13.3. 使用 OpenShift Container Platform 创建 Red Hat Quay 构建器环境

流程

1. 使用集群管理员帐户登录到 Red Hat Quay 集群。

2. 运行以下命令，创建一个运行您的虚拟构建器（如 virtual-builders ）的新项目：

   $ oc new-project virtual-builders

3. 输入以下命令在项目中创建一个 ServiceAccount，它将用于运行构建：

   $ oc create sa -n virtual-builders quay-builder

4. 为创建的服务帐户提供编辑权限，以便它可以运行构建：

   $ oc adm policy -n virtual-builders add-role-to-user edit system:serviceaccount:virtual-builders:quay-builder

5. 输入以下命令授予 Quay builder anyuid scc 权限：

   $ oc adm policy -n virtual-builders add-scc-to-user anyuid -z quay-builder

   注意

   此操作需要集群管理员特权。这是必要的，因为构建器必须以 Podman 用户身份运行，才能使非特权或无根构建正常工作。

6. 获取 Quay builder 服务帐户的令牌。

   1. 如果使用 OpenShift Container Platform 4.10 或更早的版本，请输入以下命令：

      oc sa get-token -n virtual-builders quay-builder

   2. 如果使用 OpenShift Container Platform 4.11 或更高版本，请输入以下命令：

      $ oc create token quay-builder -n virtual-builders

      注意

      当令牌过期时，您需要请求新令牌。另外，您还可以添加自定义过期。例如，指定 --duration 20160m 以保留令牌两周。

      输出示例

      eyJhbGciOiJSUzI1NiIsImtpZCI6IldfQUJkaDVmb3ltTHZ0dGZMYjhIWnYxZTQzN2dJVEJxcDJscldSdEUtYWsifQ...

7. 输入以下命令确定构建程序路由：

   $ oc get route -n quay-enterprise

   输出示例

   NAME                                  HOST/PORT                                                                    PATH   SERVICES                              PORT   TERMINATION     WILDCARD
   ...
   example-registry-quay-builder         example-registry-quay-builder-quay-enterprise.apps.docs.quayteam.org                example-registry-quay-app             grpc   edge/Redirect   None
   ...

8. 输入以下命令使用 .crt 扩展生成自签名 SSL/TlS 证书：

   $ oc extract cm/kube-root-ca.crt -n openshift-apiserver

   输出示例

   ca.crt

9. 输入以下命令将 ca.crt 文件重命名为 extra_ca_cert_build_cluster.crt ：

   $ mv ca.crt extra_ca_cert_build_cluster.crt

10. 在控制台中找到配置捆绑包的 secret，然后选择 Actions Edit Secret 并添加适当的构建程序配置：

    FEATURE_USER_INITIALIZE: true
    BROWSER_API_CALLS_XHR_ONLY: false
    SUPER_USERS:
    - <superusername>
    FEATURE_USER_CREATION: false
    FEATURE_QUOTA_MANAGEMENT: true
    FEATURE_BUILD_SUPPORT: True
    BUILDMAN_HOSTNAME: <sample_build_route> 1
    BUILD_MANAGER:
      - ephemeral
      - ALLOWED_WORKER_COUNT: 1
        ORCHESTRATOR_PREFIX: buildman/production/
        JOB_REGISTRATION_TIMEOUT: 3600 2
        ORCHESTRATOR:
          REDIS_HOST: <sample_redis_hostname> 3
          REDIS_PASSWORD: ""
          REDIS_SSL: false
          REDIS_SKIP_KEYSPACE_EVENT_SETUP: false
        EXECUTORS:
          - EXECUTOR: kubernetesPodman
            NAME: openshift
            BUILDER_NAMESPACE: <sample_builder_namespace> 4
            SETUP_TIME: 180
            MINIMUM_RETRY_THRESHOLD: 0
            BUILDER_CONTAINER_IMAGE: <sample_builder_container_image> 5
            # Kubernetes resource options
            K8S_API_SERVER: <sample_k8s_api_server> 6
            K8S_API_TLS_CA: <sample_crt_file> 7
            VOLUME_SIZE: 8G
            KUBERNETES_DISTRIBUTION: openshift
            CONTAINER_MEMORY_LIMITS: 300m 8
            CONTAINER_CPU_LIMITS: 1G 9
            CONTAINER_MEMORY_REQUEST: 300m 10
            CONTAINER_CPU_REQUEST: 1G 11
            NODE_SELECTOR_LABEL_KEY: ""
            NODE_SELECTOR_LABEL_VALUE: ""
            SERVICE_ACCOUNT_NAME: <sample_service_account_name>
            SERVICE_ACCOUNT_TOKEN: <sample_account_token> 12

