2.3.8. 将 docker 凭证用于私有容器镜像仓库

流程

1. 从本地 .docker/config.json 文件创建 secret：

   $ oc create secret generic dockerhub \
       --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
       --type=kubernetes.io/dockerconfigjson

   这将生成名为 dockerhub 的 secret 的 JSON 规格并创建该对象。

2. 将 pushSecret 字段添加到 BuildConfig 中的 output 部分，并将它设为您创建的 secret 的名称，上例中为 dockerhub：

   spec:
     output:
       to:
         kind: "DockerImage"
         name: "private.registry.com/org/private-image:latest"
       pushSecret:
         name: "dockerhub"

   您可以使用 oc set build-secret 命令在构建配置上设置推送 secret：

   $ oc set build-secret --push bc/sample-build dockerhub

   您还可以将 push secret 与构建使用的服务帐户链接，而不指定 pushSecret 字段。默认情况下，构建使用 builder 服务帐户。如果 secret 包含与托管构建输出镜像的存储库匹配的凭证，则 push secret 会自动添加到构建中。

   $ oc secrets link builder dockerhub

3. 通过指定 pullSecret 字段（构建策略定义的一部分），从私有容器镜像 registry 拉取构建器容器镜像：

   strategy:
     sourceStrategy:
       from:
         kind: "DockerImage"
         name: "docker.io/user/private_repository"
       pullSecret:
         name: "dockerhub"

   您可以使用 oc set build-secret 命令在构建配置上设置拉取 secret：

   $ oc set build-secret --pull bc/sample-build dockerhub

   注意

   本例在 Source 构建中使用 pullSecret，但也适用于 Docker 构建和 Custom 构建。

   您还可以将 pull secret 链接到构建使用的服务帐户，而不指定 pullSecret 字段。默认情况下，构建使用 builder 服务帐户。如果 secret 包含与托管构建的输入镜像的存储库匹配的凭证，pull secret 会自动添加到构建中。将 pull secret 链接到构建使用的服务帐户，而不指定 pullSecret 字段：

   $ oc secrets link builder dockerhub

   注意

   您必须在 BuildConfig spec 中指定一个 from 镜像，才能利用此功能。由 oc new-build 或 oc new-app 生成的 Docker 策略构建在某些情况下可能无法进行这个操作。