Red Hat Quay の管理

Red Hat Quay 3.9

Red Hat Quay の管理

Red Hat OpenShift Documentation Team

概要

Red Hat Quay の管理

はじめに

Red Hat Quay レジストリーをデプロイメントした後、そのデプロイメントをさらに設定、管理する方法は数多くあります。ここでは、以下のようなトピックを取り上げています。

  • Red Hat Quay の高度な設定
  • Red Hat Quay の新リリースを知らせる通知の設定
  • SSL/TLS 証明書による接続の保護
  • アクションログのストレージの Elasticsearch へのダイレクト
  • Clair によるイメージセキュリティースキャンの設定
  • コンテナーセキュリティー Operator での Pod イメージのスキャン
  • Quay Bridge Operator を使用した OpenShift Container Platform の Red Hat Quay への統合
  • リポジトリーミラーリングによるイメージの反映
  • BitTorrent サービスによる Red Hat Quay イメージの共有
  • LDAP によるユーザーの認証
  • Prometheus および Grafana メトリックの Quay の有効化
  • Geo レプリケーションの設定
  • Red Hat Quay のトラブルシューティング

Red Hat Quay 設定フィールドの完全なリストは、Red Hat Quay の設定 ページを参照してください。

第1章 Red Hat Quay の高度な設定

以下のインターフェイスのいずれかを使用して、初期デプロイメント後に Red Hat Quay を設定できます。

  • Red Hat Quay 設定ツール。このツールにより、Quay コンテナーを config モードで実行する際に、Red Hat Quay クラスターを設定するための Web ベースのインターフェイスを利用できます。この方法は、Red Hat Quay サービスを設定する場合に推奨されます。
  • config.yaml の編集。config.yaml ファイルには、Red Hat Quay クラスターのほとんどの設定情報が含まれています。config.yaml ファイルを直接編集することは可能ですが、Config Tool では利用できない高度なチューニングやパフォーマンス機能を利用する場合にのみ推奨します。
  • Red Hat Quay API。一部の Red Hat Quay 機能は、API を介して設定できます。

このセクションでは、前述の各インターフェイスの使用方法と、高度な機能を使用してデプロイメントを設定する方法を説明します。

1.1. Red Hat Quay Config Tool を使用した Red Hat Quay の変更

Red Hat Quay Config Tool は、通常の Red Hat Quay サービスと共に config モードで Quay コンテナーを実行して利用できます。

以下のセクションを使用して、Red Hat Quay Operator から Config Tool を実行するか、コマンドラインインターフェイス (CLI) からホストシステムで Config Tool を実行します。

1.1.1. Red Hat Quay Operator からの Config Tool の実行

OpenShift Container Platform で Red Hat Quay Operator を実行すると、Config Tool をすぐに使用できます。以下の手順を使用して、Red Hat Quay Config Tool にアクセスします。

前提条件

  1. Red Hat Quay Operator を OpenShift Container Platform にデプロイしている。

手順

  1. OpenShift コンソールで、quay-enterprise などの Red Hat Quay プロジェクトを選択します。
  2. ナビゲーションペインで NetworkingRoutes を選択します。次のイメージに示すように、Red Hat Quay アプリケーションと Config Tool の両方へのルートが表示されます。

    View the route to the Red Hat Quay Config Tool

  3. Config Tool へのルート (例: example-quayecosystem-quay-config) を選択します。ブラウザーに Config Tool UI が表示されます。
  4. Modify configuration for this cluster を選択して、Config Tool のセットアップを表示します。次に例を示します。

    Modify Red Hat Quay cluster settings from the Config Tool

  5. 必要な変更を行い、Save Configuration Changes を選択します。
  6. Continue Editing をクリックして必要な修正を行うか、Next を選択して続行します。
  7. プロンプトが表示されたら、Download Configuration を選択します。これにより、新しい config.yaml の tarball と、Red Hat Quay のセットアップで使用された証明書や鍵がダウンロードされます。config.yaml を使用して、設定に高度な変更を加えたり、将来の参照として使用したりできます。
  8. Go to deployment rolloutPopulate the configuration to deployments を選択します。Red Hat Quay Pod が再起動し、変更が有効になるのを待ちます。

1.1.2. コマンドラインからの Config Tool の実行

ホストシステムから Red Hat Quay を実行している場合は、以下の手順を使用して、初期デプロイメント後に設定を変更できます。

  1. 前提条件

    • podman または docker がインストールされている。
  2. 設定モードで Red Hat Quay を起動します。
  3. 最初の Quay ノードで、次のコマンドを入力します。

    $ podman run --rm -it --name quay_config -p 8080:8080 \
        -v path/to/config-bundle:/conf/stack \
        registry.redhat.io/quay/quay-rhel8:v3.9.6 config <my_secret_password>
    注記

    既存の設定バンドルを変更するには、設定ディレクトリーを Quay コンテナーにマウントできます。

  4. Red Hat Quay 設定ツールが起動したら、ブラウザーを開き、設定ファイルで使用されている URL とポート (例: quay-server.example.com:8080) に移動します。
  5. ユーザー名およびパスワードを入力します。
  6. 必要に応じて Red Hat Quay クラスターを変更します。

1.1.3. TLS 証明書を使用した設定ツールのデプロイ

環境変数をランタイム変数に渡すことで、セキュアな TLS 証明書を使用して設定ツールをデプロイできます。これにより、データベースやストレージバックエンドの認証情報などの機密データが確実に保護されます。

公開鍵と秘密鍵には、設定ツールをデプロイするルートの有効なサブジェクト代替名 (SAN) が含まれている必要があります。

パスは CONFIG_TOOL_PRIVATE_KEY および CONFIG_TOOL_PUBLIC_KEY を使用して指定できます。

コンテナーからデプロイを実行している場合、CONFIG_TOOL_PRIVATE_KEY 値と CONFIG_TOOL_PUBLIC_KEY 値は、コンテナー内の証明書の場所になります。以下に例を示します。

$ podman run --rm -it --name quay_config -p 7070:8080 \

-v ${PRIVATE_KEY_PATH}:/tls/localhost.key \
-v ${PUBLIC_KEY_PATH}:/tls/localhost.crt \
-e CONFIG_TOOL_PRIVATE_KEY=/tls/localhost.key \
-e CONFIG_TOOL_PUBLIC_KEY=/tls/localhost.crt \
-e DEBUGLOG=true \
-ti config-app:dev

1.2. API を使用した Red Hat Quay の変更

Red Hat Quay API へのアクセス方法は、Red Hat Quay API ガイド を参照してください。

1.3. config.yaml ファイルを編集して Red Hat Quay の変更

Config Tool では使用できない一部の高度な設定機能は、config.yaml ファイルを直接編集することで実装できます。利用可能な設定は、Red Hat Quay 設定のスキーマ で説明します。

次の例は、config.yaml ファイルで直接変更できる設定です。

1.3.1. Red Hat Quay のサインインに名前と会社を追加

次のフィールドを設定すると、ユーザーは最初のサインイン時に名前と会社の入力を求められます。これはオプションのフィールドですが、Red Hat Quay ユーザーに関する追加データを提供できます。

---
FEATURE_USER_METADATA: true
---

1.3.2. TLS プロトコルの無効化

SSL_PROTOCOLS 設定を変更して、Red Hat Quay インスタンスでサポートしない SSL プロトコルを削除できます。たとえば、デフォルトの SSL_PROTOCOLS:['TLSv1','TLSv1.1','TLSv1.2'] から TLS v1 のサポートを削除するには、以下のように変更します。

---
SSL_PROTOCOLS : ['TLSv1.1','TLSv1.2']
---

1.3.3. API コールのレート制限

config.yaml ファイルに FEATURE_RATE_LIMITS パラメーターを追加すると、nginx は特定の API 呼び出しを 1 秒あたり 30 回に制限します。FEATURE_RATE_LIMITS が設定されていない場合、API 呼び出しは 1 秒あたり 300 回に制限され、実質的に無制限になります。

レート制限は、使用可能なリソースがトラフィックで圧倒されないようにする必要がある場合に重要です。

一部の名前空間は、CI/CD にとって重要であり、優先される場合など、無制限のアクセスが必要になる場合があります。このシナリオでは、これらの名前空間は、NON_RATE_LIMITED_NAMESPACES を使用して config.yaml ファイルのリストに配置される場合があります。

1.3.4. データベースのコネクションプールの調整

Red Hat Quay は、すべてが同じコンテナー内で実行する多くの異なるプロセスで設定されています。これらのプロセスの多くは、データベースと連動しています。

DB_CONNECTION_POOLING パラメーターを使用すると、データベースと対話する各プロセスに接続プールが含まれます。これらのプロセスごとの接続プールは、最大 20 の接続を維持するように設定されます。高負荷時には、Red Hat Quay コンテナー内のすべてのプロセスの接続プールを満たすことが可能です。特定のデプロイメントや負荷の下では、Red Hat Quay がデータベースの設定された最大接続数を超えないようにするために分析が必要になる場合があります。

時間が経つと、接続プールはアイドル接続を解放します。すべての接続をすぐに解除するには、Red Hat Quay の再起動が必要です。

DB_CONNECTION_POOLINGtrue または false に設定することで、データベース接続プールを切り替えることができます。以下に例を示します。

---
DB_CONNECTION_POOLING: true
---

DB_CONNECTION_POOLING が有効になっている場合、config.yamlDB_CONNECTION_ARGS で接続プールの最大サイズを変更できます。以下に例を示します。

---
DB_CONNECTION_ARGS:
  max_connections: 10
---

1.3.4.1. データベース接続引数

Red Hat Quay のデータベース接続設定は、config.yaml ファイル内でカスタマイズすることができます。これらは、デプロイメントのデータベースドライバー (Postgres の場合は psycopg2、MySQL の場合は pymysql など) に依存します。Peewee の接続プールメカニズムで使用される引数を渡すこともできます。以下に例を示します。

---
DB_CONNECTION_ARGS:
  max_connections: n  # Max Connection Pool size. (Connection Pooling only)
  timeout: n  # Time to hold on to connections. (Connection Pooling only)
  stale_timeout: n  # Number of seconds to block when the pool is full. (Connection Pooling only)
---

1.3.4.2. データベース SSL 設定

DB_CONNECTION_ARGS フィールドで定義されているキーと値のペアには、一般的なものもあれば、データベース固有のものもあります。特に、SSL 設定は、デプロイするデータベースによって異なります。

1.3.4.2.1. PostgreSQL SSL 接続引数

次の YAML は、サンプルの PostgreSQL SSL 設定を示しています。

---
DB_CONNECTION_ARGS:
  sslmode: verify-ca
  sslrootcert: /path/to/cacert
---

sslmode パラメーターは、安全な SSL TCP/IP 接続がサーバーにネゴシエートされるかどうか、その優先度を決定します。sslmode パラメーターには 6 つのモードがあります。

  • disabl: SSL 以外の接続のみを試行します。
  • allow: 最初に SSL 以外の接続を試行します。失敗した場合は、SSL 接続を試みます。
  • prefer: デフォルト。最初に SSL 接続を試してください。失敗した場合は、SSL 以外の接続を試してください。
  • require: SSL 接続のみを試行します。ルート CA ファイルが存在する場合は、verify-ca が指定された場合と同じ方法で接続を検証します。
  • verify-ca: SSL 接続のみを試行し、信頼された認証局 (CA) によりサーバー証明書が発行されていることを確認します。
  • verify-full: SSL 接続のみを試行します。信頼された CA によりサーバー証明書が発行され、要求されたサーバーのホスト名が証明書のホスト名と一致することを確認します。

PostgreSQL の有効な引数の詳細は、Database Connection Control Functions を参照してください。

1.3.4.2.2. MySQL SSL 接続引数

次の YAML は、サンプルの MySQL SSL 設定を示しています。

---
DB_CONNECTION_ARGS:
  ssl:
    ca: /path/to/cacert
---

MySQL の有効な接続引数の詳細については、Connecting to the Server Using URI-Like Strings or Key-Value Pairs を参照してください。

1.3.4.3. HTTP 接続回数

環境変数を使用して、HTTP の同時接続数を指定することができます。環境変数は、全体として、または特定のコンポーネントに対して指定できます。それぞれのデフォルトは、1 プロセスあたり 50 並列接続です。環境変数の例については、次の YAML を参照してください。

---
WORKER_CONNECTION_COUNT_REGISTRY=n
WORKER_CONNECTION_COUNT_WEB=n
WORKER_CONNECTION_COUNT_SECSCAN=n
WORKER_CONNECTION_COUNT=n
---
注記

特定のコンポーネントの数を指定すると、WORKER_CONNECTION_COUNT 設定フィールドに設定されたすべての値が上書きされます。

1.3.4.4. ダイナミックなプロセスカウント

ダイナミックサイズのプロセスの量を推定するために、デフォルトでは以下の計算が行われます。

注記

Red Hat Quay は、マシン全体から利用可能な CPU 数を照会します。kubernetes またはその他の仮想化されていないメカニズムを使用して適用される制限は、この動作には影響しません。Red Hat Quay は、ノード上のプロセッサーの総数に基づいて計算を行います。記載されているデフォルト値は単なる目標値であり、最大値を超えてはならず、最小値を下回ってはならない。

以下の各プロセス量は、以下に指定する環境変数でオーバーライドすることができます。

  • registry - レジストリーアクションを処理するための HTTP エンドポイントを提供します。

    • 最小値: 8
    • 最大値: 64
    • デフォルト: $CPU_COUNT x 4
    • 環境変数: WORKER_COUNT_REGISTRY
  • web - ウェブベースのインターフェイス用の HTTP エンドポイントを提供します

    • 最小値: 2
    • 最大値: 32
    • デフォルト: $CPU_COUNT x 2
    • 環境変数: WORKER_COUNT_WEB
  • secscan - Clair と相互作用します。

    • 最小値: 2
    • 最大値: 4
    • デフォルト: $CPU_COUNT x 2
    • 環境変数: WORKER_COUNT_SECSCAN

1.3.4.5. 環境変数

Red Hat Quay では、環境変数を使用してデフォルトの動作をオーバーライドすることができます。以下の表では、各変数と、使用できる値を一覧にして説明しています。

表1.1 ワーカー数の環境変数

変数説明

WORKER_COUNT_REGISTRY

Quay コンテナー内のレジストリー要求を処理するプロセス数を指定します。

8 - 64 の整数

WORKER_COUNT_WEB

コンテナー内で UI/Web リクエストを処理するプロセスの数を指定します。

2 - 32 の整数

WORKER_COUNT_SECSCAN

コンテナー内でセキュリティースキャン (Clair など) の統合を処理するプロセス数を指定します。

integerOperator がリソースの要求と制限に 2 vCPU を指定するため、この値は 2 から 4 に設定するのが安全です。ただし、ユーザーは、保証があれば、それ以上 (たとえば 16) 実行できます。

DB_CONNECTION_POOLING

データベースのコネクションプーリングを切り替えます。

true または false

1.3.4.6. コネクションプーリングの停止

大量のユーザーアクティビティーを伴う Red Hat Quay のデプロイメントでは、定期的に最大 2k のデータベース接続制限に達することがあります。このような場合、Red Hat Quay でデフォルトで有効になっているコネクションプーリングは、データベース接続数が指数関数的に増加する原因となるため、コネクションプーリングをオフにする必要があります。

接続プールをオフにするだけでは、データベース接続制限値の 2k に達することを阻止できない場合は、問題に対処するための追加の手順を踏む必要があります。この場合、ワークロードに合わせてデータベースの最大接続数を増やす必要があるかもしれません。

