管理自动化中心中的内容

流程

1. 登录到 console.redhat.com。
2. 进入 Automation Hub → Collections。
3. 在每个集合上设置切换开关，以排除或将其包含在同步列表中。
4. 要启动远程存储库同步，请导航到自动化中心并选择 Collection → Repositories。
5. 点 More Actions 图标，⋮，选择 Sync 将远程存储库同步启动到您的私有自动化中心。
6. 可选： 如果已经配置了远程存储库，请通过手动将 Red Hat Ansible 认证 Content Collections 同步到私有自动化中心，来更新您提供给本地用户可用的集合内容。

流程

1. 以机构管理员身份登录到 console.redhat.com。
2. 进入 Automation Hub → Connect to Hub。
3. 在 离线令牌 下，点 Load token。
4. 点 Copy to clipboard 复制 API 令牌。
5. 将 API 令牌粘贴到文件中，并存储在安全位置。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 Collections → Remotes。
3. 在 rh-certified 远程仓库中，点 More Actions 图标 ⋮ 并点k Edit。
4. 在 URL 字段中，粘贴 Sync URL。
5. 在 Token 字段中，粘贴您从 console.redhat.com 获取的令牌。

6. 点击 Save。

   现在，您可以在 console.redhat.com 上的机构同步列表和私有自动化中心之间同步集合。

7. 点 More Actions 图标 ⋮ 并选择 Sync。

流程

1. 登录到自动化中心。
2. 在导航面板中，选择 Collections → Remotes。
3. 在 Community 远程中，点 More Actions 图标 ⋮ and select Edit。
4. 在 YAML requirements 字段中，点 Browse 并在本地机器上找到 requirements.yml 文件。

5. 点击 Save。

   现在，您可以将 requirements.yml 文件中标识的集合从 Ansible Galaxy 同步到私有自动化中心。

6. 点 More Actions 图标 HBAC，然后选择 Sync 以同步来自 Ansible Galaxy 和 Ansible Automation Hub 的集合。

流程

1. 登录到私有自动化中心。
2. 在导航面板中，选择 Collections → Remotes。
3. 在 rh-certified 或 Community 远程中，点 More Actions 图标 uild Defaults，然后选择 Edit。
4. 展开 Show advanced options 下拉菜单。
5. 在适当的字段中输入代理 URL、代理用户名和代理密码。
6. 点击 Save。

流程

1. 创建只接受文件名的签名脚本。

   注意

   此脚本充当签名服务，必须使用通过 PULP_SIGNING_KEY_FINGERPRINT 环境变量指定的密钥为该文件生成 ascii-armored 分离 gpg 签名。

   该脚本打印一个 JSON 结构，其格式如下：

   {"file": "filename", "signature": "filename.asc"}

   所有文件名都是当前工作目录中的相对路径。对于分离的签名，文件名必须保持相同。

   Example:

   以下脚本为内容生成签名：

   #!/usr/bin/env bash
   
   FILE_PATH=$1
   SIGNATURE_PATH="$1.asc"
   
   ADMIN_ID="$PULP_SIGNING_KEY_FINGERPRINT"
   PASSWORD="password"
   
   # Create a detached signature
   gpg --quiet --batch --pinentry-mode loopback --yes --passphrase \
      $PASSWORD --homedir ~/.gnupg/ --detach-sign --default-key $ADMIN_ID \
      --armor --output $SIGNATURE_PATH $FILE_PATH
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
      echo {\"file\": \"$FILE_PATH\", \"signature\": \"$SIGNATURE_PATH\"}
   else
      exit $STATUS
   fi

   部署私有自动化中心后，为 Ansible Automation Platform 集群启用了签名后，会在集合中会显示新的 UI。

2. 查看 Ansible Automation Platform 安装程序清单文件中的以 automationhub_* 开头的选项。

   [all:vars]
   .
   .
   .
   automationhub_create_default_collection_signing_service = True
   automationhub_auto_sign_collections = True
   automationhub_require_content_approval = True
   automationhub_collection_signing_service_key = /abs/path/to/galaxy_signing_service.gpg
   automationhub_collection_signing_service_script = /abs/path/to/collection_signing.sh

   两个新密钥(automationhub_auto_sign_collections 和 automationhub_require_content_approval)表示必须签名集合，并在上传到私有自动化中心后需要批准。

