latest
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

  2

  指定 registry，并可选择性地指定 registry 中的存储库，以使它们不应该用于镜像拉取（pull）和推送（push）操作。允许所有其他 registry。

  注意

  可以设置 blockedRegistries registry 或 allowedRegistries registry，但不能同时设置这两个 registry。

  Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster 资源以了解对 registry 的任何更改。当 MCO 检测到更改时，它会排空节点，应用更改，并对节点进行 uncordon 处理。节点返回 Ready 状态后，在每个节点上的 /etc/containers/registries.conf 文件中会显示对被阻断的 registry 的更改。

验证

• 输入以下命令获取节点列表：

  $ oc get nodes

  输出示例

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 运行以下命令在节点上进入 debug 模式：

     $ oc debug node/<node_name>

  2. 出现提示时，在终端中输入 chroot /host：

     sh-4.4# chroot /host

  3. 输入以下命令检查 registry 是否已添加到策略文件中：

     sh-5.1# cat etc/containers/registries.conf

     以下示例显示，在进行镜像拉取和推送时，不使用 untrusted.com：

     输出示例

     unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
     
     [[registry]]
       prefix = ""
       location = "untrusted.com"
       blocked = true

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是一个带有不安全 registry 列表的 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    registrySources: 1
      insecureRegistries: 2
      - insecure.com
      - reg4.io/myrepo/myapp:latest
      allowedRegistries:
      - example.com
      - quay.io
      - registry.redhat.io
      - insecure.com 3
      - reg4.io/myrepo/myapp:latest
      - image-registry.openshift-image-registry.svc:5000
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

  2

  指定不安全的 registry。您可以在该 registry 中指定存储库。

  3

  确保将任何不安全的 registry 包含在 allowedRegistries 列表中。

  注意

  当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。如果使用参数，为了避免 pod 失败，将所有 registry（包括 registry.redhat.io 和 quay.io registry）和 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。对于断开连接的集群，还应添加镜像的 registry。

  Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster CR 是否有对 registry 的更改，然后在检测到更改时排空并取消记录节点。节点返回 Ready 状态后，改为在每个节点的 /etc/containers/registries.conf 文件中列出的不安全和受阻 registry。

验证

• 要检查 registry 是否已添加到策略文件中，请在节点上使用以下命令：

  $ cat /etc/containers/registries.conf

  以下示例表示来自 insecure.com registry 的镜像是不安全的，并允许进行镜像拉取和推送。

  输出示例

  unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
  
  [[registry]]
    prefix = ""
    location = "insecure.com"
    insecure = true

流程

• 编辑 image.config.openshift.io/cluster 自定义资源：

  $ oc edit image.config.openshift.io/cluster

  以下是 image.config.openshift.io/cluster CR 示例：

  apiVersion: config.openshift.io/v1
  kind: Image
  metadata:
    annotations:
      release.openshift.io/create-only: "true"
    creationTimestamp: "2019-05-17T13:44:26Z"
    generation: 1
    name: cluster
    resourceVersion: "8302"
    selfLink: /apis/config.openshift.io/v1/images/cluster
    uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
  spec:
    allowedRegistriesForImport:
      - domainName: quay.io
        insecure: false
    additionalTrustedCA:
      name: myconfigmap
    registrySources:
      containerRuntimeSearchRegistries: 1
      - reg1.io
      - reg2.io
      - reg3.io
      allowedRegistries: 2
      - example.com
      - quay.io
      - registry.redhat.io
      - reg1.io
      - reg2.io
      - reg3.io
      - image-registry.openshift-image-registry.svc:5000
  ...
  status:
    internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

  1

  指定用于镜像简短名称的 registry。您应该只使用带有内部或私有 registry 的镜像短名称，以减少可能的安全问题。

  2

  确保在 containerRuntimeSearchRegistries 下列出的任何 registry 都包含在 allowedRegistries 列表中。

  注意

  当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。如果使用此参数，为了避免 pod 失败，请将所有 registry（包括 registry.redhat.io 和 quay.io registry）和 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。对于断开连接的集群，还应添加镜像的 registry。

验证

• 输入以下命令获取节点列表：

  $ oc get nodes

  输出示例

  NAME                STATUS   ROLES                  AGE   VERSION
  <node_name>         Ready    control-plane,master   37m   v1.27.8+4fab27b

  1. 运行以下命令在节点上进入 debug 模式：

     $ oc debug node/<node_name>

  2. 出现提示时，在终端中输入 chroot /host：

     sh-4.4# chroot /host

  3. 输入以下命令检查 registry 是否已添加到策略文件中：

     sh-5.1# cat /etc/containers/registries.conf.d/01-image-searchRegistries.conf

     输出示例

     unqualified-search-registries = ['reg1.io', 'reg2.io', 'reg3.io']

先决条件

• 证书颁发机构（CA）必须经过 PEM 编码。

• 配置其他CA：

  $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

  $ oc edit image.config.openshift.io cluster

  spec:
    additionalTrustedCA:
      name: registry-config