第2章 コンフィグレーション API の利用

コンフィグレーションツールは、設定の構築、検証、バンドル、およびデプロイに使用できる 4 つのエンドポイントを示します。config-tool の API は、https://github.com/quay/config-tool/blob/master/pkg/lib/editor/API.md に記載されています。ここでは、API を使用して現在の設定を取得する方法と、変更した内容を検証する方法について説明します。

2.1. 初期設定値の取得

初めてコンフィグレーションツールを実行するときに、既存のコンフィグレーションがない場合は、デフォルトのコンフィグレーションを取得することができます。コンテナーをコンフィグモードで起動します。

$ sudo podman run --rm -it --name quay_config \
  -p 8080:8080 \
  registry.redhat.io/quay/quay-rhel8:v3.9.6 config secret

デフォルトを取得するには、コンフィグレーション API の config エンドポイントを使用します。

$ curl -X GET -u quayconfig:secret http://quay-server:8080/api/v1/config  | jq

返される値は、JSON 形式によるデフォルト設定です。

{
  "config.yaml": {
    "AUTHENTICATION_TYPE": "Database",
    "AVATAR_KIND": "local",
    "DB_CONNECTION_ARGS": {
      "autorollback": true,
      "threadlocals": true
    },
    "DEFAULT_TAG_EXPIRATION": "2w",
    "EXTERNAL_TLS_TERMINATION": false,
    "FEATURE_ACTION_LOG_ROTATION": false,
    "FEATURE_ANONYMOUS_ACCESS": true,
    "FEATURE_APP_SPECIFIC_TOKENS": true,
    ....
  }

}

2.2. 現在の設定の取得

すでに Quay レジストリーを設定してデプロイしている場合は、コンテナーを停止してコンフィグレーションモードで再起動し、既存のコンフィグレーションをボリュームとして読み込みます。

$ sudo podman run --rm -it --name quay_config \
  -p 8080:8080 \
  -v $QUAY/config:/conf/stack:Z \
  registry.redhat.io/quay/quay-rhel8:v3.9.6 config secret

現在の設定を取得するには、API の config エンドポイントを使用します。

$ curl -X GET -u quayconfig:secret http://quay-server:8080/api/v1/config  | jq

返される値は、データベースと Redis の設定データを含む、JSON 形式の現在の設定です。

{
  "config.yaml": {
    ....
    "BROWSER_API_CALLS_XHR_ONLY": false,
    "BUILDLOGS_REDIS": {
      "host": "quay-server",
      "password": "strongpassword",
      "port": 6379
    },
    "DATABASE_SECRET_KEY": "4b1c5663-88c6-47ac-b4a8-bb594660f08b",
    "DB_CONNECTION_ARGS": {
      "autorollback": true,
      "threadlocals": true
    },
    "DB_URI": "postgresql://quayuser:quaypass@quay-server:5432/quay",
    "DEFAULT_TAG_EXPIRATION": "2w",
    ....


  }

}

2.3. API による設定の検証

設定を検証するには、config/validate エンドポイントに設定を投稿します。

curl -u quayconfig:secret --header 'Content-Type: application/json' --request POST --data '
{
  "config.yaml": {
    ....
    "BROWSER_API_CALLS_XHR_ONLY": false,
    "BUILDLOGS_REDIS": {
      "host": "quay-server",
      "password": "strongpassword",
      "port": 6379
    },
    "DATABASE_SECRET_KEY": "4b1c5663-88c6-47ac-b4a8-bb594660f08b",
    "DB_CONNECTION_ARGS": {
      "autorollback": true,
      "threadlocals": true
    },
    "DB_URI": "postgresql://quayuser:quaypass@quay-server:5432/quay",
    "DEFAULT_TAG_EXPIRATION": "2w",
    ....

  }

} http://quay-server:8080/api/v1/config/validate | jq

返される値は、設定で見つかったエラーを含む配列です。設定が有効であれば、空の配列 [] が返されます。

2.4. 必須項目の決定

空の設定構造を config/validate エンドポイントに投稿することで、必須フィールドを決定することができます。

curl -u quayconfig:secret --header 'Content-Type: application/json' --request POST --data '
{
  "config.yaml": {
  }

} http://quay-server:8080/api/v1/config/validate | jq

返される値は、どのフィールドが必須であるかを示す配列です。

[
  {
    "FieldGroup": "Database",
    "Tags": [
      "DB_URI"
    ],
    "Message": "DB_URI is required."
  },
  {
    "FieldGroup": "DistributedStorage",
    "Tags": [
      "DISTRIBUTED_STORAGE_CONFIG"
    ],
    "Message": "DISTRIBUTED_STORAGE_CONFIG must contain at least one storage location."
  },
  {
    "FieldGroup": "HostSettings",
    "Tags": [
      "SERVER_HOSTNAME"
    ],
    "Message": "SERVER_HOSTNAME is required"
  },
  {
    "FieldGroup": "HostSettings",
    "Tags": [
      "SERVER_HOSTNAME"
    ],
    "Message": "SERVER_HOSTNAME must be of type Hostname"
  },
  {
    "FieldGroup": "Redis",
    "Tags": [
      "BUILDLOGS_REDIS"
    ],
    "Message": "BUILDLOGS_REDIS is required"
  }
]

第3章 Red Hat Quay のリリース通知の取得

Red Hat Quay の最新リリースや Red Hat Quay に関連するその他の変更を確認するには、Red Hat Customer Portal で更新通知に登録してください。通知に登録すると、Red Hat Quay の新しいバージョン、ドキュメントの更新、その他の Red Hat Quay のニュースをお知らせする通知を受け取ることができます。

  1. Red Hat カスタマーアカウントの認証情報を使用して Red Hat カスタマーポータル にログインします。
  2. ユーザー名 (右上隅) を選択して、Red Hat アカウントとカスタマーポータルの選択を表示します。 View account and portal selections
  3. Notifications を選択します。あなたのプロフィール活動ページが表示されます。
  4. Notifications タブを選択します。
  5. Manage Notifications を選択します。
  6. Follow を選択し、ドロップダウンボックスから Product を選択します。
  7. 製品の横にあるドロップダウンボックスで、Red Hat Quay を検索して選択します。 Select Products from notifications box
  8. SAVE NOTIFICATION ボタンを選択します。今後、Red Hat Quay 製品に新しいリリースなどの変更があった場合には、通知が届きます。

第4章 SSL を使用した Red Hat Quay への接続の保護

4.1. SSL/TLS の使用

自己署名証明書 で Red Hat Quay を設定するには、認証局 (CA) を作成して、必要なキーおよび証明書ファイルを生成する必要があります。

注記

以下の例では、/etc/hosts ファイルにエントリーを追加するなど、DNS または別の命名メカニズムを使用してサーバーホスト名 quay-server.example.com を設定していることを前提としています。

$ cat /etc/hosts
...
192.168.1.112   quay-server.example.com

4.2. 認証局の作成と証明書への署名

次の手順を使用して、ssl.cert および ssl.key という名前の証明書ファイルとプライマリーキーファイルを作成します。

4.2.1. 認証局の作成

認証局 (CA) を作成するには、次の手順を使用します。

手順

  1. 次のコマンドを入力して、ルート CA キーを生成します。

    $ openssl genrsa -out rootCA.key 2048
  2. 次のコマンドを入力して、ルート CA 証明書を生成します。

    $ openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 1024 -out rootCA.pem
  3. サーバーのホスト名など、証明書の要求に組み込まれる情報を入力します。以下に例を示します。

    Country Name (2 letter code) [XX]:IE
    State or Province Name (full name) []:GALWAY
    Locality Name (eg, city) [Default City]:GALWAY
    Organization Name (eg, company) [Default Company Ltd]:QUAY
    Organizational Unit Name (eg, section) []:DOCS
    Common Name (eg, your name or your server's hostname) []:quay-server.example.com

4.2.2. 証明書への署名

証明書に署名するには、次の手順を使用します。

手順

  1. 次のコマンドを入力してサーバーキーを生成します。

    $ openssl genrsa -out ssl.key 2048
  2. 次のコマンドを入力して、署名リクエストを生成します。

    $ openssl req -new -key ssl.key -out ssl.csr
  3. サーバーのホスト名など、証明書の要求に組み込まれる情報を入力します。以下に例を示します。

    Country Name (2 letter code) [XX]:IE
    State or Province Name (full name) []:GALWAY
    Locality Name (eg, city) [Default City]:GALWAY
    Organization Name (eg, company) [Default Company Ltd]:QUAY
    Organizational Unit Name (eg, section) []:DOCS
    Common Name (eg, your name or your server's hostname) []:quay-server.example.com
  4. 以下のようにサーバーのホスト名を指定して、設定ファイルの openssl.cnf を作成します。

    openssl.cnf

    [req]
    req_extensions = v3_req
    distinguished_name = req_distinguished_name
    [req_distinguished_name]
    [ v3_req ]
    basicConstraints = CA:FALSE
    keyUsage = nonRepudiation, digitalSignature, keyEncipherment
    subjectAltName = @alt_names
    [alt_names]
    DNS.1 = quay-server.example.com
    IP.1 = 192.168.1.112

  5. 設定ファイルを使用して、証明書 ssl.cert を生成します。

    $ openssl x509 -req -in ssl.csr -CA rootCA.pem -CAkey rootCA.key -CAcreateserial -out ssl.cert -days 356 -extensions v3_req -extfile openssl.cnf

4.3. コマンドラインインターフェイスを使用した SSL の設定

コマンドラインインターフェイスを使用して SSL/TLS を設定するには、次の手順を実行します。

前提条件

  • 認証局を作成して証明書に署名している。

手順

  1. 証明書ファイルとプライマリーキーファイルを設定ディレクトリーにコピーして、それぞれ ssl.certssl.key という名前が付けられていることを確認します。

    cp ~/ssl.cert ~/ssl.key $QUAY/config
  2. 次のコマンドを入力して、$QUAY/config ディレクトリーに移動します。

    $ cd $QUAY/config
  3. config.yaml ファイルを編集し、Red Hat Quay が TLS/SSL を処理するように指定します。

    config.yaml

    ...
    SERVER_HOSTNAME: quay-server.example.com
    ...
    PREFERRED_URL_SCHEME: https
    ...

  4. オプション: 次のコマンドを入力して、rootCA.pem ファイルの内容を ssl.cert ファイルの末尾に追加します。

    $ cat rootCA.pem >> ssl.cert
  5. 次のコマンドを入力して、Quay コンテナーを停止します。

    $ sudo podman stop quay
  6. 次のコマンドを入力してレジストリーを再起動します。

    $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
      --name=quay \
      -v $QUAY/config:/conf/stack:Z \
      -v $QUAY/storage:/datastorage:Z \
      registry.redhat.io/quay/quay-rhel8:v3.9.6

4.4. Red Hat Quay UI を使用した SSL/TLS の設定

Red Hat Quay UI を使用して SSL/TLS を設定するには、次の手順を実行します。

コマンドラインインターフェイスを使用して SSL を設定するには、コマンドラインインターフェイスを使用した SSL/TLS の設定を参照してください。

前提条件

  • 認証局を作成して証明書に署名している。

手順

  1. Quay コンテナーを設定モードで起動します。

    $ sudo podman run --rm -it --name quay_config -p 80:8080 -p 443:8443 registry.redhat.io/quay/quay-rhel8:v3.9.6 config secret
  2. Server Configuration セクションで、Red Hat Quay handles TLS を選択します。前に作成した証明書ファイルと秘密鍵ファイルをアップロードし、Server Hostname 証明書の作成時に使用された値と一致することを確認します。
  3. 更新された設定を検証およびダウンロードします。
  4. 次のコマンドを入力して、Quay コンテナーを停止し、レジストリーを再起動します。

    $ sudo podman rm -f quay
    $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
    --name=quay \
    -v $QUAY/config:/conf/stack:Z \
    -v $QUAY/storage:/datastorage:Z \
    registry.redhat.io/quay/quay-rhel8:v3.9.6

4.5. コマンドラインを使用した SSL 設定のテスト

  • Podman login コマンドを使用して、SSL が有効になっている Quay レジストリーへのログインを試みます。

    $ sudo podman login quay-server.example.com
    Username: quayadmin
    Password:
    
    Error: error authenticating creds for "quay-server.example.com": error pinging docker registry quay-server.example.com: Get "https://quay-server.example.com/v2/": x509: certificate signed by unknown authority
  • Podman は自己署名証明書を信頼しません。回避策として、--tls-verify オプションを使用します。

    $ sudo podman login --tls-verify=false quay-server.example.com
    Username: quayadmin
    Password:
    
    Login Succeeded!

ルート認証局 (CA) を信頼するように Podman を設定する方法は、後続のセクションで説明します。

4.6. ブラウザーを使用した SSL 設定のテスト

Quay レジストリーへのアクセス (この場合は https://quay-server.example.com) を試みると、ブラウザーで潜在的なリスクが警告されます。

Potential risk

画面にログインすると、ブラウザーは接続が安全ではないことを通知します。

Connection not secure

ルート認証局 (CA) を信頼するようにシステムを設定する方法は、後続のセクションで説明します。

4.7. 認証局を信頼するように Podman を設定する

Podman は、/etc/containers/certs.d/ および /etc/docker/certs.d/ の 2 つのパスを使用して CA ファイルを見つけます。

  • ルート CA ファイルをこれらの場所のいずれかにコピーし、サーバーのホスト名により判別されるパスを使用して、ca.crt ファイルに名前を付けます。

    $ sudo cp rootCA.pem /etc/containers/certs.d/quay-server.example.com/ca.crt
  • または、Docker を使用している場合は、ルート CA ファイルを同等の Docker ディレクトリーにコピーします。

    $ sudo cp rootCA.pem /etc/docker/certs.d/quay-server.example.com/ca.crt

レジストリーにログインする際に、--tls-verify=false オプションを使用する必要がなくなります。

$ sudo podman login quay-server.example.com

Username: quayadmin
Password:
Login Succeeded!

