3.5. 将镜像标签解析到摘要
如果 Knative Serving 控制器可以访问容器 registry，Knative Serving 会在创建服务的修订时将镜像标签解析为摘要。这被称为 tag-to-digest 解析，有助于为部署提供一致性。
3.5.1. tag-to-digest 解析
要让控制器访问 OpenShift Container Platform 上的容器 registry，您必须创建一个 secret，然后配置控制器自定义证书。您可以通过修改 KnativeServing 自定义资源 (CR) 中的 controller-custom-certs spec 来配置控制器自定义证书。secret 必须位于与 KnativeServing CR 相同的命名空间中。
如果 KnativeServing CR 中不包含 secret，此设置默认为使用公钥基础架构 (PKI) 。在使用 PKI 时，集群范围的证书会使用 config-service-sa 配置映射自动注入到 Knative Serving 控制器。OpenShift Serverless Operator 使用集群范围证书填充 config-service-sa 配置映射，并将配置映射作为卷挂载到控制器。
3.5.1.1. 使用 secret 配置 tag-to-digest 解析
如果 controller-custom-certs spec 使用 Secret 类型，secret 将被挂载为 secret 卷。Knative 组件直接使用 secret，假设 secret 具有所需的证书。
先决条件
- 在 OpenShift Container Platform 上具有集群管理员权限，或者对 Red Hat OpenShift Service on AWS 或 OpenShift Dedicated 有集群或专用管理员权限。
- 您已在集群中安装了 OpenShift Serverless Operator 和 Knative Serving。
流程
创建 secret：
示例命令
$ oc -n knative-serving create secret generic custom-secret --from-file=<secret_name>.crt=<path_to_certificate>
配置
KnativeServing自定义资源 (CR) 中的controller-custom-certs规格以使用Secret类型：KnativeServing CR 示例
apiVersion: operator.knative.dev/v1beta1 kind: KnativeServing metadata: name: knative-serving namespace: knative-serving spec: controller-custom-certs: name: custom-secret type: Secret
