11.4. 镜像配置

1. 对节点进行 cordon 操作
2. 通过重启 CRI-O 应用更改

3. 取消记录节点

   注意

   MCO 在检测到更改时不会重启节点。

流程

1. 编辑 image.config.openshift.io/cluster 自定义资源：

   $ oc edit image.config.openshift.io/cluster

   以下是 image.config.openshift.io/cluster CR 示例：

   apiVersion: config.openshift.io/v1
   kind: Image 1
   metadata:
     annotations:
       release.openshift.io/create-only: "true"
     creationTimestamp: "2019-05-17T13:44:26Z"
     generation: 1
     name: cluster
     resourceVersion: "8302"
     selfLink: /apis/config.openshift.io/v1/images/cluster
     uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
   spec:
     allowedRegistriesForImport: 2
       - domainName: quay.io
         insecure: false
     additionalTrustedCA: 3
       name: myconfigmap
     registrySources: 4
       allowedRegistries:
       - example.com
       - quay.io
       - registry.redhat.io
       - image-registry.openshift-image-registry.svc:5000
       - reg1.io/myrepo/myapp:latest
       insecureRegistries:
       - insecure.com
   status:
     internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

   1

   Image：包含有关如何处理镜像的集群范围信息。规范且唯一有效的名称是 cluster。

   2

   allowedRegistriesForImport：限制普通用户可从中导入镜像的容器镜像 registry。将此列表设置为您信任包含有效镜像且希望应用程序能够从中导入的 registry。有权从 API 创建镜像或 ImageStreamMappings 的用户不受此策略的影响。通常只有集群管理员具有适当权限。

   3

   additionalTrustedCA：引用包含镜像流导入、Pod 镜像拉取、openshift-image-registry pullthrough 和构建期间受信任的额外证书颁发机构（CA）的配置映射。此配置映射的命名空间为 openshift-config。ConfigMap 的格式是使用 registry 主机名作为键，使用 PEM 证书作为值，用于每个要信任的额外 registry CA。

   4

   registrySources ：包含用于决定容器运行时在访问构建和 pod 的镜像时是否允许或阻止个别 registry 的配置。可以设置 allowedRegistries 参数或 blockedRegistries 参数，但不能同时设置这两个参数。您还可以定义是否允许访问允许使用镜像短名称的不安全的 registry。本例使用 allowedRegistries 参数，该参数定义允许使用的 registry。不安全 registry insecure.com 也被允许。registrySources 参数不包含内部集群 registry 的配置。

   注意

   当定义 allowedRegistries 参数时，除非明确列出，否则所有 registry （包括 registry.redhat.io 和 quay.io registry 和默认的 OpenShift 镜像 registry）都会被阻断。如果使用参数，为了避免 pod 失败，您必须将 registry.redhat.io 和 quay.io registry 以及 internalRegistryHostname 添加到 allowedRegistries 列表中，因为环境中有效负载镜像需要它们。不要将 registry.redhat.io 和 quay.io registry 添加到 blockedRegistries 列表中。

   使用 allowedRegistries、blockedRegistries 或 insecureRegistries 参数时，您可以在 registry 中指定单独的存储库。例如： reg1.io/myrepo/myapp:latest。

   应避免使用不安全的外部 registry，以减少可能的安全性风险。

2. 要检查是否应用了更改，请列出您的节点：

   $ oc get nodes

   输出示例

   NAME                                         STATUS                     ROLES                  AGE   VERSION
   ip-10-0-137-182.us-east-2.compute.internal   Ready,SchedulingDisabled   worker                 65m   v1.29.4
   ip-10-0-139-120.us-east-2.compute.internal   Ready,SchedulingDisabled   control-plane          74m   v1.29.4
   ip-10-0-176-102.us-east-2.compute.internal   Ready                      control-plane          75m   v1.29.4
   ip-10-0-188-96.us-east-2.compute.internal    Ready                      worker                 65m   v1.29.4
   ip-10-0-200-59.us-east-2.compute.internal    Ready                      worker                 63m   v1.29.4
   ip-10-0-223-123.us-east-2.compute.internal   Ready                      control-plane          73m   v1.29.4