4.8. 認証局を信頼するようにシステムを設定

認証局を信頼するようにシステムを設定するには、次の手順を使用します。

手順

  1. 次のコマンドを入力して、rootCA.pem ファイルをシステム全体の統合トラストストアにコピーします。

    $ sudo cp rootCA.pem /etc/pki/ca-trust/source/anchors/
  2. 次のコマンドを入力して、システム全体のトラストストア設定を更新します。

    $ sudo update-ca-trust extract
  3. オプション: trust list コマンドを使用して、Quay サーバーが設定されていることを確認できます。

    $ trust list | grep quay
        label: quay-server.example.com

    https://quay-server.example.com でレジストリーを参照すると、接続が安全であることを示すロックアイコンが表示されます。

    Connection not secure

  4. rootCA.pem ファイルをシステム全体の信頼から削除するには、ファイルを削除して設定を更新します。

    $ sudo rm /etc/pki/ca-trust/source/anchors/rootCA.pem
    $ sudo update-ca-trust extract
    $ trust list | grep quay

詳細は、RHEL 9 のドキュメントの 共有システム証明書の使用 を参照してください。

第5章 Red Hat Quay コンテナーへの TLS 証明書の追加

カスタム TLS 証明書を Red Hat Quay に追加するには、Red Hat Quay の config ディレクトリーの下に extra_ca_certs/ という名前の新しいディレクトリーを作成します。必要なサイト固有の TLS 証明書をこの新しいディレクトリーにコピーします。

5.1. TLS 証明書を Red Hat Quay に追加

  1. コンテナーに追加される証明書を表示します。

    $ cat storage.crt
    -----BEGIN CERTIFICATE-----
    MIIDTTCCAjWgAwIBAgIJAMVr9ngjJhzbMA0GCSqGSIb3DQEBCwUAMD0xCzAJBgNV
    [...]
    -----END CERTIFICATE-----
  2. certs ディレクトリーを作成し、そこに証明書をコピーします。

    $ mkdir -p quay/config/extra_ca_certs
    $ cp storage.crt quay/config/extra_ca_certs/
    $ tree quay/config/
    ├── config.yaml
    ├── extra_ca_certs
    │   ├── storage.crt
  3. Quay コンテナーの CONTAINER IDpodman ps で取得します。

    $ sudo podman ps
    CONTAINER ID        IMAGE                                COMMAND                  CREATED             STATUS              PORTS
    5a3e82c4a75f        <registry>/<repo>/quay:v3.9.6 "/sbin/my_init"          24 hours ago        Up 18 hours         0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 443/tcp   grave_keller
  4. その ID でコンテナーを再起動します。

    $ sudo podman restart 5a3e82c4a75f
  5. コンテナーの名前空間にコピーされた証明書を調べます。

    $ sudo podman exec -it 5a3e82c4a75f cat /etc/ssl/certs/storage.pem
    -----BEGIN CERTIFICATE-----
    MIIDTTCCAjWgAwIBAgIJAMVr9ngjJhzbMA0GCSqGSIb3DQEBCwUAMD0xCzAJBgNV

5.2. Red Hat Quay が Kubernetes にデプロイされている場合のカスタム SSL/TLS 証明書の追加

Kubernetes にデプロイすると、Red Hat Quay は config アセットを保存するボリュームとしてシークレットにマウントします。現在、これによりスーパーユーザーパネルの証明書のアップロード機能が中断されます。

一時的な回避策として、Red Hat Quay の デプロイ後 に、base64 でエンコードされた証明書をシークレットに追加できます。

Red Hat Quay が Kubernetes にデプロイされている場合は、次の手順を使用してカスタム SSL/TLS 証明書を追加します。

前提条件

  • Red Hat Quay がデプロイされている。
  • カスタムの ca.crt ファイルがある。

手順

  1. 次のコマンドを入力して、SSL/TLS 証明書の内容を Base64 でエンコードします。

    $ cat ca.crt | base64 -w 0

    出力例

    ...c1psWGpqeGlPQmNEWkJPMjJ5d0pDemVnR2QNCnRsbW9JdEF4YnFSdVd3PT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo=

  2. 次の kubectl コマンドを入力して、quay-enterprise-config-secret ファイルを編集します。

    $ kubectl --namespace quay-enterprise edit secret/quay-enterprise-config-secret
  3. 証明書のエントリーを追加し、base64 でエンコードされた完全なストリンガーをエントリーの下に貼り付けます。以下に例を示します。

      custom-cert.crt:
    c1psWGpqeGlPQmNEWkJPMjJ5d0pDemVnR2QNCnRsbW9JdEF4YnFSdVd3PT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo=
  4. kubectl delete コマンドを使用して、すべての Red Hat Quay Pod を削除します。以下に例を示します。

    $ kubectl delete pod quay-operator.v3.7.1-6f9d859bd-p5ftc quayregistry-clair-postgres-7487f5bd86-xnxpr quayregistry-quay-app-upgrade-xq2v6 quayregistry-quay-config-editor-6dfdcfc44f-hlvwm quayregistry-quay-database-859d5445ff-cqthr quayregistry-quay-redis-84f888776f-hhgms

    その後、Red Hat Quay デプロイメントにより、Pod を新しい証明書データに置き換えるスケジュールが自動的に設定されます。

第6章 Elasticsearch と Splunk のアクションログストレージの設定

デフォルトでは、過去 3 か月の使用状況ログが Red Hat Quay データベースに保存され、Web UI を通じて組織レベルおよびリポジトリーレベルで公開されます。ログエントリーを見るには、適切な管理者権限が必要です。ログに記録された操作が大量にあるデプロイメントの場合は、Red Hat Quay データベースバックエンドの代わりに Elasticsearch と Splunk に使用ログを保存できます。

6.1. Elasticsearch のアクションログストレージの設定

注記

Elasticsearch のアクションログストレージを設定するには、カスタマイズ可能なコンポーネントとして Red Hat Quay に含まれていないため、独自の Elasticsearch スタックを提供する必要があります。

Elasticsearch ロギングの有効化は、Red Hat Quay のデプロイメント中またはデプロイメント後に設定ツールを使用して行うことができます。出来上がった設定は、config.yaml ファイルに格納されます。設定すると、Web UI を介してリポジトリーと組織の使用状況ログへのアクセスが引き続き提供されます。

Elasticsearch のアクションログストレージを設定するには、次の手順を使用します。

手順

  1. Elasticsearch のアカウントを取得します。
  2. Red Hat Quay Config Tool を開きます (Red Hat Quay のデプロイ中またはデプロイ後)。
  3. Action Log Storage Configuration 設定までスクロールし、Elasticsearch を選択します。次の図は、表示される Elasticsearch の設定です。

    Choose Elasticsearch to view settings to store logs

  4. 使用する Elasticsearch インスタンスの以下の情報を入力します。

    • Elasticsearch hostname: Elasticsearch サービスを提供するシステムのホスト名または IP アドレス。
    • Elasticsearch port: 上で入力したホストで Elasticsearch サービスを提供しているポート番号。ポートが、Red Hat Quay レジストリーを実行しているすべてのシステムからアクセス可能でなければならないことに注意してください。デフォルトは TCP ポート 9200 です。
    • Elasticsearch access key: 必要に応じて、Elasticsearch サービスにアクセスするために必要なアクセスキーです。
    • Elasticsearch secret key: 必要に応じて、Elasticsearch サービスにアクセスするために必要な秘密鍵。
    • AWS region: AWS 上で運用している場合は、AWS リージョンを設定します (そうでない場合は、空欄のままです)。
    • Index prefix: ログエントリーに付ける接頭辞を選択します。
    • Logs Producer: Elasticsearch (デフォルト) または Kinesis のいずれかを選択し、ログを AWS 上の中間的な Kinesis ストリームに導きます。Kinesis から Elasticsearch (Logstash など) にログを送るには、独自のパイプラインを設定する必要があります。次の図は、Kinesis に必要な追加フィールドを示しています。

      On AWS optionally set up an intermediate Kinesis stream

  5. Logs Producer として Elasticsearch を選択した場合、これ以上の設定は必要ありません。Kinesis を選択した場合、以下を記入してください。

    • ストリーム名: Kinesis のストリームの名前。
    • AWS access key: Kinesis ストリームへのアクセスを得るために必要な AWS アクセスキーの名前 (必要な場合)。
    • AWS secret key: Kinesis ストリームにアクセスするために必要な AWS シークレットキーの名前 (必要な場合)。
    • AWS region: AWS のリージョン。
  6. 完了したら、設定を保存します。設定ツールが設定をチェックします。Elasticsearch または Kinesis サービスへの接続に問題がある場合は、エラーが表示され、編集を続ける機会が与えられます。そうしないと、新しい設定に伴いでクラスターが再起動した後に、ロギングがあなたの Elasticsearch 設定に対して開始されます。

6.2. Splunk のアクションログストレージの設定

Splunk は、Red Hat Quay データのログ分析を提供できる Elasticsearch の代替手段です。

Splunk ロギングの有効化は、Red Hat Quay のデプロイメント中またはデプロイメント後に設定ツールを使用して行うことができます。出来上がった設定は、config.yaml ファイルに格納されます。設定すると、Splunk Web UI を介してリポジトリーと組織の使用状況ログへのアクセスが引き続き提供されます。

Red Hat Quay デプロイメントで Splunk を有効にするには、次の手順を使用します。

6.2.1. Splunk のインストールとユーザー名の作成

Splunk 認証情報をインストールして作成するには、次の手順を使用します。

手順

  1. Splunk に移動し、必要な認証情報を入力して、Splunk アカウントを作成します。
  2. Splunk EnterpriseFree Trial ページに移動し、プラットフォームとインストールパッケージを選択して、Download Now をクリックします。
  3. マシンに Splunk ソフトウェアをインストールします。プロンプトが表示されたら、splunk_admin などのユーザー名とパスワードを作成します。
  4. ユーザー名とパスワードを作成すると、Splunk 導入用のローカルホスト URL (例: http://<sample_url>.remote.csb:8000/) が提供されます。お好みのブラウザーで URL を開きます。
  5. インストール時に作成したユーザー名とパスワードを使用してログインします。Splunk UI にリダイレクトします。

6.2.2. Splunk トークンの生成

次のいずれかの手順を使用して、Splunk のベアラートークンを作成します。

6.2.2.1. Splunk UI を使用した Splunk トークンの生成

Splunk UI を使用して Splunk のベアラートークンを作成するには、次の手順を実行します。

前提条件

  • Splunk をインストールし、ユーザー名を作成している。

手順

  1. Splunk UI で、SettingsTokens に移動します。
  2. Enable Token Authentication をクリックします。
  3. 必要に応じて、Token Settings をクリックし、Token Authentication を選択して、Token Authentication が有効になっていることを確認します。
  4. オプション: トークンの有効期限を設定します。このデフォルトは 30 日です。
  5. Save をクリックします。
  6. New Token をクリックします。
  7. User および Audience の情報を入力します。
  8. オプション: Expiration および Not Before 情報を設定します。
  9. Create をクリックします。トークンが Token ボックスに表示されます。トークンをすぐにコピーします。

    重要

    トークンをコピーする前にボックスを閉じた場合は、新しいトークンを作成する必要があります。New Token ウィンドウを閉じると、トークン全体が使用できなくなります。

6.2.2.2. CLI を使用した Splunk トークンの生成

Splunk UI を使用して CLI のベアラートークンを作成するには、次の手順を実行します。

前提条件

  • Splunk をインストールし、ユーザー名を作成している。

手順

  1. CLI で次の CURL コマンドを入力してトークン認証を有効にし、Splunk ユーザー名とパスワードを渡します。

    $ curl -k -u <username>:<password> -X POST <scheme>://<host>:<port>/services/admin/token-auth/tokens_auth -d disabled=false
  2. 次の CURL コマンドを入力し、Splunk ユーザー名とパスワードを渡してトークンを作成します。

    $ curl -k -u <username>:<password> -X POST <scheme>://<host>:<port>/services/authorization/tokens?output_mode=json --data name=<username> --data audience=Users --data-urlencode expires_on=+30d
  3. 生成されたベアラートークンを保存します。

6.2.3. Splunk を使用するための Red Hat Quay の設定

Splunk を使用するように Red Hat Quay を設定するには、次の手順を使用します。

前提条件

  • Splunk をインストールし、ユーザー名を作成している。
  • Splunk ベアラートークンを生成している。

手順

  1. Red Hat Quay config.yaml ファイルを開き、次の設定フィールドを追加します。

    ---
    LOGS_MODEL: splunk
    LOGS_MODEL_CONFIG:
        producer: splunk
        splunk_config:
            host: http://<user_name>.remote.csb 1
            port: 8089 2
            bearer_token: <bearer_token> 3
            url_scheme: <http/https> 4
            verify_ssl: False 5
            index_prefix: <splunk_log_index_name> 6
            ssl_ca_path: <location_to_ssl-ca-cert.pem> 7
    ---
    1
    文字列。Splunk クラスターのエンドポイント。
    2
    integerSplunk 管理クラスターのエンドポイントポート。Splunk GUI でホストされるポートとは異なります。Splunk UI の SettingsServer SettingsGeneral Settings にあります。
    3
    文字列。Splunk 用に生成されたベアラートークン。
    4
    文字列。Splunk サービスにアクセスするための URL スキーム。Splunk が TLS/SSL を使用するように設定されている場合、これは https である必要があります。
    5
    ブール値。TLS/SSL を有効にするかどうか。デフォルトは true です。
    6
    文字列。Splunk インデックスの接頭辞。新しいインデックスまたは使用済みのインデックスを使用できます。Splunk UI から作成できます。
    7
    文字列。TLS/SSL 検証用の認証局 (CA) を含む単一の .pem ファイルへの相対コンテナーパス。
  2. ssl_ca_path を設定している場合は、Red Hat Quay が信頼するように SSL/TLS 証明書を設定する必要があります。

    1. Red Hat Quay のスタンドアロンデプロイメントを使用している場合は、証明書ファイルを extra_ca_certs ディレクトリー内、または相対コンテナーパス内に配置して ssl_ca_path で指定することで、SSL/TLS 証明書を提供できます。
    2. Red Hat Quay Operator を使用している場合は、Splunk サーバーの認証局 (CA) を含む設定バンドルのシークレットを作成します。以下に例を示します。

      $ oc create secret generic --from-file config.yaml=./config_390.yaml --from-file extra_ca_cert_splunkserver.crt=./splunkserver.crt config-bundle-secret

      config.yamlconf/stack/extra_ca_certs/splunkserver.crt ファイルを指定します。以下に例を示します。

      LOGS_MODEL: splunk
      LOGS_MODEL_CONFIG:
          producer: splunk
          splunk_config:
              host: ec2-12-345-67-891.us-east-2.compute.amazonaws.com
              port: 8089
              bearer_token: eyJra
              url_scheme: https
              verify_ssl: true
              index_prefix: quay123456
              ssl_ca_path: conf/stack/splunkserver.crt

6.2.4. アクションログの作成

次の手順を使用して、アクションログを Splunk に転送できるユーザーアカウントを作成します。

重要

Red Hat Quay アクションログを表示するには、Splunk UI を使用する必要があります。現時点では、Red Hat Quay 使用状況ログ ページでの Splunk アクションログの表示はサポートされておらず、次のメッセージが返されます。Method not implemented.Splunk does not support log lookups

前提条件

  • Splunk をインストールし、ユーザー名を作成している。
  • Splunk ベアラートークンを生成している。
  • Splunk を有効にするように Red Hat Quay config.yaml ファイルを設定している。

手順

  1. Red Hat Quay デプロイメントにログインします。
  2. Splunk のアクションログの作成に使用する組織の名前をクリックします。
  3. ナビゲーションウィンドウで、Robot AccountsCreate Robot Account をクリックします。
  4. プロンプトが表示されたら、ロボットアカウントの名前 (例: spunkrobotaccount) を入力して、Create robot account をクリックします。
  5. ブラウザーで Splunk UI を開きます。
  6. Search and Reporting をクリックします。
  7. 検索バーにインデックスの名前 (例: <splunk_log_index_name>) を入力し、Enter を押します。

    検索結果が Splunk UI に表示され、hostsourcetype などの情報が表示されます。> 矢印をクリックすると、ip、JSON メタデータ、アカウント名などのログのメタデータが表示されます。

第7章 Red Hat Quay の Clair

Clair v4 (Clair) は、静的コード分析を活用してイメージコンテンツを解析し、コンテンツに影響を与える脆弱性を報告するオープンソースアプリケーションです。Clair は Red Hat Quay にパッケージ化されており、スタンドアロンと Operator デプロイメントの両方で使用できます。エンタープライズ環境に合わせてコンポーネントを個別にスケーリングできる、非常にスケーラブルな設定で実行できます。

7.1. Clair 脆弱性データベース

Clair は、次の脆弱性データベースを使用して、イメージの問題を報告します。

  • Ubuntu Oval データベース
  • Debian Security Tracker
  • Red Hat Enterprise Linux (RHEL) Oval データベース
  • SUSE Oval データベース
  • Oracle Oval データベース
  • アルパイン SecDB データベース
  • VMWare Photon OS データベース
  • Amazon Web Services (AWS) UpdateInfo
  • Open Source Vulnerability (OSV) Database

Clair がさまざまなデータベースでセキュリティーマッピングを行う方法は、Claircore Severity Mapping を参照してください。

7.1.1. Clair の Open Source Vulnerability (OSV) データベースに関する情報

Open Source Vulnerability (OSV) は、オープンソースソフトウェアのセキュリティー脆弱性の追跡と管理に重点を置いた脆弱性データベースおよび監視サービスです。