流程

1. 登录到您的 Ansible Automation Platform。
2. 在导航面板中，选择 Collections → Approval。Approval dashboard 将打开并显示一个集合列表。
3. 对于您要签名的每个集合，点 Sign and approve。

流程

1. 登录到您的自动化中心。

2. 在导航面板中，选择 Signature Keys。签名密钥仪表板显示多个键的列表：集合和容器镜像。

   • 要验证集合，请下载前缀为 collections- 的密钥。
   • 要验证容器镜像，请下载前缀为 container- 的密钥。

3. 选择以下方法之一下载您的公钥：

   • 选择菜单图标，然后点 Download Key 以下载公钥。
   • 从列表中选择公钥，然后点 Copy to clipboard 图标。
   • 点 Public Key 选项卡中的下拉菜单，再复制整个公钥块。

流程

1. 要将公钥导入到用于 ansible-galaxy 的非默认密钥环中，请运行以下命令：

   gpg --import --no-default-keyring --keyring ~/.ansible/pubring.kbx my-public-key.asc

   注意

   除了自动化中心提供的任何签名外，也可在要求文件和命令行中提供签名源。签名源应当是 URI。

2. 要使用额外签名验证 CLI 上提供的集合名称，请运行以下命令：

   ansible-galaxy collection install namespace.collection
   --signature https://examplehost.com/detached_signature.asc
   --signature file:///path/to/local/detached_signature.asc --keyring ~/.ansible/pubring.kbx

   您可以多次使用这个选项提供多个签名。

3. 确认要求文件中的集合在集合的签名密钥后列出任何其他签名源，如下例所示。

   # requirements.yml
   collections:
     - name: ns.coll
       version: 1.0.0
       signatures:
         - https://examplehost.com/detached_signature.asc
         - file:///path/to/local/detached_signature.asc
   
   ansible-galaxy collection verify -r requirements.yml --keyring ~/.ansible/pubring.kbx

   当您从自动化中心安装集合时，服务器提供的签名会与安装的集合一起保存，以验证集合的真实性。

4. （可选）如果您需要在不查询 Ansible Galaxy 服务器的情况下再次验证集合的内部一致性，请使用 --off 命令行选项运行之前使用的相同命令。

流程

1. 要获取 tarball，进入到 Red Hat Ansible Automation Platform 下载页，然后选择 Ansible Validated Content。

2. 上传内容并定义变量（本例使用 automationhub_api_token）：

   ansible-playbook collection_seed.yml
   -e automationhub_api_token=<api_token>
   -e automationhub_main_url=https://automationhub.example.com
   -e automationhub_require_content_approval=true

   注意

   使用 automationhub_admin_password 或 automationhub_api_token，而不是两者同时使用。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 User Access → Groups，再点 Create。
3. 在界面中输入 Content Engineering 作为组的 Name，再点 Create。您已创建了新组，组页将打开。
4. 在 Permissions 选项卡中，点 Edit。
5. 在 Namespaces 下，为 Add Namespace、Upload to Namespace 和 Change Namespace 添加权限。

6. 点击 Save。

   使用您分配的权限创建新组。然后您可以将用户添加到组中。

7. 点 Groups 页面中的 Users 选项卡。
8. 点Add。
9. 选择用户并点 Add。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 Collections → Namespaces。
3. 点 Create 并输入 命名空间名称。
4. 分配一组 Namespace owners。
5. 点 Create。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 Collections → Namespaces。
3. 点 More Actions icon ⋮ 选择 Edit namespace。
4. 在 Edit details 选项卡中，在字段中输入信息。
5. 点 Edit resources 选项卡在文本字段中输入标记。
6. 点击 Save。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 Collections → Namespaces 并选择命名空间。
3. 点 Upload collection。
4. 从 New collection 对话框中，点 Select file。
5. 选择要上传的集合。
6. 点 Upload。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 Collections → Namespaces。
3. 选择一个命名空间。
4. 点 More Actions 图标 ⋮ 选择 My imports。
5. 使用 search 字段或找到列表中导入的集合。
6. 点导入的集合。
7. 查看集合导入详情，以确定命名空间中的集合状态。

