14.2. 镜像 OpenShift Container Platform 镜像存储库

PDF

您必须将容器镜像镜像到镜像 registry 中，然后才能在受限网络环境中更新集群。您还可以在连接的环境中使用此流程来确保集群只运行满足您机构对外部内容控制的批准的容器镜像。

注意

您的镜像 registry 必须始终在集群运行时都运行。

以下步骤概述了如何将镜像镜像到镜像 registry 的高级别工作流：

在用于检索和推送发行镜像的所有设备上安装 OpenShift CLI (oc)。
下载 registry pull secret，并将其添加到集群中。
如果使用 oc-mirror OpenShift CLI (oc)插件：
1. 在用于检索和推送发行镜像的所有设备中安装 oc-mirror 插件。
2. 为插件创建镜像设置配置文件，以便在决定要镜像的发行镜像时使用。您可以稍后编辑此配置文件，以更改插件镜像的镜像。
3. 将目标发行镜像直接镜像到镜像 registry 或可移动介质，然后镜像到镜像 registry。
4. 配置集群以使用 oc-mirror 插件生成的资源。
5. 根据需要重复这些步骤以更新您的镜像 registry。
如果使用 oc adm release mirror 命令：
1. 设置环境变量，对应于您的环境以及您要镜像的发行镜像。
2. 将目标发行镜像直接镜像到镜像 registry 或可移动介质，然后镜像到镜像 registry。
3. 根据需要重复这些步骤以更新您的镜像 registry。

与使用 oc adm release mirror 命令相比，oc-mirror 插件具有以下优点：

它可以镜像容器镜像以外的内容。
在首次镜像镜像后，可以更轻松地更新 registry 中的镜像。
oc-mirror 插件提供了一种自动从 Quay 镜像发行版本有效负载的方法，并为在断开连接的环境中运行的 OpenShift Update Service 构建最新的图形数据镜像。

14.2.1. 使用 oc-mirror 插件镜像资源

您可以使用 oc-mirror OpenShift CLI (oc)插件在完全或部分断开连接的环境中将镜像镜像到镜像 registry。您必须从具有互联网连接的系统运行 oc-mirror，以便从官方红帽 registry 中下载所需的镜像。

如需了解更多详细信息，请参阅使用 oc-mirror 插件为断开连接的安装镜像镜像。

14.2.2. 使用 oc adm release mirror 命令 mirror 镜像

您可以使用 oc adm release mirror 命令将镜像镜像到您的镜像 registry。

14.2.2.1. 先决条件

您必须在托管 OpenShift Container Platform 集群的位置（如 Red Hat Quay）中有一个支持 Docker v2-2 的容器镜像 registry。
注意
如果使用 Red Hat Quay，则必须在 oc-mirror 插件中使用 3.6 或更高版本的版本。如果您有 Red Hat Quay 权利，请参阅有关部署 Red Hat Quay 以了解概念验证的文档，或使用 Quay Operator。如果您需要额外的帮助来选择并安装 registry，请联络您的销售代表或红帽支持。
如果您没有容器镜像 registry 的现有解决方案，则 mirror registry for Red Hat OpenShift 会包括在 OpenShift Container Platform 订阅中。mirror registry for Red Hat OpenShift 是一个小型容器 registry，可用于在断开连接的环境中镜像 OpenShift Container Platform 容器镜像。

14.2.2.2. 准备您的镜像主机

执行镜像步骤前，必须准备主机以检索内容并将其推送到远程位置。

14.2.2.2.1. 通过下载二进制文件安装 OpenShift CLI

您可以安装 OpenShift CLI(oc)来使用命令行界面与 OpenShift Container Platform 进行交互。您可以在 Linux、Windows 或 macOS 上安装 oc。

重要

如果安装了旧版本的 oc，则无法使用 OpenShift Container Platform 4.13 中的所有命令。下载并安装新版本的 oc。如果要在断开连接的环境中升级集群，请安装您要升级到的 oc 版本。

在 Linux 上安装 OpenShift CLI

您可以按照以下流程在 Linux 上安装 OpenShift CLI(oc)二进制文件。

流程

导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
从 产品变体 下拉列表中选择架构。
从版本下拉列表中选择适当的版本。
点 OpenShift v4.13 Linux Client 条目旁的 Download Now 来保存文件。
解包存档：
```
$ tar xvf <file>
```
将 oc 二进制文件放到 PATH 中的目录中。
要查看您的 PATH，请执行以下命令：
```
$ echo $PATH
```

验证

安装 OpenShift CLI 后，可以使用 oc 命令：
```
$ oc <command>
```

在 Windows 上安装 OpenShift CLI

您可以按照以下流程在 Windows 上安装 OpenShift CLI(oc)二进制文件。

流程

导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
从版本下拉列表中选择适当的版本。
点 OpenShift v4.13 Windows Client 条目旁的 Download Now 来保存文件。
使用 ZIP 程序解压存档。
将 oc 二进制文件移到 PATH 中的目录中。
要查看您的 PATH，请打开命令提示并执行以下命令：
```
C:\> path
```

