9.2.2. 阻塞特定的 registry

流程

1. 编辑 image.config.openshift.io/cluster CR:

   $ oc edit image.config.openshift.io/cluster

   以下是一个带有块列表的 image.config.openshift.io/cluster CR 示例：

   apiVersion: config.openshift.io/v1
   kind: Image
   metadata:
     annotations:
       release.openshift.io/create-only: "true"
     creationTimestamp: "2019-05-17T13:44:26Z"
     generation: 1
     name: cluster
     resourceVersion: "8302"
     selfLink: /apis/config.openshift.io/v1/images/cluster
     uid: e34555da-78a9-11e9-b92b-06d6c7da38dc
   spec:
     registrySources: 1
       blockedRegistries: 2
       - untrusted.com
   status:
     internalRegistryHostname: image-registry.openshift-image-registry.svc:5000

   1

   registrySources：包含用于决定容器运行时在访问构建和 pod 的镜像时应如何处理个别 registry 的配置。它不包含内部集群 registry 的配置。

   2

   指定不用于镜像拉取（pull）和推送（push）操作的 registry。允许所有其他 registry。

   注意

   可以设置 blockedRegistries registry 或 allowedRegistries registry，但不能同时设置这两个 registry。

   Machine Config Operator（MCO）会监控 image.config.openshift.io/cluster 资源以了解对 registry 的任何更改。当 MCO 检测到更改时，它会排空节点，应用更改，并对节点进行 uncordon 处理。节点返回 Ready 状态后，在每个节点上的 /etc/containers/registries.conf 文件中会显示对被阻断的 registry 的更改。

2. 要检查 registry 是否已添加到策略文件中，请在节点上使用以下命令：

   $ cat /host/etc/containers/registries.conf

   以下示例显示，在进行镜像拉取和推送时，不使用 untrusted.com：

   输出示例

   unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
   
   [[registry]]
     prefix = ""
     location = "untrusted.com"
     blocked = true