流程

1. 登录到您的私有自动化中心。
2. 在导航面板中，选择 Collections → Namespaces。
3. 点要删除的命名空间。

4. 点 More Actions 图标 ⋮, 然后点 Delete namespace。

   注意

   如果 Delete namespace 按钮被禁用，命名空间会包含带有依赖项的集合。检查此命名空间中的集合，并删除任何依赖项。如需更多信息 ，请参阅删除自动化中心上的集合。

流程

1. 在导航面板中，选择 Collections → Approval。

   需要批准的集合会检查状态 Needs review。

2. 选择要进行检查（review）的集合。
3. 点 Version 查看集合的内容。
4. 点 Certify 批准集合。

流程

1. 在导航面板中，选择 Collections → Approval。
2. 找到要检查的集合。
3. 点 Reject 以拒绝集合。

流程

1. 登录到自动化中心。
2. 在导航面板中，选择 Collection → Repositories。
3. 点 Add repository。
4. 输入存储库名称。
5. 在 Description 字段中，描述存储库的目的。

6. 要在每次进行更改时保留您的仓库的早期版本，请选择 保留的版本数量。保留的版本数量范围是 0 到无限。要保存所有版本，将此设置为 null。

   注意

   如果对自定义存储库有更改有问题，您可以恢复到保留的不同存储库版本。

7. 在 Pipeline 字段中，为仓库选择一个管道。此选项定义可以将集合发布到存储库的人员。

   Staging

   任何人都被允许将自动化内容发布到存储库中。

   已批准

   需要添加到此存储库的集合，才能通过暂存存储库通过批准过程进行。如果启用了自动批准，任何上传到 staging 存储库的集合将自动提升到所有批准的存储库。

   None

   任何具有存储库权限的用户都可以直接发布到存储库，存储库不是批准管道的一部分。

8. 可选： 要从搜索结果中隐藏存储库，选择 Hide from search。默认选择这个选项。
9. 可选： 要使存储库私有，请选择 Make private。这会防止没有权限的用户查看存储库。
10. 要将远程存储库中的内容同步到此存储库中，请选择 Remote，然后选择包含您要包含在自定义存储库中的集合的远程。如需更多信息，请参阅存储库同步。
11. 点击 Save。

流程

1. 登录到私有自动化中心。
2. 在导航面板中，选择 Collection → Repositories。
3. 在列表中找到您的存储库，点 More Actions icon ⋮, 然后选择 Edit。
4. 选择 Access 选项卡。

5. 为 Repository owners 选择一个组。

   有关实施 用户访问的信息，请参阅为私有自动化中心 配置用户访问。

6. 选择您要分配给所选组的角色。
7. 点击 Save。

流程

1. 在导航面板中，选择 Collection → Repositories。
2. 在列表中找到您的存储库，点 More Actions icon ⋮, 然后选择 Edit。
3. 选择 Collections version 选项卡。
4. 点 Add Collection 并选择您要添加到存储库中的集合。
5. 点 Select。

流程

1. 登录到私有自动化中心。
2. 在导航面板中，选择 Collection → Repositories。
3. 在列表中找到您的存储库，点 More Actions icon ⋮, 然后选择 Edit。
4. 找到您要恢复到的版本，然后点击 More Actions 图标，然后选择 Revert to this version。
5. 点 Revert。