验证

安装 OpenShift CLI 后，可以使用 oc 命令：
```
C:\> oc <command>
```

在 macOS 上安装 OpenShift CLI

您可以按照以下流程在 macOS 上安装 OpenShift CLI(oc)二进制文件。

流程

导航到红帽客户门户网站上的 OpenShift Container Platform 下载页面。
从版本下拉列表中选择适当的版本。
点 OpenShift v4.13 macOS Client 条目旁的 Download Now 来保存文件。
注意
对于 macOS arm64，请选择 OpenShift v4.13 macOS arm64 Client 条目。
解包和解压存档。
将 oc 二进制文件移到 PATH 的目录中。
要查看您的 PATH，请打开终端并执行以下命令：
```
$ echo $PATH
```

验证

安装 OpenShift CLI 后，可以使用 oc 命令：
```
$ oc <command>
```

其他资源

安装和使用 CLI 插件

14.2.2.2.2. 配置允许对容器镜像进行镜像的凭证

创建容器镜像 registry 凭证文件，允许将红帽的镜像镜像到您的镜像环境中。

警告

安装集群时不要使用此镜像 registry 凭据文件作为 pull secret。如果在安装集群时提供此文件，集群中的所有机器都将具有镜像 registry 的写入权限。

警告

此过程需要您可以对镜像 registry 上的容器镜像 registry 进行写操作，并将凭证添加到 registry pull secret。

先决条件

您已将镜像 registry 配置为在断开连接的环境中使用。
您在镜像 registry 中标识了镜像仓库的位置，以将容器镜像镜像(mirror)到这个位置。
您置备了一个镜像 registry 帐户，允许将镜像上传到该镜像仓库。

流程

在安装主机上完成以下步骤：

下载您的 registry.redhat.io pull secret（从Red Hat OpenShift Cluster Manager）。

以 JSON 格式创建您的 pull secret 副本：

$ cat ./pull-secret | jq . > <path>/<pull_secret_file_in_json> 1

1: 指定到存储 pull secret 的文件夹的路径，以及您创建的 JSON 文件的名称。

该文件类似于以下示例：

{
  "auths": {
    "cloud.openshift.com": {
      "auth": "b3BlbnNo...",
      "email": "you@example.com"
    },
    "quay.io": {
      "auth": "b3BlbnNo...",
      "email": "you@example.com"
    },
    "registry.connect.redhat.com": {
      "auth": "NTE3Njg5Nj...",
      "email": "you@example.com"
    },
    "registry.redhat.io": {
      "auth": "NTE3Njg5Nj...",
      "email": "you@example.com"
    }
  }
}

可选：如果使用 oc-mirror 插件，请将文件保存为 ~/.docker/config.json 或 $XDG_RUNTIME_DIR/containers/auth.json。
1. 如果 .docker 或 $XDG_RUNTIME_DIR/containers 目录不存在，请输入以下命令来创建：
```
$ mkdir -p <directory_name>
```
  其中 <directory_name> 是 ~/.docker 或 $XDG_RUNTIME_DIR/containers。
2. 输入以下命令将 pull secret 复制到适当的目录中：
```
$ cp <path>/<pull_secret_file_in_json> <directory_name>/<auth_file>
```
  其中 <directory_name> 是 ~/.docker 或 $XDG_RUNTIME_DIR/containers，<auth_file> 是 config.json 或 auth.json。
为您的镜像 registry 生成 base64 编码的用户名和密码或令牌：
```
$ echo -n '<user_name>:<password>' | base64 -w0 1
BGVtbYk3ZHAtqXs=
```
1
通过 <user_name> 和 <password> 指定 registry 的用户名和密码。

编辑 JSON 文件并添加描述 registry 的部分：

  "auths": {
    "<mirror_registry>": { 1
      "auth": "<credentials>", 2
      "email": "you@example.com"
    }
  },

1: 对于 <mirror_registry>，指定 registry 域名，以及您的镜像 registry 用来提供内容的可选端口。例如：registry.example.com 或 registry.example.com:8443
2: 使用 <credentials> 为您的镜像 registry 指定 base64 编码的用户名和密码。

该文件类似于以下示例：

{
  "auths": {
    "registry.example.com": {
      "auth": "BGVtbYk3ZHAtqXs=",
      "email": "you@example.com"
    },
    "cloud.openshift.com": {
      "auth": "b3BlbnNo...",
      "email": "you@example.com"
    },
    "quay.io": {
      "auth": "b3BlbnNo...",
      "email": "you@example.com"
    },
    "registry.connect.redhat.com": {
      "auth": "NTE3Njg5Nj...",
      "email": "you@example.com"
    },
    "registry.redhat.io": {
      "auth": "NTE3Njg5Nj...",
      "email": "you@example.com"
    }
  }
}

14.2.2.3. 将镜像（images）mirror 到一个 mirror registry

重要

为了避免 OpenShift Update Service 应用程序过量内存用量，您必须将发行镜像镜像到单独的存储库，如以下步骤所述。