OSV は、オープンソースプロジェクトにおける既知のセキュリティー脆弱性の包括的かつ最新のデータベースを提供します。ソフトウェア開発で使用されるライブラリー、フレームワーク、その他のコンポーネントを含む、幅広いオープンソースソフトウェアを対象としています。対象エコシステムの完全なリストについては、定義されているエコシステム を参照してください。

Clair は、Open Source Vulnerability (OSV) データベースを通じて、golangjava、および ruby エコシステムの脆弱性とセキュリティー情報も報告します。

開発者や組織は、OSV を活用することで、使用するオープンソースコンポーネントのセキュリティー脆弱性をプロアクティブに監視して対処できるため、プロジェクトにおけるセキュリティー違反やデータ漏洩のリスクを軽減できます。

OSV の詳細は、OSV Web サイト を参照してください。

7.2. スタンドアロンの Red Hat Quay デプロイメントでの Clair のセットアップ

スタンドアロンの Red Hat Quay デプロイメントの場合、Clair を手動でセットアップできます。

手順

  1. Red Hat Quay インストールディレクトリーに、Clair データベースデータ用の新しいディレクトリーを作成します。

    $ mkdir /home/<user-name>/quay-poc/postgres-clairv4
  2. 次のコマンドを入力して、postgres-clairv4 ファイルに適切な権限を設定します。

    $ setfacl -m u:26:-wx /home/<user-name>/quay-poc/postgres-clairv4
  3. 次のコマンドを入力して、Clair Postgres データベースをデプロイします。

    $ sudo podman run -d --name postgresql-clairv4 \
      -e POSTGRESQL_USER=clairuser \
      -e POSTGRESQL_PASSWORD=clairpass \
      -e POSTGRESQL_DATABASE=clair \
      -e POSTGRESQL_ADMIN_PASSWORD=adminpass \
      -p 5433:5433 \
      -v /home/<user-name>/quay-poc/postgres-clairv4:/var/lib/pgsql/data:Z \
      registry.redhat.io/rhel8/postgresql-13:1-109
  4. Clair デプロイメント用に Postgres uuid-ossp モジュールをインストールします。

    $ podman exec -it postgresql-clairv4 /bin/bash -c 'echo "CREATE EXTENSION IF NOT EXISTS \"uuid-ossp\"" | psql -d clair -U postgres'

    出力例

    CREATE EXTENSION

    注記

    Clair では、uuid-ossp 拡張機能を Postgres データベースに追加する必要があります。適切な権限を持つユーザーの場合は、拡張機能を作成すると、Clair によって自動的に追加されます。ユーザーが適切な権限を持っていない場合は、Clair を開始する前に拡張機能を追加する必要があります。

    拡張機能が存在しない場合は、Clair が起動しようとすると、ERROR: Please load the "uuid-ossp" extension.(SQLSTATE 42501) エラーが発生します。

  5. 実行中の場合は、Quay コンテナーを停止し、設定モードで再始動して、既存の設定をボリュームとしてロードします。

    $ sudo podman run --rm -it --name quay_config \
      -p 80:8080 -p 443:8443 \
      -v $QUAY/config:/conf/stack:Z \
      registry.redhat.io/quay/quay-rhel8:{productminv} config secret
  6. 設定ツールにログインし、UI の Security Scanner セクションで Enable Security Scanning をクリックします。
  7. quay-server システムでまだ使用されていないポート (8081 など) を使用して、Clair の HTTP エンドポイントを設定します。
  8. Generate PSK ボタンを使用して、事前共有キー (PSK) を作成します。

    セキュリティースキャナー UI

    Security Scanner

  9. Red Hat Quay の config.yaml ファイルを検証してダウンロードし、設定エディターを実行している Quay コンテナーを停止します。
  10. 新しい設定バンドルを Red Hat Quay インストールディレクトリーに展開します。次に例を示します。

    $ tar xvf quay-config.tar.gz -d /home/<user-name>/quay-poc/
  11. Clair 設定ファイル用のフォルダーを作成します。次に例を示します。

    $ mkdir /etc/opt/clairv4/config/
  12. Clair 設定フォルダーに移動します。

    $ cd /etc/opt/clairv4/config/
  13. 以下のように、Clair 設定ファイルを作成します。

    http_listen_addr: :8081
    introspection_addr: :8088
    log_level: debug
    indexer:
      connstring: host=quay-server.example.com port=5433 dbname=clair user=clairuser password=clairpass sslmode=disable
      scanlock_retry: 10
      layer_scan_concurrency: 5
      migrations: true
    matcher:
      connstring: host=quay-server.example.com port=5433 dbname=clair user=clairuser password=clairpass sslmode=disable
      max_conn_pool: 100
      migrations: true
      indexer_addr: clair-indexer
    notifier:
      connstring: host=quay-server.example.com port=5433 dbname=clair user=clairuser password=clairpass sslmode=disable
      delivery_interval: 1m
      poll_interval: 5m
      migrations: true
    auth:
      psk:
        key: "MTU5YzA4Y2ZkNzJoMQ=="
        iss: ["quay"]
    # tracing and metrics
    trace:
      name: "jaeger"
      probability: 1
      jaeger:
        agent:
          endpoint: "localhost:6831"
        service_name: "clair"
    metrics:
      name: "prometheus"

    Clair の設定形式の詳細は、Clair 設定リファレンス を参照してください。

  14. コンテナーイメージを使用して Clair を起動し、作成したファイルから設定にマウントします。

    $ sudo podman run -d --name clairv4 \
    -p 8081:8081 -p 8088:8088 \
    -e CLAIR_CONF=/clair/config.yaml \
    -e CLAIR_MODE=combo \
    -v /etc/opt/clairv4/config:/clair:Z \
    registry.redhat.io/quay/clair-rhel8:v3.9.6
    注記

    複数の Clair コンテナーを実行することもできますが、単一のコンテナーを超えるデプロイシナリオでは、Kubernetes や OpenShift Container Platform などのコンテナーオーケストレーターを使用することが強く推奨されます。

7.3. OpenShift Container Platform の Clair

OpenShift Container Platform 上の Red Hat Quay デプロイメントで Clair v4 (Clair) をセットアップするには、Red Hat Quay Operator を使用することが推奨されます。デフォルトでは、Red Hat Quay Operator は、Clair デプロイメントを Red Hat Quay デプロイメントとともにインストールまたはアップグレードし、Clair を自動的に設定します。

7.4. Clair のテスト

以下の手順を使用して、スタンドアロンの Red Hat Quay デプロイメントまたは OpenShift Container Platform Operator ベースのデプロイメントで Clair をテストします。

前提条件

  • Clair コンテナーイメージをデプロイしている。

手順

  1. 次のコマンドを入力して、サンプルイメージをプルします。

    $ podman pull ubuntu:20.04
  2. 次のコマンドを入力して、レジストリーにイメージをタグ付けします。

    $ sudo podman tag docker.io/library/ubuntu:20.04 <quay-server.example.com>/<user-name>/ubuntu:20.04
  3. 以下のコマンドを入力して、イメージを Red Hat Quay レジストリーにプッシュします。

    $ sudo podman push --tls-verify=false quay-server.example.com/quayadmin/ubuntu:20.04
  4. UI から Red Hat Quay デプロイメントにログインします。
  5. リポジトリー名 (quayadmin/ubuntu など) をクリックします。
  6. ナビゲーションウィンドウで、Tags をクリックします。

    レポートの概要

    Security scan information appears for scanned repository images

  7. イメージレポート (例: 45 medium) をクリックして、より詳細なレポートを表示します。

    レポートの詳細

    See all vulnerabilities or only those that are fixable

    注記

    場合によっては、Clair はイメージに関する重複レポートを表示します (例: ubi8/nodejs-12 または ubi8/nodejs-16)。これは、同じ名前の脆弱性が異なるパッケージに存在するために発生します。この動作は Clair 脆弱性レポートで予期されており、バグとしては扱われません。

第8章 リポジトリーのミラーリング

8.1. リポジトリーのミラーリング

Red Hat Quay リポジトリーミラーリングを使用すると、外部コンテナーレジストリー (または別のローカルレジストリー) から Red Hat Quay クラスターにイメージをミラーリングできます。リポジトリーミラーリングを使用すると、リポジトリー名とタグに基づいてイメージを Red Hat Quay に同期できます。

リポジトリーのミラーリングが有効になっている Red Hat Quay クラスターから、以下を実行できます。

  • 外部のレジストリーからミラーリングするリポジトリーを選択する
  • 外部レジストリーにアクセスするための認証情報を追加する
  • 同期する特定のコンテナーイメージリポジトリー名とタグを特定する
  • リポジトリーが同期される間隔を設定する
  • 同期の現在の状態を確認する

ミラーリング機能を使用するには、次のアクションを実行する必要があります。

  • Red Hat Quay 設定ファイルでリポジトリーのミラーリングを有効にする
  • リポジトリーミラーリングワーカーを実行する
  • ミラーリングされたリポジトリーを作成する

すべてのリポジトリーのミラーリング設定は、設定ツール UI または Red Hat Quay API を使用して実行できます。

8.2. geo レプリケーションと比較したリポジトリーミラーリング

Red Hat Quay の geo レプリケーションは、データベースが共有されている間に、2 つ以上の異なるストレージバックエンド間でイメージストレージのバックエンドデータ全体をミラーリングします (たとえば、2 つの異なる blob ストレージエンドポイントを持つ 1 つの Red Hat Quay レジストリー)。geo レプリケーションの主なユースケースには、次のようなものがあります。

  • 地理的に分散する設定向けのバイナリー Blob へのアクセス速度を上げる
  • イメージのコンテンツがリージョン全体で同じであることを保証する

リポジトリーのミラーリングは、選択されたリポジトリー (またはリポジトリーのサブセット) をあるレジストリーから別のレジストリーに同期します。レジストリーは固有であり、各レジストリーには個別のデータベースおよび個別のイメージストレージがあります。

ミラーリングの主な使用例は次のとおりです。

  • 異なるデータセンターまたはリージョンでの独立したレジストリーのデプロイメント。ここでは、全コンテンツの特定サブセットがデータセンター/リージョン間で共有されることになっています。
  • 外部レジストリーからローカル Red Hat Quay デプロイメントへの選択された (許可リスト化された) アップストリームリポジトリーの自動同期またはミラーリング。
注記

リポジトリーのミラーリングと Geo レプリケーションを同時に使用できます。

表8.1 Red Hat Quay リポジトリーのミラーリングと geo レプリケーションの比較

機能と性能Geo レプリケーションリポジトリーのミラーリング

設計されている機能

グローバルに共有されるレジストリー

独立した異なるレジストレーション

レプリケーションまたはミラーリングがまだ完了していない場合はどうなるか?

リモートコピーを使用する (遅くなります)

イメージが表示されない

両地域のすべてのストレージバックエンドへのアクセスが必要か?

はい (すべての Red Hat Quay ノード)

いいえ (個別のストレージ)

ユーザーは両方のサイトのイメージを同じリポジトリーにプッシュできるか?

はい

いいえ

すべてのレジストリーの内容と設定がすべての地域で同一であるかどうか (共有データベース)?

はい

いいえ

ユーザーはミラーリングする個別の namespace またはリポジトリーを選択できるか?

いいえ

はい

ユーザーは同期ルールにフィルターを適用できるか?

いいえ

はい

各地域で許可されている個々の/異なるロールベースのアクセス制御設定があるか?

いいえ

はい

8.3. リポジトリーミラーリングの使用

次のリストは、Red Hat Quay リポジトリーのミラーリングの機能と制限を示しています。

  • リポジトリーのミラーリングでは、リポジトリー全体をミラーリングしたり、同期するイメージを選択的に制限したりできます。フィルターは、コンマ区切りのタグのリスト、タグの範囲、または Unix シェルスタイルのワイルドカードを使用してタグを識別するその他の手段に基づくことができます。詳細は、ワイルドカード のドキュメントを参照してください。
  • ミラーリングされたリポジトリーとして設定した場合は、そのリポジトリーに他のイメージを手動で追加できません。
  • ミラーリングされたリポジトリーは設定したリポジトリーとタグに基づいているため、リポジトリーとタグのペアで表されるコンテンツのみが保持されます。たとえば、タグを変更してリポジトリー内の一部のイメージが一致しなくなると、それらのイメージは削除されます。
  • 指定されたロボットだけが、ミラーリングされたリポジトリーにイメージをプッシュすることができ、リポジトリーに設定されたロールベースのアクセスコントロール権限に優先します。
  • ミラーリングは、障害時にロールバックする または、ベストエフォートベースで実行するように設定できます。
  • ミラーリングされたリポジトリーでは、read 権限を持つユーザーはリポジトリーからイメージをプルできますが、イメージをリポジトリーにプッシュすることはできません。
  • ミラーリングされたリポジトリーの設定の変更は、Red Hat Quay ユーザーインターフェイスで、作成したミラーリングされたリポジトリーの RepositoriesMirrors タブを使用して実行できます。
  • イメージは一定の間隔で同期されますが、必要に応じて同期することもできます。

8.4. 設定のミラーリング UI

  1. 設定モードで Quay コンテナーを起動し、Enable Repository Mirroring チェックボックスを選択します。HTTPS 通信を必要とし、ミラーリング時に証明書を検証する必要がある場合は、HTTPS を選択し、証明書の検証のチェックボックスを選択します。

    Enable mirroring and require HTTPS and verified certificates

  2. configuration を検証し、ダウンロードしてから、更新された設定ファイルを使用してレジストリーモードで Quay を再起動します。

8.5. 設定フィールドのミラーリング

表8.2 ミラーリング設定

フィールド説明

FEATURE_REPO_MIRROR

Boolean

リポジトリーミラーリングを有効または無効にします。

デフォルト: false

REPO_MIRROR_INTERVAL

Number

次にリポジトリーミラー候補をチェックするまでの秒数。
デフォルト: 30

REPO_MIRROR_SERVER_HOSTNAME

String

SERVER_HOSTNAME は、ミラーリングの宛先に置き換えます。

デフォルト: None

:
openshift-quay-service

REPO_MIRROR_TLS_VERIFY

Boolean

HTTPS を必要とし、ミラー時に Quay レジストリーの証明書を検証します。

デフォルト: false

REPO_MIRROR_ROLLBACK

Boolean

true に設定されている場合、リポジトリーはミラー試行の失敗後にロールバックします。

デフォルト: false

8.6. ミラーリングワーカー

次の手順を使用して、リポジトリーミラーリングワーカーを開始します。

手順

  • /root/ca.crt 証明書を使用して TLS 通信を設定していない場合は、次のコマンドを入力し、repomirror オプションを指定して、Quay Pod を開始します。

    $ sudo podman run -d --name mirroring-worker \
      -v $QUAY/config:/conf/stack:Z \
      registry.redhat.io/quay/quay-rhel8:v3.9.6 repomirror
  • /root/ca.crt 証明書を使用して TLS 通信を設定している場合は、次のコマンドを入力して、リポジトリーミラーリングワーカーを開始します。

    $ sudo podman run -d --name mirroring-worker \
      -v $QUAY/config:/conf/stack:Z \
      -v /root/ca.crt:/etc/pki/ca-trust/source/anchors/ca.crt:Z \
      registry.redhat.io/quay/quay-rhel8:v3.9.6 repomirror

8.7. ミラーリングされたリポジトリーの作成

外部コンテナーレジストリーからリポジトリーをミラーリングする場合は、新しいプライベートリポジトリーを作成する必要があります。通常、同じ名前がターゲットリポジトリーとして使用されます (例: quay-rhel8)。

