2.10. 在构建中使用红帽订阅

流程

1. 输入以下命令将 openshift-config-managed 命名空间中的授权 secret 复制到构建的命名空间：

   $ cat << EOF > secret-template.txt
   kind: Secret
   apiVersion: v1
   metadata:
     name: etc-pki-entitlement
   type: Opaque
   data: {{ range \$key, \$value := .data }}
     {{ \$key }}: {{ \$value }} {{ end }}
   EOF
   $ oc get secret etc-pki-entitlement -n openshift-config-managed -o=go-template-file --template=secret-template.txt | oc apply -f -

2. 在构建配置的 Docker 策略中将 etc-pki-entitlement secret 添加为构建卷：

   strategy:
     dockerStrategy:
       from:
         kind: ImageStreamTag
         name: ubi9:latest
       volumes:
       - name: etc-pki-entitlement
         mounts:
         - destinationPath: /etc/pki/entitlement
         source:
           type: Secret
           secret:
             secretName: etc-pki-entitlement

流程

1. 使用 oc apply 创建带有集群权利 secret 的 SharedSecret 对象实例。

   重要

   您必须具有集群管理员权限来创建 SharedSecret 对象。

   使用带有 YAML 角色 对象定义的 oc apply -f 命令示例

   $ oc apply -f - <<EOF
   kind: SharedSecret
   apiVersion: sharedresource.openshift.io/v1alpha1
   metadata:
     name: etc-pki-entitlement
   spec:
     secretRef:
       name: etc-pki-entitlement
       namespace: openshift-config-managed
   EOF

2. 创建一个角色来授予 builder 服务帐户权限来访问 SharedSecret 对象：

   oc apply -f 命令示例

   $ oc apply -f - <<EOF
   apiVersion: rbac.authorization.k8s.io/v1
   kind: Role
   metadata:
     name: builder-etc-pki-entitlement
     namespace: build-namespace
   rules:
     - apiGroups:
         - sharedresource.openshift.io
       resources:
         - sharedsecrets
       resourceNames:
         - etc-pki-entitlement
       verbs:
         - use
   EOF

3. 运行以下命令，创建一个 RoleBinding 对象，授予 builder 服务帐户权限来访问 SharedSecret 对象：

   oc create rolebinding 命令示例

   $ oc create rolebinding builder-etc-pki-entitlement --role=builder-etc-pki-entitlement --serviceaccount=build-namespace:builder

4. 使用 CSI 卷挂载将授权 secret 添加到 BuildConfig 对象中：

   YAML BuildConfig 对象定义示例

   apiVersion: build.openshift.io/v1
   kind: BuildConfig
   metadata:
     name: uid-wrapper-rhel9
     namespace: build-namespace
   spec:
     runPolicy: Serial
     source:
       dockerfile: |
         FROM registry.redhat.io/ubi9/ubi:latest
         RUN rm -rf /etc/rhsm-host 1
         RUN yum --enablerepo=codeready-builder-for-rhel-9-x86_64-rpms install \ 2
             nss_wrapper \
             uid_wrapper -y && \
             yum clean all -y
         RUN ln -s /run/secrets/rhsm /etc/rhsm-host 3
     strategy:
       type: Docker
       dockerStrategy:
         volumes:
           - mounts:
               - destinationPath: "/etc/pki/entitlement"
             name: etc-pki-entitlement
             source:
               csi:
                 driver: csi.sharedresource.openshift.io
                 readOnly: true 4
                 volumeAttributes:
                   sharedSecret: etc-pki-entitlement 5
               type: CSI

   1

   在执行任何 yum 或 dnf 命令前，您必须包含删除 /etc/rhsm-host 目录及其所有内容的命令。

   2

   使用红帽软件包浏览器查找已安装软件包的正确存储库。

   3

   您需要恢复 /etc/rhsm-host 符号链接，以便使您的镜像与其他红帽容器镜像兼容。

   4

   您必须将 readOnly 设置为 true，以便在构建中挂载共享资源。

   5

   引用构建中包含的 SharedSecret 对象的名称。

5. 从 BuildConfig 对象启动构建，并使用 oc 命令跟踪日志。

   $ oc start-build uid-wrapper-rhel9 -n build-namespace -F