    1

    构建路由通过运行 oc get route -n 及 OpenShift Operator 的命名空间的名称来获取。路由末尾必须提供一个端口，它应使用以下格式： [quayregistry-cr-name]-quay-builder-[ocp-namespace].[ocp-domain-name]:443。

    2

    如果设置了 JOB_REGISTRATION_TIMEOUT 参数，您可能会收到以下错误： failed to register job to build manager: rpc error: code = Unauthenticated desc = Invalid build token: Signature has expired.建议将此参数设置为至少 240。

    3

    如果您的 Redis 主机有密码或 SSL/TLS 证书，您必须相应地更新。

    4

    设置，以匹配虚拟构建器命名空间的名称，如 virtual-builders。

    5

    对于早期访问，BUILDER_CONTAINER_IMAGE 目前是 quay.io/projectquay/quay-builder:3.7.0-rc.2。请注意，这可能会在早期访问窗口中更改。如果出现这种情况，则会警告客户。

    6

    K8S_API_SERVER 通过运行 oc cluster-info 获取。

    7

    您必须手动创建并添加自定义 CA 证书，例如 K8S_API_TLS_CA: /conf/stack/extra_ca_certs/build_cluster.crt。

    8

    如果未指定，则默认为 5120Mi。

    9

    对于虚拟构建，您必须确保集群中有足够的资源。如果未指定，则默认为 1000m。

    10

    如果未指定，则默认为 3968Mi。

    11

    如果未指定，则默认为 500m。

    12

    在运行 oc create sa 时获得。

    配置示例

    FEATURE_USER_INITIALIZE: true
    BROWSER_API_CALLS_XHR_ONLY: false
    SUPER_USERS:
    - quayadmin
    FEATURE_USER_CREATION: false
    FEATURE_QUOTA_MANAGEMENT: true
    FEATURE_BUILD_SUPPORT: True
    BUILDMAN_HOSTNAME: example-registry-quay-builder-quay-enterprise.apps.docs.quayteam.org:443
    BUILD_MANAGER:
      - ephemeral
      - ALLOWED_WORKER_COUNT: 1
        ORCHESTRATOR_PREFIX: buildman/production/
        JOB_REGISTRATION_TIMEOUT: 3600
        ORCHESTRATOR:
          REDIS_HOST: example-registry-quay-redis
          REDIS_PASSWORD: ""
          REDIS_SSL: false
          REDIS_SKIP_KEYSPACE_EVENT_SETUP: false
        EXECUTORS:
          - EXECUTOR: kubernetesPodman
            NAME: openshift
            BUILDER_NAMESPACE: virtual-builders
            SETUP_TIME: 180
            MINIMUM_RETRY_THRESHOLD: 0
            BUILDER_CONTAINER_IMAGE: quay.io/projectquay/quay-builder:3.7.0-rc.2
            # Kubernetes resource options
            K8S_API_SERVER: api.docs.quayteam.org:6443
            K8S_API_TLS_CA: /conf/stack/extra_ca_certs/build_cluster.crt
            VOLUME_SIZE: 8G
            KUBERNETES_DISTRIBUTION: openshift
            CONTAINER_MEMORY_LIMITS: 1G
            CONTAINER_CPU_LIMITS: 1080m
            CONTAINER_MEMORY_REQUEST: 1G
            CONTAINER_CPU_REQUEST: 580m
            NODE_SELECTOR_LABEL_KEY: ""
            NODE_SELECTOR_LABEL_VALUE: ""
            SERVICE_ACCOUNT_NAME: quay-builder
            SERVICE_ACCOUNT_TOKEN: "eyJhbGciOiJSUzI1NiIsImtpZCI6IldfQUJkaDVmb3ltTHZ0dGZMYjhIWnYxZTQzN2dJVEJxcDJscldSdEUtYWsifQ"

流程

1. 登录到您的 Red Hat Quay 存储库。
2. 单击 Create New Repository，再创建一个新 registry，如 testrepo。