Create new Red Hat Quay repo

8.7.1. リポジトリーのミラーリングの設定

ミラーリングされたリポジトリーの設定を調整するには、次の手順を使用します。

前提条件

  • Red Hat Quay 設定ファイルでリポジトリーミラーリングを有効にしている。
  • ミラーリングワーカーをデプロイしている。

手順

  1. Settings タブで、Repository State を Mirror に設定します。

    Create a new Red Hat Quay repo mirror

  2. Mirror タブで、タグ、スケジューリング、およびアクセス情報と共に外部レジストリーに接続するための情報を入力します。

    Repository mirroring

  3. 必要に応じて、以下のフィールドに詳細を入力します。

    • Registry Location: ミラーリングする外部リポジトリー (例: registry.redhat.io/quay/quay-rhel8)。
    • Tags: このフィールドは必須です。個別のタグまたはタグパターンのコンマ区切りのリストを入力できます。(詳細は、タグパターン のセクションを参照してください。)
    • Start Date: ミラーリングが開始する日付。現在の日時がデフォルトで使用されます。
    • Sync Interval: デフォルトで 24 時間ごとの同期に設定されます。これは時間または日に基づいて変更できます。
    • Robot User: 新しい robot アカウントを作成するか、既存の robot アカウントを選択してミラーリングを実行します。
    • Username: ミラーリングするリポジトリーを保持する外部レジストリーにアクセスするためのユーザー名。
    • Password: ユーザー名に関連付けられたパスワード。パスワードにはエスケープ文字 (\) を必要とする文字を使用できないことに注意してください。

8.7.2. 詳細設定

Advanced Settings セクションでは、次のオプションを使用して SSL/TLS とプロキシーを設定できます。

  • Verify TLS: ターゲットのリモートレジストリーと通信するときに HTTPS を要求し、証明書を検証する場合は、このオプションを選択します。
  • Accept Unsigned Images: このオプションを選択すると、署名されていないイメージをミラーリングできます。
  • HTTP Proxy: ターゲットのリモートレジストリーと通信するときに HTTPS を要求し、証明書を検証する場合は、このオプションを選択します。
  • HTTPS PROXY: プロキシーサーバーが必要な場合は、リモートサイトにアクセスするために必要な HTTPS プロキシーサーバーを特定します。
  • No Proxy: プロキシーを必要としない場所のリスト。

8.7.3. 今すぐ同期する

ミラーリング操作を開始するには、次の手順を使用します。

手順

  • 即時にミラーリング操作を実行するには、リポジトリーの Mirroring タブで Sync Now ボタンを押します。ログは、Usage Logs タブで利用できます。

    Usage logs

    ミラーリングが完了すると、イメージは Tags タブに表示されます。

    Repository mirroring tags

    以下は、完了した Repository Mirroring 画面の例です。

    Repository mirroring details

8.8. ミラーリングのイベント通知

リポジトリーミラーリングには、3 つの通知イベントがあります。

  • リポジトリーミラーリングの開始
  • リポジトリーのミラーリングの成功
  • リポジトリーミラーリングの失敗

イベントは各リポジトリーの Settings タブ内で設定でき、電子メール、Slack、Quay UI、Webhook などの既存の通知方法がすべてサポートされています。

8.9. タグパターンのミラーリング

少なくとも 1 つのタグを入力する必要があります。次の表は、考えられるイメージタグのパターンを示しています。

8.9.1. パターン構文

パターン

説明

*

すべての文字に一致。

?

任意の単一文字に一致。

[seq]

seq の任意の文字と一致。

[!seq]

seq にない文字と一致。

8.9.2. タグのパターン例

パターン例

マッチの例

v3*

v32、v3.1、v3.2、v3.2-4beta、v3.3

v3.*

v3.1、v3.2、v3.2-4beta

v3.?

v3.1、v3.2、v3.3

v3.[12]

v3.1、v3.2

v3.[12]*

v3.1、v3.2、v3.2-4beta

v3.[!1]*

v3.2、v3.2-4beta、v3.3

8.10. ミラーリングされたリポジトリーの使用

ミラーリングされたリポジトリーを作成した後、そのリポジトリーを操作する方法はいくつかあります。Repositories ページからミラーリングされたリポジトリーを選択して、以下のいずれかを行います。

  • リポジトリーの有効化/無効化: 左列の Mirroring ボタンを選択してから Enabled チェックボックスを切り替え、一時的にリポジトリーを有効または無効にします。
  • ミラーログの確認: ミラーリングされたリポジトリーが正常に動作していることを確認するために、ミラーログを確認することができます。そのためには、左カラムの Usage Logs ボタンを選択します。以下に例を示します。

    View logs for your Red Hat Quay repo mirror

  • 今すぐミラーを同期: リポジトリー内のイメージをすぐに同期するには、Sync Now ボタンを選択します。
  • クレデンシャルの変更: ユーザー名とパスワードを変更するには、Credentials の行から DELETE を選択します。その後、なしを選択し、プロンプトが表示されたら、外部レジストリーにログインするために必要なユーザー名とパスワードを追加します。
  • ミラーリングのキャンセル: ミラーリングを中止するには、CANCEL ボタンを選択します。これにより、現在のイメージはそのまま利用できますが、新しいイメージは同期されなくなります。
  • ロボットのパーミッション設定: Red Hat Quay のロボットアカウントは、外部のリポジトリーにアクセスするための認証情報を保持する名前付きのトークンです。ロボットに認証情報を割り当てることで、そのロボットは、同じ外部レジストリーにアクセスする必要のある複数のミラーリングされたリポジトリーで使用することができます。

    既存のロボットをリポジトリーに割り当てるには、Account Settings を開き、左カラムの Robot Accounts アイコンを選択します。ロボットアカウントの場合は、REPOSITORIES 欄のリンクを選択します。ポップアップウィンドウから、以下のことができます。

    • そのロボットにどのリポジトリーが割り当てられているかを確認します。
    • この図に示されている PERMISSION フィールドから対象のロボットに読み取り、書き込み、または管理者権限を割り当てます。 Assign a robot to mirrored repo
  • ロボット認証情報の変更: ロボットは、Kubernetes の秘密、Docker のログイン情報、Mesos のバンドルなどの認証情報を保持することができます。ロボットの認証情報を変更するには、Robot Accounts ウィンドウのロボットのアカウント行にある Options ギアを選択し、View Credentials を選択します。ロボットがアクセスする必要のある外部リポジトリーの適切な認証情報を追加します。

    Assign permission to a robot

  • 一般設定の確認と変更: ミラーリングされたリポジトリーのページの左カラムから設定ボタン (歯車のアイコン) を選択します。表示されるページでは、ミラーリングされたリポジトリーに関連する設定を変更できます。特に、ユーザーやロボットのパーミッションを変更して、どのユーザーやロボットがレポジトリーを読み書きできるかを正確に指定することができます。

8.11. リポジトリーのミラーリングの推奨事項

リポジトリーミラーリングのベストプラクティスには次のようなものがあります。

  • リポジトリーミラーリング Pod は任意のノードで実行できます。これは、Red Hat Quay がすでに実行されているノードでミラーリングを実行できることを意味します。
  • リポジトリーのミラーリングは、データベースでスケジュールされ、一括して実行されます。その結果、リポジトリーワーカーは各リポジトリーミラー設定ファイルをチェックし、次の同期が必要なタイミングを読み取ります。ミラーワーカーが増えると、より多くのリポジトリーを同時にミラーリングできるようになります。たとえば、10 個のミラーワーカーを実行すると、ユーザーは 10 個のミラーリング operator を並行して実行できることになります。ミラー設定が 10 個あるワーカーが 2 つしかない場合に、実行できる Operator は 2 つのみです。
  • ミラーリング Pod の最適な数は、次の条件によって異なります。

    • ミラーリングされるリポジトリーの合計数
    • リポジトリー内のイメージやタグの数と変更の頻度
    • 並列バッチ処理

      たとえば、タグが 100 個あるリポジトリーをミラーリングしている場合に、このミラーは 1 つのワーカーで完了されます。ユーザーは、並行してミラーリングするリポジトリーの数を検討し、それに基づいてワーカーの数を決定する必要があります。

      同じリポジトリー内の複数のタグを並行してミラーリングすることはできません。

第9章 IPv6 およびデュアルスタックデプロイメント

スタンドアロンの Red Hat Quay デプロイメントは、Telco や Edge 環境など、IPv6 のみをサポートする場所で提供できるようになりました。デュアルスタックネットワーキングのサポートも提供されるため、Red Hat Quay デプロイメントは IPv4 と IPv6 を同時にリッスンできます。

既知の制限のリストについては、IPv6 の制限 を参照してください。

9.1. IPv6 プロトコルファミリーの有効化

以下の手順を使用して、スタンドアロンの Red Hat Quay デプロイメントで IPv6 サポートを有効にします。

前提条件

  • Red Hat Quay を 3.8 に更新している。
  • ホストとコンテナーソフトウェアプラットフォーム (Docker、Podman) を、IPv6 をサポートするように設定している。

手順

  1. デプロイメントの config.yaml ファイルに FEATURE_LISTEN_IP_VERSION パラメーターを追加し、IPv6 に設定します。次に例を示します。

    ---
    FEATURE_GOOGLE_LOGIN: false
    FEATURE_INVITE_ONLY_USER_CREATION: false
    FEATURE_LISTEN_IP_VERSION: IPv6
    FEATURE_MAILING: false
    FEATURE_NONSUPERUSER_TEAM_SYNCING_SETUP: false
    ---
  2. Red Hat Quay デプロイメントを起動または再起動します。
  3. 次のコマンドを入力して、デプロイが IPv6 をリッスンしていることを確認します。

    $ curl <quay_endpoint>/health/instance
    {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

デプロイメントの config.yaml で IPv6 を有効にすると、環境が IPv6 を使用するように設定されており、ipv6 制限 (現在の制限) によって妨げられていない限り、すべての Red Hat Quay 機能を通常どおり使用できます。

警告

環境が IPv4 に設定されていても、FEATURE_LISTEN_IP_VERSION 設定フィールドが IPv6 に設定されている場合、Red Hat Quay はデプロイに失敗します。

9.2. デュアルスタックプロトコルファミリーの有効化

以下の手順を使用して、スタンドアロンの Red Hat Quay デプロイメントでデュアルスタック (IPv4 および IPv6) サポートを有効にします。

前提条件

  • Red Hat Quay を 3.8 に更新している。
  • ホストとコンテナーソフトウェアプラットフォーム (Docker、Podman) を、IPv6 をサポートするように設定している。

手順

  1. デプロイメントの config.yaml ファイルで、FEATURE_LISTEN_IP_VERSION パラメーターを追加し、dual-stack に設定します。次に例を示します。

    ---
    FEATURE_GOOGLE_LOGIN: false
    FEATURE_INVITE_ONLY_USER_CREATION: false
    FEATURE_LISTEN_IP_VERSION: dual-stack
    FEATURE_MAILING: false
    FEATURE_NONSUPERUSER_TEAM_SYNCING_SETUP: false
    ---
  2. Red Hat Quay デプロイメントを起動または再起動します。
  3. 次のコマンドを入力して、デプロイメントが両方のチャネルをリッスンしていることを確認します。

    1. IPv4 の場合、次のコマンドを入力します。

      $ curl --ipv4 <quay_endpoint>
      {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}
    2. IPv6 の場合、次のコマンドを入力します。

      $ curl --ipv6 <quay_endpoint>
      {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

デプロイメントの config.yaml でデュアルスタックを有効にすると、環境がデュアルスタック用に設定されている限り、Red Hat Quay のすべての機能を通常どおり使用できます。

9.3. IPv6 とデュスタックの制限

  • 現在、一般的な Azure Blob Storage 設定を使用して Red Hat Quay デプロイメントを設定しようとしても、IPv6 シングルスタック環境では機能しません。Azure Blob Storage のエンドポイントは IPv6 をサポートしていないため、この問題に対する回避策はありません。

    詳細は、PROJQUAY-4433 を参照してください。

  • 現在、Amazon S3 CloudFront を使用して Red Hat Quay デプロイメントを設定しようとしても、IPv6 シングルスタック環境では機能しません。Amazon S3 CloudFront のエンドポイントは IPv6 をサポートしていないため、この問題に対する回避策はありません。

    詳細は、PROJQUAY-4470 を参照してください。

第10章 Red Hat Quay の LDAP 認証設定

LDAP (Lightweight Directory Access Protocol) は、IP ネットワークで分散ディレクトリー情報サービスにアクセスし、これを維持するために使用するオープンな、ベンダーに依存しない業界標準のアプリケーションプロトコルです。Red Hat Quay は ID プロバイダーとして LDAP の使用をサポートしています。

10.1. LDAP を有効にする際の考慮事項

Red Hat Quay デプロイメントで LDAP を有効にする前に、以下の点を考慮する必要があります。

既存の Red Hat Quay デプロイメント

ユーザーがすでに設定されている既存の Red Hat Quay デプロイメントで LDAP を有効にすると、ユーザー名との競合が発生する可能性があります。たとえば、1 人のユーザー alice は、LDAP を有効にする前に Red Hat Quay で手動で作成されました。ユーザー名 alice が LDAP ディレクトリーにも存在する場合、alice が LDAP を使用して初めてログインするときに、Red Hat Quay は新しいユーザー alice-1 を自動的に作成します。次に、Red Hat Quay は LDAP 認証情報を alice アカウントに自動的にマッピングします。一貫性の理由から、これは Red Hat Quay デプロイメントにとっては誤りである可能性があります。LDAP を有効にする前に、競合する可能性のあるローカルアカウント名を Red Hat Quay から削除することを推奨します。

手動ユーザーの作成と LDAP 認証

Red Hat Quay が LDAP 用に設定されていて、設定オプション FEATURE_USER_CREATIONtrue に設定されている場合は、LDAP 認証ユーザーが最初のログイン時に Red Hat Quay のデータベースに自動的に作成されます。このオプションを false に設定すると、LDAP ユーザーの自動ユーザー作成に失敗し、ユーザーはログインできません。このシナリオでは、スーパーユーザーが最初に必要なユーザーアカウントを作成する必要があります。一方、FEATURE_USER_CREATIONtrue に設定されている場合は、LDAP に同等のユーザーがある場合でも、ユーザーは Quay ログイン画面からもアカウントを作成できます。

10.2. Red Hat Quay 用の LDAP の設定

以下の手順を使用して、Red Hat Quay デプロイメント用に LDAP を設定します。

手順

  1. Red Hat Quay 設定ツールを使用して LDAP を設定できます。

    1. Red Hat Quay 設定ツールを使用して、Authentication セクションを見つけます。ドロップダウンメニューから LDAP を選択し、必要に応じて LDAP 設定フィールドを更新します。

      LDAP configuration fields

    2. オプション: Team synchronization ボックスで、Enable Team Syncrhonization Support をクリックします。チーム同期を有効にすると、スーパーユーザーでもある Red Hat Quay 管理者は、メンバーシップを LDAP のバッキンググループと同期するようにチームを設定できます。

      Team synchronization

    3. Resynchronization duration60m と入力します。このオプションは、チームを再同期する必要がある再同期期間を設定します。このフィールドは、30m1h1d などに設定する必要があります。
    4. オプション: Self-service team syncing setup の場合、Allow non-superusers to enable and manage team syncing をクリックして、スーパーユーザーが管理者である組織でチーム同期を有効化および管理できるようにすることができます。

      Team synchronization

    5. LDAP URI ボックスを見つけて、ldap:// または ldaps:// 接頭辞を含む完全な LDAP URI (ldap://117.17.8.101 など) を指定します。

      LDAP server URI

    6. ベース DN で、すべての LDAP レコードを検索するためのベースパスを形成する名前を指定します (例: o=<organization_id>dc=<example_domain_component>dc=com)。

