13.4. OpenShift Update Service を使用しない非接続環境でのクラスターの更新

手順

1. 一時停止する利用可能なすべての MachineHealthCheck リソースを一覧表示するには、以下のコマンドを実行します。

   $ oc get machinehealthcheck -n openshift-machine-api

2. マシンヘルスチェックを一時停止するには、cluster.x-k8s.io/paused="" アノテーションを MachineHealthCheck リソースに追加します。以下のコマンドを実行します。

   $ oc -n openshift-machine-api annotate mhc <mhc-name> cluster.x-k8s.io/paused=""

   注釈付きの MachineHealthCheck リソースは以下の YAML ファイルのようになります。

   apiVersion: machine.openshift.io/v1beta1
   kind: MachineHealthCheck
   metadata:
     name: example
     namespace: openshift-machine-api
     annotations:
       cluster.x-k8s.io/paused: ""
   spec:
     selector:
       matchLabels:
         role: worker
     unhealthyConditions:
     - type:    "Ready"
       status:  "Unknown"
       timeout: "300s"
     - type:    "Ready"
       status:  "False"
       timeout: "300s"
     maxUnhealthy: "40%"
   status:
     currentHealthy: 5
     expectedMachines: 5

   重要

   クラスターの更新後にマシンヘルスチェックを再開します。チェックを再開するには、以下のコマンドを実行して MachineHealthCheck リソースから pause アノテーションを削除します。

   $ oc -n openshift-machine-api annotate mhc <mhc-name> cluster.x-k8s.io/paused-

手順

1. インターネットに接続されているデバイスで、以下のコマンドを実行します。

   $ oc adm release info -o 'jsonpath={.digest}{"\n"}' quay.io/openshift-release-dev/ocp-release:${OCP_RELEASE_VERSION}-${ARCHITECTURE}

   {OCP_RELEASE_VERSION} では、更新する OpenShift Container Platform のバージョン (例: 4.10.16) を指定します。

   {ARCHITECTURE} では、クラスターアーキテクチャー (例: x86_64、aarch64、s390x、ppc64le) を指定します。

   出力例

   sha256:a8bfba3b6dddd1a2fbbead7dac65fe4fb8335089e4e7cae327f3bad334add31d

2. クラスターの更新時に使用する sha256 ダイジェストをコピーします。

手順

1. ミラーリングされたリポジトリーを設定します。以下のいずれかを実行します。

   • Repository Mirroring in Red Hat Quay で説明されているように、Red Hat Quay でミラーリングされたリポジトリーを設定します。Red Hat Quay を使用すると、あるリポジトリーから別のリポジトリーにイメージをコピーでき、これらのリポジトリーを一定期間繰り返し自動的に同期することもできます。

   • skopeo などのツールを使用して、ソースディレクトリーからミラーリングされたリポジトリーにイメージを手動でコピーします。

     たとえば、Red Hat Enterprise Linux (RHEL 7 または RHEL 8) システムに skopeo RPM パッケージをインストールした後、以下の例に示すように skopeo コマンドを使用します。

     $ skopeo copy \
     docker://registry.access.redhat.com/ubi9/ubi-minimal:latest@sha256:5cf... \
     docker://example.io/example/ubi-minimal

     この例では、example.io いう名前のコンテナーイメージレジストリーと example という名前のイメージリポジトリーがあり、そこに registry.access.redhat.com から ubi9/ubi-minimal イメージをコピーします。レジストリーを作成した後、OpenShift Container Platform クラスターを設定して、ソースリポジトリーで作成される要求をミラーリングされたリポジトリーにリダイレクトできます。

2. OpenShift Container Platform クラスターにログインします。

3. 必要に応じて ImageDigestMirrorSet または ImageTagMirrorSet CR を作成し、ソースとミラーを独自のレジストリーとリポジトリーのペアとイメージに置き換えます。

   apiVersion: config.openshift.io/v1 1
   kind: ImageDigestMirrorSet 2
   metadata:
     name: ubi9repo
   spec:
     imageDigestMirrors: 3
     - mirrors:
       - example.io/example/ubi-minimal 4
       - example.com/example/ubi-minimal 5
       source: registry.access.redhat.com/ubi9/ubi-minimal 6
       mirrorSourcePolicy: AllowContactingSource 7
     - mirrors:
       - mirror.example.com/redhat
       source: registry.redhat.io/openshift4 8
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.com
       source: registry.redhat.io 9
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net/image
       source: registry.example.com/example/myimage 10
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net
       source: registry.example.com/example 11
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net/registry-example-com
       source: registry.example.com 12
       mirrorSourcePolicy: AllowContactingSource

   1

   この CR で使用する API を示します。これは config.openshift.io/v1 である必要があります。

   2

   プルタイプに応じてオブジェクトの種類を示します。

   • ImageDigestMirrorSet: ダイジェスト参照イメージをプルします。
   • ImageTagMirrorSet: タグ参照イメージをプルします。

   3

   次のいずれかのイメージプルメソッドのタイプを示します。

   • imageDigestMirrors: ImageDigestMirrorSet CR に使用します。
   • imageTagMirrors: ImageTagMirrorSet CR に使用します。

   4

   ミラーリングされたイメージのレジストリーとリポジトリーの名前を示します。

   5

   オプション: 各ターゲットリポジトリーのセカンダリーミラーリポジトリーを示します。1 つのミラーがダウンした場合、ターゲットリポジトリーは別のミラーを使用できます。

   6

   イメージプル仕様で参照されるリポジトリーである、レジストリーおよびリポジトリーソースを示します。

   7

   オプション: イメージのプルが失敗した場合のフォールバックポリシーを示します。

   • AllowContactingSource: ソースリポジトリーからのイメージのプルの継続的な試行を許可します。これはデフォルトになります。
   • NeverContactSource: ソースリポジトリーからのイメージのプルの継続的な試行を防ぎます。