3. 在 Repositories 页面上，单击导航窗格上的 Builds 选项卡。或者，直接使用对应的 URL：

   https://example-registry-quay-quay-enterprise.apps.docs.quayteam.org/repository/quayadmin/testrepo?tab=builds

   重要

   在某些情况下，构建器可能会遇到解析主机名的问题。这个问题可能与作业对象上的 dnsPolicy 设置为 default 相关。目前，这个问题还没有临时解决方案。它将在以后的 Red Hat Quay 版本中解决。

4. 点 Create Build Trigger Custom Git Repository Push。

5. 输入用于克隆 Git 存储库的 HTTPS 或 SSH 样式 URL，然后单击 Continue。例如：

   https://github.com/gabriel-rh/actions_test.git

6. 使用分支或标签名称检查 Tag 清单，然后单击 Continue。
7. 在调用触发器时输入要构建的 Dockerfile 的位置，如 /Dockerfile，然后单击 Continue。
8. 输入 Docker 构建的上下文的位置，如 /，然后单击 Continue。
9. 如果保证，请创建一个 Robot 帐户。否则，点 Continue。
10. 点 Continue 来验证参数。
11. 在 Builds 页面中，点 Trigger Name 的 Options 图标，然后点 Run Trigger Now。
12. 从 Git 存储库输入提交 SHA，然后单击 Start Build。

13. 您可以通过单击 Build History 页面中的提交或运行 oc get pods -n virtual-builders 来检查构建的状态。例如：

    $ oc get pods -n virtual-builders

    输出示例

    NAME                                               READY   STATUS    RESTARTS   AGE
    f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Running   0          7s

    $ oc get pods -n virtual-builders

    输出示例

    NAME                                               READY   STATUS        RESTARTS   AGE
    f192fe4a-c802-4275-bcce-d2031e635126-9l2b5-25lg2   1/1     Terminating   0          9s

    $ oc get pods -n virtual-builders

    输出示例

    No resources found in virtual-builders namespace.

14. 构建完成后，您可以检查导航窗格上 Tags 下的标签状态。

    注意

    通过早期访问，目前构建的完整构建日志和时间戳当前不可用。

流程

1. 在 s3.console.aws.com 上登录到 AWS 控制台。
2. 在搜索栏中，搜索 S3，然后单击 S3。
3. 点存储桶的名称，如 myawsbucket。
4. 单击权限选项卡。

5. 在 Cross-origin 资源共享(CORS) 下，包含以下参数：

     [
         {
             "AllowedHeaders": [
                 "Authorization"
             ],
             "AllowedMethods": [
                 "GET"
             ],
             "AllowedOrigins": [
                 "*"
             ],
             "ExposeHeaders": [],
             "MaxAgeSeconds": 3000
         },
         {
             "AllowedHeaders": [
                 "Content-Type",
                 "x-amz-acl",
                 "origin"
             ],
             "AllowedMethods": [
                 "PUT"
             ],
             "AllowedOrigins": [
                 "*"
             ],
             "ExposeHeaders": [],
             "MaxAgeSeconds": 3000
         }
     ]

流程

1. 使用以下引用来创建 JSON 文件，以满足您的特定 CORS 需求。例如：

   $ cat gcp_cors.json

   输出示例

   [
       {
         "origin": ["*"],
         "method": ["GET"],
         "responseHeader": ["Authorization"],
         "maxAgeSeconds": 3600
       },
       {
         "origin": ["*"],
         "method": ["PUT"],
         "responseHeader": [
                 "Content-Type",
                 "x-goog-acl",
                 "origin"],
         "maxAgeSeconds": 3600
       }
   ]

2. 输入以下命令更新 GCP 存储桶：

   $ gcloud storage buckets update gs://<bucket_name> --cors-file=./gcp_cors.json

   输出示例

   Updating
     Completed 1

3. 您可以运行以下命令来显示 GCP 存储桶的更新 CORS 配置：

   $ gcloud storage buckets describe gs://<bucket_name>  --format="default(cors)"

   输出示例

   cors:
   - maxAgeSeconds: 3600
     method:
     - GET
     origin:
     - '*'
     responseHeader:
     - Authorization
   - maxAgeSeconds: 3600
     method:
     - PUT
     origin:
     - '*'
     responseHeader:
     - Content-Type
     - x-goog-acl
     - origin