      Distinguished Names

    7. User Relative DN で、識別名パスのリストを指定します。これは、上で定義した Base DN を基準にしてすべてのユーザー LDAP レコードを検索するためのセカンダリーベースパスを形成します。たとえば、uid=<name>ou=Userso=<organization_id >、dc=<example_domain_component>dc=com などです。ユーザーがプライマリー相対 DN で見つからない場合は、このパスが試行されます。

      User Relative DN

      注記

      User Relative DN は、Base DN に対する相対的なものです。たとえば、,dc=<example_domain_component>,dc=com ではなく、ou=Users です。

    8. オプション: ユーザーオブジェクトが存在する組織単位が複数ある場合は、Secondary User Relative DNs を指定します。組織単位を入力し、Add をクリックして複数の RDN を追加できます。たとえば、ou=Users,ou=NYC and ou=Users,ou=SFO です。

      User Relative DN はサブツリーのスコープで検索します。たとえば、組織に Users OU の下に NYC および SFO の組織単位がある場合 (つまり、ou=SFO,ou=Users および ou=NYC,ou=Users)、Red Hat Quay は NYCSFO の両方の組織単位からユーザーを認証できます。User Relative DNUsers (ou=Users) に設定されている場合の単位。

    9. オプション: 必要に応じて、すべてのユーザー検索クエリーの Additional User Filter Expression フィールドに入力します。フィルターで使用される識別名は完全ベースである必要があります。Base DN はこのフィールドに自動的に追加されないため、(memberOf=cn=developers,ou=groups,dc=<example_domain_component>,dc=com) のようにテキストを括弧で囲む必要があります。

      Additional User Filter

    10. Red Hat Quay 管理者アカウントの Administrator DN フィールドに入力します。このアカウントは、ログインしてすべてのユーザーアカウントの記録を閲覧できる必要があります。例: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com

      Administrator DN

    11. Administrator DN Password フィールドに入力します。これは管理者識別名のパスワードです。

      重要

      このフィールドのパスワードは、config.yaml ファイル内にプレーンテキストで保存されます。パスワードハッシュを使用する専用アカウントを設定することを強く推奨します。

    12. オプション: UID Attribute フィールドに入力します。これは、ユーザーのユーザー名を保存する LDAP ユーザーレコード内のプロパティーフィールドの名前です。最も一般的には、このフィールドには uid が入力されます。このフィールドは、Red Hat Quay デプロイメントにログインするために使用できます。

      UID Attribute

    13. オプション: Mail Attribute フィールドに入力します。これは、ユーザーの電子メールアドレスを保存する LDAP ユーザーレコードのプロパティーフィールドの名前です。最も一般的には、このフィールドには mail が入力されます。このフィールドは、Red Hat Quay デプロイメントにログインするために使用できます。

      Mail Attribute

      注記
      • ログインするユーザー名は、User Relative DN に存在する必要があります。
      • Microsoft Active Directory を使用して LDAP デプロイメントをセットアップしている場合は、UID 属性に sAMAccountName を使用する必要があります。
    14. オプション: カスタム SSL/TLS 証明書を追加するには、Custom TLS Certificate オプションの下の Choose File をクリックします。さらに、非 TLS 接続へのフォールバックを許可するチェックボックスをオンにすることで、安全でない Allow fallback to non-TLS connections を有効にすることができます。

      LDAP server SSL

      SSl/TLS 証明書をアップロードする場合は、ldaps:// 接頭辞を指定する必要があります (例: LDAP_URI: ldaps://ldap_provider.example.org)。

  2. あるいは、config.yaml ファイルを直接更新して、すべての関連情報を含めることもできます。以下に例を示します。

    ---
    AUTHENTICATION_TYPE: LDAP
    ---
    LDAP_ADMIN_DN: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com
    LDAP_ADMIN_PASSWD: ABC123
    LDAP_ALLOW_INSECURE_FALLBACK: false
    LDAP_BASE_DN:
        - o=<organization_id>
        - dc=<example_domain_component>
        - dc=com
    LDAP_EMAIL_ATTR: mail
    LDAP_UID_ATTR: uid
    LDAP_URI: ldap://<example_url>.com
    LDAP_USER_FILTER: (memberof=cn=developers,ou=Users,dc=<domain_name>,dc=com)
    LDAP_USER_RDN:
        - ou=<example_organization_unit>
        - o=<organization_id>
        - dc=<example_domain_component>
        - dc=com
  3. 必要な LDAP フィールドをすべて追加したら、Save Configuration Changes ボタンをクリックして設定を検証します。続行する前に、すべての検証が成功する必要があります。Continue Editing ボタンを選択すると、追加の設定を実行できます。

10.3. LDAP_RESTRICTED_USER_FILTER 設定フィールドの有効化

LDAP_RESTRICTED_USER_FILTER 設定フィールドは、LDAP_USER_FILTER 設定フィールドのサブセットです。このオプションを設定すると、Red Hat Quay が認証プロバイダーとして LDAP を使用する場合、Red Hat Quay 管理者は LDAP ユーザーを制限付きユーザーとして設定できるようになります。

以下の手順を使用して、Red Hat Quay デプロイメントで LDAP 制限付きユーザーを有効にします。

前提条件

  • Red Hat Quay デプロイメントは認証プロバイダーとして LDAP を使用している。
  • config.yaml ファイルで LDAP_USER_FILTER フィールドを設定している。

手順

  1. デプロイメントの config.yaml ファイルで、LDAP_RESTRICTED_USER_FILTER パラメーターを追加し、制限されたユーザーのグループ (たとえば members) を指定します。

    ---
    AUTHENTICATION_TYPE: LDAP
    ---
    LDAP_ADMIN_DN: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com
    LDAP_ADMIN_PASSWD: ABC123
    LDAP_ALLOW_INSECURE_FALLBACK: false
    LDAP_BASE_DN:
        - o=<organization_id>
        - dc=<example_domain_component>
        - dc=com
    LDAP_EMAIL_ATTR: mail
    LDAP_UID_ATTR: uid
    LDAP_URI: ldap://<example_url>.com
    LDAP_USER_FILTER: (memberof=cn=developers,ou=Users,o=<example_organization_unit>,dc=<example_domain_component>,dc=com)
    LDAP_RESTRICTED_USER_FILTER: (<filterField>=<value>)
    LDAP_USER_RDN:
        - ou=<example_organization_unit>
        - o=<organization_id>
        - dc=<example_domain_component>
        - dc=com
  2. Red Hat Quay デプロイメントを起動または再起動します。

LDAP_RESTRICTED_USER_FILTER 機能を有効にすると、LDAP Red Hat Quay ユーザーは、コンテンツの読み取りと書き込み、および組織の作成が制限されます。

10.4. LDAP_SUPERUSER_FILTER 設定フィールドの有効化

LDAP_SUPERUSER_FILTER フィールドを設定すると、Red Hat Quay が LDAP を認証プロバイダーとして使用する場合、Red Hat Quay 管理者は LDAP (Lightweight Directory Access Protocol) ユーザーをスーパーユーザーとして設定できます。

以下の手順を使用して、Red Hat Quay デプロイメントで LDAP スーパーユーザーを有効にします。

前提条件

  • Red Hat Quay デプロイメントは認証プロバイダーとして LDAP を使用している。
  • config.yaml ファイルで LDAP_USER_FILTER フィールドを設定ている。

手順

  1. デプロイメントの config.yaml ファイルで、LDAP_SUPERUSER_FILTER パラメーターを追加し、スーパーユーザーとして設定するユーザーのグループ (root など) を追加します。

    ---
    AUTHENTICATION_TYPE: LDAP
    ---
    LDAP_ADMIN_DN: uid=<name>,ou=Users,o=<organization_id>,dc=<example_domain_component>,dc=com
    LDAP_ADMIN_PASSWD: ABC123
    LDAP_ALLOW_INSECURE_FALLBACK: false
    LDAP_BASE_DN:
        - o=<organization_id>
        - dc=<example_domain_component>
        - dc=com
    LDAP_EMAIL_ATTR: mail
    LDAP_UID_ATTR: uid
    LDAP_URI: ldap://<example_url>.com
    LDAP_USER_FILTER: (memberof=cn=developers,ou=Users,o=<example_organization_unit>,dc=<example_domain_component>,dc=com)
    LDAP_SUPERUSER_FILTER: (<filterField>=<value>)
    LDAP_USER_RDN:
        - ou=<example_organization_unit>
        - o=<organization_id>
        - dc=<example_domain_component>
        - dc=com
  2. Red Hat Quay デプロイメントを起動または再起動します。

LDAP_SUPERUSER_FILTER 機能を有効にすると、LDAP Red Hat Quay ユーザーにスーパーユーザー権限が付与されます。スーパーユーザーは次のオプションを使用できます。

  • ユーザーの管理
  • 組織の管理
  • サービスキーの管理
  • 変更ログの閲覧
  • 使用状況ログのクエリー
  • グローバルに表示されるユーザーメッセージの作成

10.5. 一般的な LDAP 設定の問題

設定が無効な場合、次のエラーが返される場合があります。

  • Invalid credentials。このエラーが発生した場合は、管理者 DN または管理者 DN パスワードの値が正しくありません。正確な管理者 DN とパスワードの値を指定していることを確認してください。
  • *スーパーユーザー %USERNAME% の検証に失敗しました。このエラーは次の理由で返されます。

    • ユーザー名が見つかりませんでした。
    • ユーザーはリモート認証システムに存在しません。
    • LDAP 認証が正しく設定されていません。
  • 現在ログインしているユーザーが見つかりません。Red Hat Quay の LDAP を設定する場合、Administrator DN フィールドに指定されたユーザー名とパスワードを使用して LDAP 接続が正常に確立される場合があります。ただし、UID Attribute または Mail Attribute フィールドを使用して、指定された User Relative DN パス内で現在ログインしているユーザーが見つからない場合は、通常、次の 2 つの理由が考えられます。

    • 現在ログインしているユーザーは、User Relative DN パスに存在しません。
    • Administrator DN には、指定された LDAP パスを検索または読み取る権限がありません。

      この問題を解決するには、ログインしているユーザーが User Relative DN パスに含まれていることを確認するか、Administrator DN アカウントに正しいアクセス許可を与えます。

第11章 Red Hat Quay の OIDC の設定

Red Hat Quay に OpenID Connect (OIDC) を設定すると、Red Hat Quay デプロイメントにメリットがいくつかあります。たとえば、OIDC を使用すると、ユーザーは Red Hat Single Sign-On、Google、Github、Microsoft などの OIDC プロバイダーからの既存の認証情報を使用して Red Hat Quay に対して認証できるようになります。OIDC のその他の利点には、一元的なユーザー管理、より強固なキュリティー、Single Sign-On (SSO) などがあります。全体として、OIDC 設定はユーザーの認証と管理を簡素化し、セキュリティーを強化して、Red Hat Quay ユーザーにシームレスなユーザーエクスペリエンスを提供します。

次の手順では、Red Hat Single Sign-On と Azure AD を設定する方法を示します。これらの手順には、Red Hat Quay config ツールを使用した Red Hat Quay Operator およびスタンドアロンデプロイメントでの OIDC の設定が含まれます。

注記

これらの手順に従うことで、使用する認証プロバイダーに関係なく、任意の OIDC プロバイダーを Red Hat Quay に追加できるようになります。

11.1. Red Hat Quay の Red Hat Single Sign-On の設定

Keycloak プロジェクトに基づいた Red Hat Single Sign-On (RH-SSO) は、Red Hat が提供するオープンソースのアイデンティティーおよびアクセス管理 (IAM) ソリューションです。RH-SSO を使用すると、組織はユーザー ID を管理し、アプリケーションを保護して、システムとアプリケーション全体にアクセス制御ポリシーを適用できます。また、統合された認証および認可フレームワークも提供します。これにより、ユーザーは一度ログインすることで、再認証することなく複数のアプリケーションやリソースにアクセスできるようになります。詳細は、Red Hat Single Sign-On を参照してください。

Red Hat Quay で Red Hat Single Sign-On を設定すると、Red Hat Quay と OpenShift Container Platform などの他のアプリケーションプラットフォームの間にシームレスな認証インテグレーションを作成できます。

11.1.1. Red Hat Quay Operator の Red Hat Single Sign-On Operator の設定

以下の手順を使用して、OpenShift Container Platform で Red Hat Quay Operator の Red Hat Single Sign-On を設定します。

前提条件

  • Red Hat Quay Operator 用に Red Hat Single Sign-On を設定している。詳細は、Red Hat Single Sign-On Operator を参照してください。
  • Red Hat Quay デプロイメント および Red Hat Single Sign-On 用に TLS/SSL を設定している。
  • 単一の認証局 (CA) を生成し、それを Red Hat Single Sign-On Operator Red Hat Quay 設定にアップロードしている。
  • OpenShift Container Platform クラスターにログインしている。
  • OpenShift CLI (oc) がインストールされている。

手順

  1. Red Hat Single Sign-On 管理コンソール に移動します。

    1. OpenShift Container Platform Web コンソール で、NetworkRoute に移動します。
    2. ドロップダウンリストから Red Hat Single Sign-On プロジェクトを選択します。
    3. Routes テーブルで Red Hat Single Sign-On 管理コンソール を見つけます。
  2. Red Hat Quay の設定に使用するレルムを選択します。
  3. ナビゲーションパネルの Configure セクションで Clients をクリックし、Create ボタンをクリックして Red Hat Quay の新しい OIDC を追加します。
  4. 以下の情報を入力します。

    • Client ID: quay-enterprise
    • Client Protocol: openid-connect
    • Root URL: https://<quay endpoint>/
  5. Save をクリックします。これにより、Clients 設定パネルにリダイレクトされます。
  6. Access Type に移動し、Confidential を選択します。
  7. Valid Redirect URI に移動します。3 つのリダイレクト URI を指定する必要があります。値は、Red Hat Quay レジストリーの完全修飾ドメイン名に /oauth2/redhatsso/callback を付加したものである必要があります。以下に例を示します。

  8. Save をクリックして、新しい Credentials 設定に移動します。
  9. Secret の値をコピーします。

11.1.2. Red Hat Single Sign-On を使用するための Red Hat Quay Operator の設定

Red Hat Quay Operator で Red Hat Single Sign-On を設定するには、次の手順を使用します。

前提条件

  • Red Hat Quay Operator 用に Red Hat Single Sign-On Operator を設定しました。

手順

  1. OperatorsInstalled Operators に移動して、Red Hat Quay config エディターツールに入ります。Red Hat QuayQuay Registry をクリックします。次に、Red Hat Quay レジストリーの名前と、Config Editor Endpoint にリストされている URL をクリックします。
  2. カスタム SSL/TLS 証明書を OpenShift Container Platform デプロイメントにアップロードします。

    1. Red Hat Quay config ツール UI に移動します。
    2. Custom SSL Certificates で、Select file をクリックし、カスタム SSL/TLS 証明書をアップロードします。
    3. Red Hat Quay デプロイメントを再設定します。
  3. External Authorization (OAuth) セクションまで下にスクロールします。
  4. Add OIDC Provider をクリックします。
  5. プロンプトが表示されたら、redhatsso と入力します。
  6. 以下の情報を入力します。