   8

   オプション: レジストリー内の namespace を示します。これにより、その namaspace で任意のイメージを使用できます。レジストリードメインをソースとして使用する場合、オブジェクトはレジストリーからすべてのリポジトリーに適用されます。

   9

   オプション: レジストリーを示し、そのレジストリー内の任意のイメージを使用できるようにします。レジストリー名を指定すると、ソースレジストリーからミラーレジストリーまでのすべてのリポジトリーにオブジェクトが適用されます。

   10

   イメージ registry.example.com/example/myimage@sha256:…​ をミラー mirror.example.net/image@sha256:.. からプルします。

   11

   ミラー mirror.example.net/image@sha256:… からソースレジストリー名前空間のイメージ registry.example.com/example/image@sha256:…​ をプルします。

   12

   ミラーレジストリー example.net/registry-example-com/myimage@sha256:…​ からイメージ registry.example.com/myimage@sha256 をプルします。ImageContentSourcePolicy リソースは、ソースレジストリーからミラーレジストリー mirror.example.net/registry-example-com までのすべてのリポジトリーに適用されます。

4. 新規オブジェクトを作成します。

   $ oc create -f registryrepomirror.yaml

   オブジェクトが作成された後、新しい設定が各ノードにデプロイメントされると、Machine Config Operator (MCO) がノードを封鎖します。MCO は、ImageTagMirrorSet オブジェクトのノードのみを再起動します。MCO は ImageDigestMirrorSet オブジェクトのノードを再起動しません。ノードが uncordon されると、クラスターは、ソースリポジトリーへの要求に対してミラーリングされたリポジトリーの使用を開始します。

5. ミラーリングされた設定が適用されていることを確認するには、ノードのいずれかで以下を実行します。

   1. ノードの一覧を表示します。

      $ oc get node

      出力例

      NAME                           STATUS                     ROLES    AGE  VERSION
      ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.26.0
      ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.26.0
      ip-10-0-147-35.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.26.0

   2. デバッグプロセスを開始し、ノードにアクセスします。

      $ oc debug node/ip-10-0-147-35.ec2.internal

      出力例

      Starting pod/ip-10-0-147-35ec2internal-debug ...
      To use host binaries, run `chroot /host`

   3. ルートディレクトリーを /host に変更します。

      sh-4.2# chroot /host

   4. /etc/containers/registries.conf ファイルをチェックして、変更が行われたことを確認します。

      sh-4.2# cat /etc/containers/registries.conf

      次の出力は、ImageDigestMirrorSet オブジェクトと ImageTagMirrorSet オブジェクトが適用された registries.conf ファイルを表しています。最後の 2 つのエントリーは、それぞれ digest-only および tag-only とマークされています。

      出力例

      unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
      short-name-mode = ""
      
      [[registry]]
        prefix = ""
        location = "registry.access.redhat.com/ubi9/ubi-minimal" 1
      
        [[registry.mirror]]
          location = "example.io/example/ubi-minimal" 2
          pull-from-mirror = "digest-only" 3
      
        [[registry.mirror]]
          location = "example.com/example/ubi-minimal"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com"
      
        [[registry.mirror]]
          location = "mirror.example.net/registry-example-com"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com/example"
      
        [[registry.mirror]]
          location = "mirror.example.net"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com/example/myimage"
      
        [[registry.mirror]]
          location = "mirror.example.net/image"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.redhat.io"
      
        [[registry.mirror]]
          location = "mirror.example.com"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.redhat.io/openshift4"
      
        [[registry.mirror]]
          location = "mirror.example.com/redhat"
          pull-from-mirror = "digest-only"
      [[registry]]
        prefix = ""
        location = "registry.access.redhat.com/ubi9/ubi-minimal"
        blocked = true 4
      
        [[registry.mirror]]
          location = "example.io/example/ubi-minimal-tag"
          pull-from-mirror = "tag-only" 5

      1

      プルスペックで参照されるリポジトリーを示します。

      2

      そのリポジトリーのミラーを示します。

      3

      ミラーからプルされたイメージがダイジェスト参照イメージであることを示します。

      4

      このリポジトリーに NeverContactSource パラメーターが設定されていることを示します。

      5

      ミラーからプルされたイメージがタグ参照イメージであることを示します。

   5. ソースからノードにイメージをプルし、ミラーによって解決されるかどうかを確認します。

      sh-4.2# podman pull --log-level=debug registry.access.redhat.com/ubi9/ubi-minimal@sha256:5cf...

手順

1. <local_registry>, <pull_spec>, and <pull_secret_file> の値を指定して、以下のコマンドを実行します。

   $ oc adm catalog mirror <local_registry>/<pull_spec> <local_registry> -a <pull_secret_file> --icsp-scope=registry

   ここでは、以下のようになります。

   <local_registry>

   非接続クラスター (例: local.registry:5000) 用に設定したローカルレジストリーです。

   <pull_spec>

   非接続レジストリーで設定されるプル仕様です (例: redhat/redhat-operator-index:v4.13)。

   <pull_secret_file>

   .json ファイル形式の registry.redhat.io プルシークレットです。プルシークレットは、Red Hat Open Shift Cluster Manager から ダウンロードできます。

   oc adm catalog mirror コマンドは、/redhat-operator-index-manifests ディレクトリーを作成し、imageContentSourcePolicy.yaml、catalogSource.yaml、および mapping.txt ファイルを生成します。

2. 新しい ImageContentSourcePolicy リソースをクラスターに適用します。

   $ oc apply -f imageContentSourcePolicy.yaml