2.3. 为断开连接的安装 mirror 镜像

流程

1. 如果您的镜像 registry 需要身份验证，请运行以下命令登录到 registry:

   $ podman login <mirror_registry>

2. 运行以下命令，将内容提取并镜像到镜像 registry:

   $ oc adm catalog mirror \
       <index_image> \ 1
       <mirror_registry>:<port>[/<repository>] \ 2
       [-a ${REG_CREDS}] \ 3
       [--insecure] \ 4
       [--index-filter-by-os='<platform>/<arch>'] \ 5
       [--manifests-only] 6

   1

   指定您要镜像的目录的索引镜像。

   2

   指定要将 Operator 内容镜像到的目标 registry 的完全限定域名(FQDN)。镜像 registry <repository> 可以是 registry 上的任何现有存储库或命名空间，如先决条件中所述，如 olm-mirror。如果在镜像过程中找到现有的存储库，存储库名称将添加到生成的镜像名称中。如果您不希望镜像名称包含存储库名称，请省略此行中的 <repository> 值，例如 <mirror_registry>:<port>。

   3

   可选：如果需要，指定 registry 凭证文件的位置。registry.redhat.io 需要 {REG_CREDS}。

   4

   可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

   5

   可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被传递为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64, linux/ppc64le, linux/s390x, linux/arm64.

   6

   可选：只生成镜像所需的清单，而不实际将镜像内容镜像到 registry。这个选项对检查哪些将被镜像（mirror）非常有用，如果您只需要一小部分软件包，可以对映射列表进行修改。然后，您可以使用带有 oc image mirror 命令的 mapping.txt 文件来在以后的步骤中镜像修改的镜像列表。此标志用于从目录中对内容进行高级选择性镜像。

   输出示例

   src image has index label for database path: /database/index.db
   using database path mapping: /database/index.db:/tmp/153048078
   wrote database to /tmp/153048078 1
   ...
   wrote mirroring manifests to manifests-redhat-operator-index-1614211642 2

   1

   命令生成的临时 index.db 数据库的目录。

   2

   记录生成的 manifests 目录名称。该目录在后续过程中被引用。

   注意

   Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此临时解决方案的更多信息，请参阅 Unauthorized error thrown while using catalog mirror command with Quay registry。

流程

1. 在您的工作站中运行以下命令，且没有网络访问权限将内容镜像到本地文件中：

   $ oc adm catalog mirror \
       <index_image> \ 1
       file:///local/index \ 2
       -a ${REG_CREDS} \ 3
       --insecure \ 4
       --index-filter-by-os='<platform>/<arch>' 5

   1

   指定您要镜像的目录的索引镜像。

   2

   指定要镜像到当前目录中的本地文件的内容。

   3

   可选：如果需要，指定 registry 凭证文件的位置。

   4

   可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

   5

   可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被指定为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64, linux/ppc64le, linux/s390x, linux/arm64, 和 .*

   输出示例

   ...
   info: Mirroring completed in 5.93s (5.915MB/s)
   wrote mirroring manifests to manifests-my-index-1614985528 1
   
   To upload local images to a registry, run:
   
   	oc adm catalog mirror file://local/index/myrepo/my-index:v1 REGISTRY/REPOSITORY 2

   1

   记录生成的 manifests 目录名称。该目录在后续过程中被引用。

   2

   记录根据您提供的索引镜像扩展的 file:// 路径。这个路径在后续步骤中被引用。

   此命令会在当前目录中创建 v2/ 目录中。

2. 将 v2/ 目录复制到可移动介质。
3. 物理删除该介质并将其附加到断开连接的环境中可访问镜像 registry 的主机。

4. 如果您的镜像 registry 需要身份验证，请在断开连接的环境中的主机上运行以下命令以登录到 registry：

   $ podman login <mirror_registry>

5. 从包含 v2/ 目录的父目录运行以下命令，将镜像从本地文件上传到镜像 registry：

   $ oc adm catalog mirror \
       file://local/index/<repository>/<index_image>:<tag> \ 1
       <mirror_registry>:<port>[/<repository>] \ 2
       -a ${REG_CREDS} \ 3
       --insecure \ 4
       --index-filter-by-os='<platform>/<arch>' 5

   1

   指定上一命令输出中的 file:// 路径。

   2

   指定要将 Operator 内容镜像到的目标 registry 的完全限定域名(FQDN)。镜像 registry <repository> 可以是 registry 上的任何现有存储库或命名空间，如先决条件中所述，如 olm-mirror。如果在镜像过程中找到现有的存储库，存储库名称将添加到生成的镜像名称中。如果您不希望镜像名称包含存储库名称，请省略此行中的 <repository> 值，例如 <mirror_registry>:<port>。

   3

   可选：如果需要，指定 registry 凭证文件的位置。

   4

   可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

   5

   可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被指定为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64, linux/ppc64le, linux/s390x, linux/arm64, 和 .*

   注意

   Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此临时解决方案的更多信息，请参阅 Unauthorized error thrown while using catalog mirror command with Quay registry。

6. 再次运行 oc adm catalog mirror 命令。使用新镜像的索引镜像作为源，以及上一步中使用的同一镜像 registry 目标：

   $ oc adm catalog mirror \
       <mirror_registry>:<port>/<index_image> \
       <mirror_registry>:<port>[/<repository>] \
       --manifests-only \1
       [-a ${REG_CREDS}] \
       [--insecure]

   1

   此步骤需要 --manifests-only 标志，以便该命令不会再次复制所有镜像的内容。

   重要

   这一步是必需的，因为上一步中生成的 imageContentSourcePolicy.yaml 文件中的镜像映射必须从本地路径更新为有效的镜像位置。如果不这样做，会在稍后的步骤中创建 ImageContentSourcePolicy 对象时会导致错误。