流程

1. 登录到自动化中心。
2. 在导航面板中，选择 Collection → Repositories。

3. 在列表中找到您的存储库，然后点 Sync。

   配置的远程中的所有集合都下载到您的自定义存储库中。要检查集合同步的状态，请从导航面板中选择 Task Management。

   注意

   要将存储库同步限制为远程中的特定集合，您可以使用 requirements.yml 文件识别要拉取的特定集合。如需更多信息，请参阅创建远程。

流程

1. 如果需要访问容器镜像的清单，请登录 红帽控制台。
2. 单击您容器镜像所需的清单的三ot菜单，再单击 导出清单。

3. 使用您的 registry.redhat.io 凭证登录到 Podman：

   $ podman login registry.redhat.io

4. 输入您的用户名和密码。

5. 拉取容器镜像：

   $ podman pull registry.redhat.io/<container_image_name>:<tag>

1. 列出本地存储中的镜像：

   $ podman images

2. 检查镜像名称，并验证标签是否正确。

验证

1. 列出本地存储中的镜像：

   $ podman images

2. 验证您最近使用自动化中心信息标记的镜像是否包含在列表中。

流程

1. 使用您的自动化中心位置和凭证登录到 Podman：

   $ podman login -u=<username> -p=<password> <automation_hub_url>

2. 将容器镜像推送到自动化中心容器 registry：

   $ podman push <automation_hub_url>/<container_image_name>

验证

1. 登录到您的自动化中心。
2. 进入 Container Registry。
3. 在 container 存储库列表中找到容器。

流程

1. 登录到自动化中心。
2. 在导航面板中，选择 Execution Environments → Execution Environments。
3. 选择您的容器存储库。
4. 在 Details 标签页中，点 Add。
5. 在 Raw Markdown 文本字段中，使用 Markdown 格式输入您的 README 文本。
6. 完成后点 Save。

流程

1. 登录到自动化中心。
2. 在导航面板中，选择 Execution Environments → Execution Environments。
3. 选择您的容器存储库。
4. 在 Access 选项卡中，点 Select a group。
5. 选择您要授予访问权限的组，然后点 Next。
6. 选择您要添加到此执行环境的角色，然后点 Next。
7. 点Add。

流程

1. 在导航面板中，选择 Execution Environments → Execution Environments。
2. 选择您的容器存储库。
3. 点 Images 选项卡。
4. 点 More Actions 图标 ⋮，点 Manage tags。
5. 在文本字段中添加新标签，然后点 Add。
6. 可选：通过点该镜像的任何标签上的 x 来删除当前标签。
7. 点击 Save。

流程

1. 进入自动化控制器。
2. 在导航面板中，选择 Resources → Credentials。
3. 点 Add 以创建新凭据。
4. 输入授权 Name、Description 和 Organization。
5. 选择凭据类型。
6. 输入身份验证 URL。这是容器 registry 地址。
7. 输入登录到容器 registry 所需的 Username 和 Password or Token。
8. 可选： 要启用 SSL 验证，请选择 Verify SSL。
9. 点击 Save。

流程

1. 如果您要从密码保护的 registry 中拉取容器镜像，请在拉取镜像前 在自动化控制器中创建凭证。
2. 在导航面板中，选择 Execution Environments → Execution Environments。
3. 选择您的容器存储库。
4. 在 Pull this image 条目中，点 Copy to clipboard。
5. 在终端中粘贴并运行命令。

流程

1. 在导航面板中，选择 Execution Environments → Execution Environments。
2. 将 https://registry.redhat.io 添加到 registry。

3. 添加所需的任何凭证进行验证。

   注意

   有些容器 registry 有速率限制。在 Advanced Options 下设置速率限制。

4. 在导航面板中，选择 Execution Environments → Execution Environments。
5. 在页面标头中点 Add execution environment。

6. 选择您要从中拉取的 registry。Name 字段显示本地 registry 中显示的镜像名称。

   注意

   Upstream name 字段是远程服务器上的镜像名称。例如，如果上游名称被设置为 "alpine"，并且 Name 字段为 "local/alpine"，则 alpine 镜像会从远程下载，并重命名为 "local/alpine"。

7. 设置要包含或排除的标签列表。将镜像与大量标签同步会非常耗时，并且需要使用大量磁盘空间。

流程

1. 在终端中，创建一个签名脚本，并将脚本路径作为安装程序参数传递。

   示例 ：

   #!/usr/bin/env bash
   
   # pulp_container SigningService will pass the next 4 variables to the script.
   MANIFEST_PATH=$1
   FINGERPRINT="$PULP_SIGNING_KEY_FINGERPRINT"
   IMAGE_REFERENCE="$REFERENCE"
   SIGNATURE_PATH="$SIG_PATH"
   
   # Create container signature using skopeo
   skopeo standalone-sign \
     $MANIFEST_PATH \
     $IMAGE_REFERENCE \
     $FINGERPRINT \
     --output $SIGNATURE_PATH
   
   # Optionally pass the passphrase to the key if password protected.
   # --passphrase-file /path/to/key_password.txt
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
     echo {\"signature_path\": \"$SIGNATURE_PATH\"}
   else
     exit $STATUS
   fi

2. 查看 Ansible Automation Platform 安装程序清单文件，了解以 automationhub -4.4 开头的容器签名选项。

   [all:vars]
   .
   .
   .
   