    • OIDC Server: /auth/realms/ とレルム名が付加された Red Hat Single Sign-On インスタンスの完全修飾ドメイン名 (FQDN)。最後にスラッシュを含める必要があります (例: https://sso-redhat.example.com//auth/realms/<keycloak_realm_name>/)。
    • Client ID: 認証プロバイダーで再登録されるアプリケーションのクライアント ID (例: quay-enterprise)。
    • Client Secret: quay-enterprise OIDC クライアント設定の Credentials タブのシークレット。
    • Service Name: Red Hat Quay ログインページに表示される名前 (例: Red Hat Single Sign On)。
    • Verified Email Address Claim: ユーザーの電子メールアドレスを検証するために使用される要求の名前。
    • Login Scopes: ログインフローの実行時に OIDC プロバイダーに送信するスコープ (openid など)。設定後、Add をクリックする必要があります。
  7. 下にスクロールして、Validate Configuration Changes をクリックします。次に、Restart Now をクリックして、OIDC を有効にして Red Hat Quay Operator をデプロイします。

11.2. Red Hat Quay の Azure AD OIDC の設定

Azure AD 認証を Red Hat Quay と統合することにより、組織は Azure AD が提供する一元的なユーザー管理およびセキュリティー機能を活用できます。一部の機能には、Azure AD のロールと権限に基づいて Red Hat Quay リポジトリーへのユーザーアクセスを管理する機能や、Azure AD によって提供される多要素認証やその他のセキュリティー機能を有効にする機能が含まれます。

Red Hat Quay の Azure Active Directory (Azure AD) 認証を使用すると、ユーザーは Azure AD 認証情報を使用して Red Hat Quay を認証し、アクセスできるようになります。

11.2.1. Red Hat Quay 設定ツールを使用した Azure AD の設定

次の手順では、config ツールを使用して Red Hat Quay 用に Azure AD を設定します。

手順

  1. Red Hat Quay config エディターツールを入力します。

    1. スタンドアロン Red Hat Quay デプロイメントを実行している場合は、次のコマンドを入力できます。

      $ sudo podman run --rm -it --name quay_config -p 80:8080 -p 443:8443 registry.redhat.io/quay/quay-rhel8:v3.9.6 config secret

      ブラウザーを使用して、設定ツールのユーザーインターフェイスに移動し、ログインします。

    2. Red Hat Quay Operator を使用している場合は、OperatorsInstalled Operators に移動します。Red Hat QuayQuay Registry をクリックします。次に、Red Hat Quay レジストリーの名前と、Config Editor Endpoint にリストされている URL をクリックします。
  2. External Authorization (OAuth) セクションまで下にスクロールします。
  3. Add OIDC Provider をクリックします。
  4. プロンプトが表示されたら、ODIC プロバイダーの ID を入力します。

    注記

    OIDC サーバーは / で終わる必要があります。

  5. ODIC プロバイダーが追加されると、Red Hat Quay には、Azure に登録する必要がある 3 つのコールバック URL がリストされます。これらのアドレスにより、認証が確認された後、Azure は Red Hat Quay に直接戻ることができます。以下に例を示します。

    • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback
    • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback/attach
    • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback/cli
  6. すべての必須フィールドが設定されたら、Validate Configuration Changes ボタンを選択して、設定を検証します。エラーが報告される場合は、設定が有効となり、Red Hat Quay がデータベースおよび Redis サーバーに接続できるまで、設定の編集を継続します。

11.2.2. Red Hat Quay config.yaml ファイルを更新して Azure AD を設定する

次の手順を使用して、Red Hat Quay config.yaml ファイルを直接更新して Azure AD を設定します。

手順
  • 次の手順を使用すると、追加されている認証プロバイダーに関係なく、任意の ODIC プロバイダーを Red Hat Quay に追加できます。
  • システムでファイアウォールが使用されている場合、またはプロキシーが有効になっている場合は、作成される Oauth アプリケーションごとにすべての Azure API エンドポイントをホワイトリストに登録する必要があります。それ以外の場合は、次のエラーが返されます。x509: certificate signed by unknown authority
  1. 以下の情報を Red Hat Quay config.yaml ファイルに追加します。

    AZURE_LOGIN_CONFIG: 1
        CLIENT_ID: <client_id> 2
        CLIENT_SECRET: <client_secret> 3
        OIDC_SERVER: <oidc_server_address_> 4
        SERVICE_NAME: Azure AD 5
        VERIFIED_EMAIL_CLAIM_NAME: <verified_email> 6
    1
    OIDC 設定を保持する親キー。この例では、使用される親キーは AZURE_LOGIN_CONFIG です。ただし、文字列 AZURE は、特定のニーズに基づいて任意の文字列 (たとえば、ABC123) に置き換えることができます。ただし、次の文字列は受け入れられません: GOOGLEGITHUB。これらの文字列は、それぞれの ID プラットフォーム用に予約されており、使用するプラットフォームに応じて特定の config.yaml エントリーが必要です。
    2
    認証プロバイダーに再登録されるアプリケーションのクライアント ID。
    3
    認証プロバイダーに登録されているアプリケーションのクライアントシークレット。
    4
    認証に使用される OIDC サーバーのアドレス。この例では、発行者識別子として sts.windows.net を使用する必要があります。https://login.microsoftonline.com を使用すると、次のエラーが発生します。Could not create provider for AzureAD.Error: oidc: issuer did not match the issuer returned by provider, expected "https://login.microsoftonline.com/73f2e714-xxxx-xxxx-xxxx-dffe1df8a5d5" got "https://sts.windows.net/73f2e714-xxxx-xxxx-xxxx-dffe1df8a5d5/".
    5
    認証されているサービスの名前。
    6
    ユーザーの電子メールアドレスを確認するために使用されるクレームの名前。
  2. Azure AD を適切に設定すると、次の形式で 3 つのリダイレクトが行われます。

    • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback
    • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback/attach
    • https://QUAY_HOSTNAME/oauth2/<name_of_service>/callback/cli
  3. Red Hat Quay デプロイメントを再起動します。

第12章 Red Hat Quay の下での Prometheus および Grafana のメトリック

Red Hat Quay は、各インスタンスに Prometheus と Grafana に対応したエンドポイントをエクスポートし、簡単にモニタリングとアラートを行うことができます。

12.1. Prometheus エンドポイントの公開

12.1.1. スタンドアロン Red Hat Quay

podman run を使用して Quay コンテナーを起動する場合は、メトリックポート 9091 を公開します。

$ sudo podman run -d --rm -p 80:8080 -p 443:8443  -p 9091:9091\
   --name=quay \
   -v $QUAY/config:/conf/stack:Z \
   -v $QUAY/storage:/datastorage:Z \
   registry.redhat.io/quay/quay-rhel8:v3.9.6

これでメトリックが利用可能になります。

$ curl quay.example.com:9091/metrics

Quay のリポジトリーカウントを監視するための Prometheus および Grafana の設定は、Monitoring Quay with Prometheus and Grafana を参照してください。

12.1.2. Red Hat Quay Operator

quay-metrics サービスのクラスター IP を判別します。

$ oc get services -n quay-enterprise
NAME                                  TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                             AGE
example-registry-clair-app            ClusterIP   172.30.61.161    <none>        80/TCP,8089/TCP                     18h
example-registry-clair-postgres       ClusterIP   172.30.122.136   <none>        5432/TCP                            18h
example-registry-quay-app             ClusterIP   172.30.72.79     <none>        443/TCP,80/TCP,8081/TCP,55443/TCP   18h
example-registry-quay-config-editor   ClusterIP   172.30.185.61    <none>        80/TCP                              18h
example-registry-quay-database        ClusterIP   172.30.114.192   <none>        5432/TCP                            18h
example-registry-quay-metrics         ClusterIP   172.30.37.76     <none>        9091/TCP                            18h
example-registry-quay-redis           ClusterIP   172.30.157.248   <none>        6379/TCP                            18h

クラスターに接続し、quay-metrics サービスのクラスター IP およびポートを使用してメトリックにアクセスします。

$ oc debug node/master-0

sh-4.4# curl 172.30.37.76:9091/metrics

# HELP go_gc_duration_seconds A summary of the pause duration of garbage collection cycles.
# TYPE go_gc_duration_seconds summary
go_gc_duration_seconds{quantile="0"} 4.0447e-05
go_gc_duration_seconds{quantile="0.25"} 6.2203e-05
...

12.1.3. Prometheus がメトリックを消費するための設定

Prometheus は、クラスター内で実行されているすべての Red Hat Quay インスタンスにアクセスする方法が必要です。典型的なセットアップでは、すべての Red Hat Quay インスタンスを単一の名前付き DNS エントリーにリストアップし、それを Prometheus に渡すことで行われます。

12.1.4. Kubernetes での DNS 設定

シンプルな Kubernetes service を設定して、Prometheus の DNS エントリーを提供することができます。

12.1.5. 手動クラスターの DNS 設定

SkyDNS は、Kubernetes を使用していない場合に、この DNS レコードを管理するためのシンプルなソリューションです。SkyDNS は、etcd クラスター上で動作させることができます。クラスター内の各 Red Hat Quay インスタンスのエントリーを etcd ストアに追加、削除することができます。SkyDNS はそこから定期的に読み込んで、それに応じて DNS レコードの Quay インスタンスのリストを更新します。

12.2. メトリックの概要

Red Hat Quay には、一般的なレジストリーの使用、アップロード、ダウンロード、ガベージコレクション、および認証についてのメトリックなど、レジストリーの監視に役立つメトリックが同梱されています。

12.2.1. 一般レジストリーの統計

一般的なレジストリー統計で、どの程度レジストリーが拡大しているかが分かります。

メトリクス名説明

quay_user_rows

データベースのユーザー数

quay_robot_rows

データベースのロボットアカウントの数

quay_org_rows

データベースの組織数

quay_repository_rows

データベースのリポジトリー数

quay_security_scanning_unscanned_images_remaining_total

最新のセキュリティースキャナーによってスキャンされないイメージの数

メトリックの出力サンプル

# HELP quay_user_rows number of users in the database
# TYPE quay_user_rows gauge
quay_user_rows{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="65",process_name="globalpromstats.py"} 3

# HELP quay_robot_rows number of robot accounts in the database
# TYPE quay_robot_rows gauge
quay_robot_rows{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="65",process_name="globalpromstats.py"} 2

# HELP quay_org_rows number of organizations in the database
# TYPE quay_org_rows gauge
quay_org_rows{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="65",process_name="globalpromstats.py"} 2

# HELP quay_repository_rows number of repositories in the database
# TYPE quay_repository_rows gauge
quay_repository_rows{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="65",process_name="globalpromstats.py"} 4

# HELP quay_security_scanning_unscanned_images_remaining number of images that are not scanned by the latest security scanner
# TYPE quay_security_scanning_unscanned_images_remaining gauge
quay_security_scanning_unscanned_images_remaining{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 5

12.2.2. キューアイテム

キューアイテム メトリックでは、作業管理用に Quay が使用する複数のキューに関する情報が分かります。

メトリクス名説明

quay_queue_items_available

特定のキュー内のアイテム数

quay_queue_items_locked

実行中のアイテム数

quay_queue_items_available_unlocked

処理を待機しているアイテム数

メトリックラベル

  • QUEUE_NAME: キューの名前。以下のいずれかになります。

    • exportactionlogs: アクションログをエクスポートするためのキューに追加されている要求。これらのログは処理され、ストレージに配置されます。その後、リンクがメールを介して要求元に送信されます。
    • namespacegc: キューに追加されてガベージコレクションされる namespace
    • notification: リポジトリー通知が送信されるキュー
    • repositorygc: ガベージコレクションを行うレポジトリーでキューに追加されているもの
    • secscanv4: Clair V4 に固有の通知キュー
    • dockerfilebuild: Quay docker ビルドのキュー
    • imagestoragereplication: 複数のストレージで複製されるようにキューに追加されている Blob
    • chunk_cleanup: 削除する必要があり、キューに追加されている Blog セグメント。これは、一部のストレージ実装 (Swift など) でのみ使用されます。

たとえば、キューラベルの repositorygc には、リポジトリーのガべージコレクションワーカーによって削除対象としてマークされたリポジトリーが含まれます。repositorygcqueue_name ラベル付きのメトリックの場合は、以下のようになります。

  • quay_queue_items_locked は、現在削除されているリポジトリーの数です。
  • quay_queue_items_available_unlocked は、ワーカーが処理するのを待機するリポジトリーの数です。

メトリックの出力サンプル

# HELP quay_queue_items_available number of queue items that have not expired
# TYPE quay_queue_items_available gauge
quay_queue_items_available{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="63",process_name="exportactionlogsworker.py",queue_name="exportactionlogs"} 0
...

# HELP quay_queue_items_available_unlocked number of queue items that have not expired and are not locked
# TYPE quay_queue_items_available_unlocked gauge
quay_queue_items_available_unlocked{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="63",process_name="exportactionlogsworker.py",queue_name="exportactionlogs"} 0
...

# HELP quay_queue_items_locked number of queue items that have been acquired
# TYPE quay_queue_items_locked gauge
quay_queue_items_locked{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="63",process_name="exportactionlogsworker.py",queue_name="exportactionlogs"} 0

12.2.3. ガベージコレクションメトリック

これらのメトリックは、ガベージコレクション (gc) から削除されたリソースの数を示します。ここでは、gc ワーカーが実行した回数と、削除された namespace、リポジトリー、および Blob の数が示されます。

メトリクス名説明

quay_gc_iterations_total

GCWorker による反復の数

quay_gc_namespaces_purged_total

NamespaceGCWorker によってパージされる namespace 数

quay_gc_repos_purged_total

RepositoryGCWorker または NamespaceGCWorker がパージするリポジトリーの数

quay_gc_storage_blobs_deleted_total

削除されたストレージ Blob の数

メトリックの出力サンプル

# TYPE quay_gc_iterations_created gauge
quay_gc_iterations_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823190189714e+09
...

# HELP quay_gc_iterations_total number of iterations by the GCWorker
# TYPE quay_gc_iterations_total counter
quay_gc_iterations_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

# TYPE quay_gc_namespaces_purged_created gauge
quay_gc_namespaces_purged_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823190189433e+09
...

# HELP quay_gc_namespaces_purged_total number of namespaces purged by the NamespaceGCWorker
# TYPE quay_gc_namespaces_purged_total counter
quay_gc_namespaces_purged_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
....

# TYPE quay_gc_repos_purged_created gauge
quay_gc_repos_purged_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.631782319018925e+09
...

# HELP quay_gc_repos_purged_total number of repositories purged by the RepositoryGCWorker or NamespaceGCWorker
# TYPE quay_gc_repos_purged_total counter
quay_gc_repos_purged_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

# TYPE quay_gc_storage_blobs_deleted_created gauge
quay_gc_storage_blobs_deleted_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823190189059e+09
...

# HELP quay_gc_storage_blobs_deleted_total number of storage blobs deleted
# TYPE quay_gc_storage_blobs_deleted_total counter
quay_gc_storage_blobs_deleted_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

12.2.3.1. マルチパートアップロードメトリック

マルチパートアップロードメトリックは、ストレージへの Blob アップロードの数 (S3、Raddos、GoogleCloudStorage、RHOCS) を表示します。これらは、Quay が Blob をストレージに正しくアップロードできない場合の問題を特定するのに役立ちます。

メトリクス名説明

quay_multipart_uploads_started_total

起動した Quay ストレージへのマルチパートアップロードの数

quay_multipart_uploads_completed_total

完了した Quay ストレージへのマルチパートアップロードの数

メトリックの出力サンプル

# TYPE quay_multipart_uploads_completed_created gauge
quay_multipart_uploads_completed_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823308284895e+09
...

# HELP quay_multipart_uploads_completed_total number of multipart uploads to Quay storage that completed
# TYPE quay_multipart_uploads_completed_total counter
quay_multipart_uploads_completed_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0

# TYPE quay_multipart_uploads_started_created gauge
quay_multipart_uploads_started_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823308284352e+09
...