   automationhub_create_default_container_signing_service = True
   automationhub_container_signing_service_key = /absolute/path/to/key/to/sign
   automationhub_container_signing_service_script = /absolute/path/to/script/that/signs

3. 安装完成后，进入您的自动化中心。
4. 在导航面板中，选择 Signature Keys。
5. 确保有一个名为 container-default 或 container-anyname 的密钥。

流程

1. 登录到自动化中心。
2. 在导航面板中，选择 Execution Environments → Remote Registries。

3. 点 Add remote registry。

   • 在 Name 字段中输入容器所在的 registry 的名称。
   • 在 URL 字段中输入容器所在的 registry 的 URL。
   • 如果需要，在 Username 字段中输入用户名。
   • 在 Password 字段中，根据需要输入密码。
   • 点击 Save。

流程

1. 在导航面板中，选择 Execution Environments → Execution Environments。
2. 点 Add execution environment。
3. 输入执行环境的名称。
4. 可选：输入上游名称。
5. 在 Registry 下，从下拉菜单中选择 registry 的名称。
6. 在 Add tag(s) to include 字段中输入标签。如果字段为空，则将传递所有标签。您必须指定要传递的存储库特定标签。

7. 剩余的字段是可选的：

   • 当前包括的标签
   • 添加要排除的标签
   • 当前排除的标签
   • 描述
8. 点击 Save。
9. 同步镜像。

流程

1. 在终端中，登录到 Podman 或当前使用的任何容器客户端：

   > podman pull <container-name>

2. 拉取镜像后，添加标签（例如： latest、rc、beta 或版本号，如 1.0、2.3 等）：

   > podman tag <container-name> <server-address>/<container-name>:<tag name>

3. 在进行了更改后为镜像签名，并将其推送到自动化中心 registry：

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false --sign-by <reference to the gpg key on your local>

   如果镜像未签名，则只能使用嵌入的任何当前签名推送。另外，您可以使用以下脚本推送镜像而不签名镜像：

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false

4. 推送镜像后，进入您的自动化中心。
5. 在导航面板中，选择 Execution Environments → Execution Environments。
6. 要显示新执行环境，点 Refresh 图标。
7. 点镜像的名称查看您的推送的镜像。

1. 点镜像名称导航到详情页面。

2. 点 More Actions 图标 ⋮。有三个选项可用：

   • 在 Controller 中使用
   • 删除
   • 签发
3. 从下拉菜单中选择 Sign。

流程

1. 在导航面板中，选择 Signature Keys。
2. 点您使用的签名旁边的 More Actions 图标 ⋮。
3. 从下拉菜单中选择 Download key。此时会打开一个新窗口。
4. 在 Name 字段中输入密钥的名称。
5. 点击 Save。

流程

1. 打开终端并使用以下命令：

   >  sudo <name of editor> /etc/containers/policy.json

   显示的文件类似如下：

   {
     "default": [{"type": "reject"}],
     "transports": {
     	"docker": {
       	"quay.io": [{"type": "insecureAcceptAnything"}],
       	"docker.io": [{"type": "insecureAcceptAnything"}],
       	"<server-address>": [
         	{
             	    "type": "signedBy",
             	    "keyType": "GPGKeys",
             	    "keyPath": "/tmp/containersig.txt"
         	}]
     	}
     }
   }

   此文件显示 quay.io 或 docker.io 都不执行验证，因为类型是 insecureAcceptAnything，它会覆盖默认的 reject 类型。但是 <server-address> 将执行验证，因为参数 type 被设置为 "signedBy"。

   注意

   目前唯一支持的 keyType 是 GPG 密钥。

2. 在 <server-address> 条目下，修改 keyPath <1> 使其包含您的密钥文件的名称。

   {
       	"default": [{"type": "reject"}],
       	"transports": {
           	"docker": {
             	  "quay.io": [{"type": "insecureAcceptAnything"}],
             	  "docker.io": [{"type": "insecureAcceptAnything"}],
             	  "<server-address>": [{
                   	"type": "signedBy",
                   	"keyType": "GPGKeys",
                   	"keyPath": "/tmp/<key file name>",
                   	"signedIdentity": {
                     	  "type": "matchExact"
                       }
               	  }]
               }
       	}
   }

3. 保存并关闭该文件。