# HELP quay_multipart_uploads_started_total number of multipart uploads to Quay storage that started
# TYPE quay_multipart_uploads_started_total counter
quay_multipart_uploads_started_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

12.2.4. イメージのプッシュ/プルのメトリック

イメージのプッシュおよびプルに関連する数多くのメトリックを利用できます。

12.2.4.1. イメージプルの合計

メトリクス名説明

quay_registry_image_pulls_total

レジストリーからダウンロードされたイメージの数

メトリックラベル

  • protocol: 使用するレジストリープロトコル (常に v2 に指定する)
  • ref: -tag マニフェストのプルに使用する ref
  • status: 要求の http 戻りコード

12.2.4.2. プルしたイメージ (バイト)

メトリクス名説明

quay_registry_image_pulled_estimated_bytes_total

レジストリーからダウンロードされたバイト数

メトリックラベル

  • protocol: 使用するレジストリープロトコル (常に v2 に指定する)

12.2.4.3. イメージのプッシュ合計

メトリクス名説明

quay_registry_image_pushes_total

レジストリーからアップロードされたイメージの数

メトリックラベル

  • protocol: 使用するレジストリープロトコル (常に v2 に指定する)
  • pstatus: 要求の http 戻りコード
  • pmedia_type: アップロードしたマニフェストタイプ

12.2.4.4. プッシュされたイメージバイト

メトリクス名説明

quay_registry_image_pushed_bytes_total

レジストリーにアップロードされたバイト数

メトリックの出力サンプル

# HELP quay_registry_image_pushed_bytes_total number of bytes pushed to the registry
# TYPE quay_registry_image_pushed_bytes_total counter
quay_registry_image_pushed_bytes_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="221",process_name="registry:application"} 0
...

12.2.5. 認証メトリック

認証メトリックでは、タイプ別にラベルが付けられた認証要求の数と、成功したかどうかが分かります。たとえば、このメトリックを使用して、失敗した Basic 認証要求を監視できます。

メトリクス名説明

quay_authentication_attempts_total

レジストリーおよび API 全体で認証を試行する回数

メトリックラベル

  • auth_kind: 使用される認証のタイプ。以下が含まれます。

    • basic
    • oauth
    • credentials
  • success: true または false

メトリックの出力サンプル

# TYPE quay_authentication_attempts_created gauge
quay_authentication_attempts_created{auth_kind="basic",host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="221",process_name="registry:application",success="True"} 1.6317843039374158e+09
...

# HELP quay_authentication_attempts_total number of authentication attempts across the registry and API
# TYPE quay_authentication_attempts_total counter
quay_authentication_attempts_total{auth_kind="basic",host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="221",process_name="registry:application",success="True"} 2
...

第13章 Red Hat Quay クォータの管理と適用の概要

Red Hat Quay では、ユーザーは、設定されたストレージクォータ制限を確立することにより、ストレージ消費を報告し、レジストリーの増加を抑えることができます。オンプレミスの Red Hat Quay ユーザーには、環境の容量制限を管理するための次の機能が装備されるようになりました。

  • Quota reporting: この機能を使用すると、スーパーユーザーはすべての組織のストレージ消費量を追跡できます。さらに、ユーザーは割り当てられた組織のストレージ消費量を追跡できます。
  • Quota management: この機能を使用すると、スーパーユーザーは Red Hat Quay ユーザーのソフトチェックとハードチェックを定義できます。ソフトチェックは、組織のストレージ消費量が設定されたしきい値に達しているかどうかをユーザーに通知します。ハードチェックは、ストレージ消費量が設定された制限に達したときにユーザーがレジストリーにプッシュするのを防ぎます。

これらの機能を組み合わせることで、Red Hat Quay レジストリーのサービス所有者はサービスレベル契約を定義し、健全なリソース予算をサポートできるようになります。

13.1. クォータ管理アーキテクチャー

クォータ管理機能を有効にすると、個々の BLOB サイズがリポジトリーレベルと名前空間レベルで合計されます。たとえば、同じリポジトリー内の 2 つのタグが同じ BLOB を参照している場合、その BLOB のサイズはリポジトリーの合計に対して 1 回だけカウントされます。さらに、マニフェストリストの合計もリポジトリーの合計にカウントされます。

重要

マニフェスト一覧の合計はリポジトリーの合計にカウントされるため、Red Hat Quay の以前のバージョンからアップグレードするときに消費される合計クォータは、Red Hat Quay 3.9 では大幅に異なる可能性があります。場合によっては、新しい合計がリポジトリーで以前に設定された制限を超える可能性があります。Red Hat Quay 管理者は、これらの変更を考慮して、リポジトリーに割り当てられたクォータを調整する必要がある場合があります。

クォータ管理機能は、バックフィルワーカーを使用して既存のリポジトリーと名前空間のサイズを計算し、その後プッシュまたはガベージコレクションされたすべてのイメージの合計を加算または減算することによって機能します。さらに、マニフェストがガベージコレクションされるときに、合計からの減算が行われます。

注記

マニフェストがガベージコレクションされるときに合計から減算が発生するため、ガベージコレクションが可能になるまでサイズの計算に遅れが生じます。ガベージコレクションの詳細は、Red Hat Quay ガベージコレクション を参照してください。

以下のデータベーステーブルには、組織内の Red Hat Quay リポジトリーのクォータリポジトリーサイズ、クォータ名前空間サイズ、およびクォータレジストリーサイズ (バイト単位) が保持されます。

  • QuotaRepositorySize
  • QuotaNameSpaceSize
  • QuotaRegistrySize

組織のサイズは、重複しないようにバックフィル作業者によって計算されます。イメージプッシュが初期化されると、ユーザーの組織ストレージが検証され、設定されたクォータ制限を超えているかどうかがチェックされます。イメージプッシュが定義されたクォータ制限を超えると、ソフトチェックまたはハードチェックが発生します。

  • ソフトチェックの場合は、ユーザーに通知されます。
  • ハードチェックの場合は、プッシュが停止します。

ストレージ消費量が設定済みのクォータ制限内にある場合は、プッシュを続行できます。

イメージマニフェストの削除も同様のフローに従い、関連するイメージタグとマニフェストの間のリンクが削除されます。さらに、イメージマニフェストが削除された後、リポジトリーサイズが再計算され、QuotaRepositorySizeQuotaNameSpaceSize、および QuotaRegistrySize テーブルで更新されます。

13.2. クォータ管理の制限

クォータ管理は、組織がリソース消費を維持するのに役立ちます。クォータ管理の制限の 1 つは、プッシュでリソース消費を計算すると、計算がプッシュのクリティカルパスの一部になることです。これがないと、使用状況データがドリフトする可能性があります。

最大ストレージクォータサイズは、選択したデータベースによって異なります。

表13.1 ワーカー数の環境変数

変数説明

Postgres

8388608 TB

MySQL

8388608 TB

SQL Server

16777216 TB

13.3. Red Hat Quay 3.9 のクォータ管理

Red Hat Quay 3.9 にアップグレードする場合は、クォータ管理機能を再設定する必要があります。これは、Red Hat Quay 3.9 では計算の方法が異なるためです。その結果、Red Hat Quay 3.9 より前の合計は無効になりました。Red Hat Quay 3.9 でクォータ管理を設定するには 2 つの方法があり、次のセクションで詳しく説明します。

注記
  • これは、Red Hat Quay 3.9 にアップグレードした後に実行する必要がある 1 回限りの計算です。
  • クォータを作成、更新、削除するにはスーパーユーザー権限が必要です。クォータはユーザーと組織に設定できますが、Red Hat Quay UI を使用して ユーザー クォータを再設定することはできず、代わりに API を使用する必要があります。

13.3.1. オプション A: QUOTA_TOTAL_DELAY 機能フラグを調整して Red Hat Quay 3.9 のクォータ管理を設定する

QUOTA_TOTAL_DELAY 機能フラグを調整して Red Hat Quay 3.9 クォータ管理を再計算するには、次の手順を使用します。

注記

この再計算オプションを使用すると、QUOTA_TOTAL_DELAY に指定された割り当て時間まで、合計は 0.00 KB として表示されます。

前提条件

  • Red Hat Quay 3.9 にアップグレードしている。
  • Red Hat Quay 3.9 にスーパーユーザーとしてログインしている。

手順

  1. 次の config.yaml 設定を使用して Red Hat Quay 3.9 をデプロイします。

    FEATURE_QUOTA_MANAGEMENT: true
    FEATURE_GARBAGE_COLLECTION: true
    PERMANENTLY_DELETE_TAGS: true
    QUOTA_TOTAL_DELAY_SECONDS: 1800 1
    RESET_CHILD_MANIFEST_EXPIRATION: true
    1
    QUOTA_TOTAL_DELAY_SECONDS フラグのデフォルトは 1800 秒、つまり 30 分です。これにより、クォータ管理機能がプッシュされたすべての BLOB のストレージ消費量の計算を開始する前に、Red Hat Quay 3.9 を正常にデプロイできます。このフラグをこれより小さい数値に設定すると、計算ミスが発生する可能性があります。Red Hat Quay デプロイメントの開始にかかる時間よりも大きな数値に設定する 必要があります。推奨設定は 1800 ですが、開始に 30 分以上かかる大規模なデプロイメントの場合は、1800 よりも長い時間が必要になる場合があります。
  2. Red Hat Quay UI に移動し、組織の名前をクリックします。
  3. Total Quota Consumed0.00 KB と表示されるはずです。さらに、Backfill Queued インジケーターが存在する必要があります。
  4. 割り当てられた時間 (たとえば 30 分) が経過したら、Red Hat Quay デプロイメントページを更新し、組織に戻ります。これで、Total Quota Consumed が表示されるはずです。

13.3.2. オプション B: QUOTA_TOTAL_DELAY_SECONDS を 0 に設定して Red Hat Quay 3.9 のクォータ管理を設定する

QUOTA_TOTAL_DELAY_SECONDS0 に設定して Red Hat Quay 3.9 クォータ管理を再計算するには、次の手順を使用します。

注記

このオプションを使用すると、計算ミスの可能性は回避されますが、時間がかかります。Red Hat Quay デプロイメントで FEATURE_QUOTA_MANAGEMENT パラメーターを false から true に切り替える場合は、次の手順を使用します。ほとんどのユーザーは次の外部参照を見つけます。

前提条件

  • Red Hat Quay 3.9 にアップグレードしている。
  • Red Hat Quay 3.9 にスーパーユーザーとしてログインしている。

手順

  1. 次の config.yaml 設定を使用して Red Hat Quay 3.9 をデプロイします。

    FEATURE_GARBAGE_COLLECTION: true
    FEATURE_QUOTA_MANAGEMENT: true
    QUOTA_BACKFILL: false
    QUOTA_TOTAL_DELAY_SECONDS: 0
    PERMANENTLY_DELETE_TAGS: true
    RESET_CHILD_MANIFEST_EXPIRATION: true
  2. Red Hat Quay UI に移動し、組織の名前をクリックします。
  3. Total Quota Consumed0.00 KB と表示されるはずです。
  4. Red Hat Quay を再デプロイし、QUOTA_BACKFILL フラグを true に設定します。以下に例を示します。

    QUOTA_BACKFILL: true
    注記

    合計を計算した後にクォータ管理を無効にすると、Red Hat Quay はその合計を古いものとしてマークします。後でクォータ管理機能を再度有効にすると、該当する名前空間とリポジトリーがバックフィルワーカーによって再計算されます。

13.4. Red Hat Quay 3.9 のクォータ管理のテスト

Red Hat Quay 3.9 用にクォータ管理が設定されているため、重複イメージはリポジトリー合計に対して 1 回だけカウントされるようになりました。

次の手順を使用して、重複イメージがリポジトリー合計に対して 1 回だけカウントされることをテストします。

前提条件

  • Red Hat Quay 3.9 のクォータ管理が設定されました。

手順

  1. 次のコマンドを入力して、サンプルイメージ (例: ubuntu:18.04) をプルします。

    $ podman pull ubuntu:18.04
  2. 次のコマンドを入力して、同じイメージに 2 回タグ付けします。

    $ podman tag docker.io/library/ubuntu:18.04 quay-server.example.com/quota-test/ubuntu:tag1
    $ podman tag docker.io/library/ubuntu:18.04 quay-server.example.com/quota-test/ubuntu:tag2
  3. 次のコマンドを入力して、サンプルイメージを組織にプッシュします。

    $ podman push --tls-verify=false quay-server.example.com/quota-test/ubuntu:tag1
    $ podman push --tls-verify=false quay-server.example.com/quota-test/ubuntu:tag2
  4. Red Hat Quay UI で、Organization に移動し、Repository Name (例: uota-test/ubuntu) をクリックします。次に、Tags をクリックします。tag1tag2 という 2 つのリポジトリータグがあり、それぞれ同じマニフェストを持つ必要があります。以下に例を示します。

    Manifest example

    ただし、Organization のリンクをクリックすると、Total Quota Consumed27.94 MB であることがわかります。これは、Ubuntu イメージが一度だけ考慮されていることを意味します。

    Total quota consumed

    Ubuntu タグの 1 つを削除しても、Total Quota Consumed は変わりません。

    注記

    Red Hat Quay タイムマシンを 0 秒より長く設定した場合、それらのタグがタイムマシンウィンドウを通過するまで減算は行われません。永久削除を迅速に行いたい場合は、Red Hat Quay 3.9 でのイメージタグの永久削除を参照してください。

13.5. デフォルトのクォータの設定

すべての組織およびユーザーに適用されるシステム全体のデフォルトのストレージクォータを指定するには、DEFAULT_SYSTEM_REJECT_QUOTA_BYTES 設定フラグを使用します。

組織またはユーザーに特定のクォータを設定してから、そのクォータを削除すると、システム全体のデフォルトのクォータが設定されている場合に適用されます。同様に、組織またはユーザーに特定のクォータを設定してから、システム全体のデフォルトクォータを変更した場合、更新されたシステム全体のデフォルトは特定の設定を上書きします。

DEFAULT_SYSTEM_REJECT_QUOTA_BYTES フラグの詳細については、

次のリンクを参照してください。

13.6. Red Hat Quay UI でクォータの確立

次の手順では、ストレージ消費量をレポートし、ストレージクォータ制限を設定する方法を説明します。

前提条件

  • Red Hat Quay レジストリー
  • スーパーユーザーアカウント
  • クォータ制限の要求を満たすのに十分なストレージ

手順

  1. 新しい組織を作成するか、既存の組織を選択します。Organization Settings タブに表示されているように、最初はクォータが設定されていません。

    No Quota Configured

  2. スーパーユーザーとしてレジストリーにログインし、Super User Admin PanelManage Organizations タブに移動します。ストレージクォータ制限を作成する組織の Options アイコンをクリックします。

    Organization options

  3. Configure Quota をクリックして、初期クォータ (たとえば 10 MB) を入力します。次に、Apply をクリックしてから Close をクリックします。

    Initial quota

  4. スーパーユーザーパネルの Manage Organizations タブで、消費されたクォータが 0 of 10 MB を示していることを確認します。

    Initial consumed quota

    消費されたクォータ情報は、組織ページから直接入手することもできます。

    最初に消費されたクォータ

    Initial consumed quota

  5. クォータを 100MB に増やすには、スーパーユーザーパネルの Manage Organizations タブに移動します。Options アイコンをクリックし、Configure Quota を選択して、クォータを 100 MB に設定します。Apply をクリックしてから Close をクリックします。

    Increase quota

  6. 次のコマンドを入力して、サンプルイメージをプルします。

    $ podman pull ubuntu:18.04
  7. 次のコマンドを入力して、サンプルイメージにタグを付けます。

    $ podman tag docker.io/library/ubuntu:18.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04
  8. 次のコマンドを入力して、サンプルイメージを組織にプッシュします。

    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04
  9. スーパーユーザーパネルには、組織ごとに消費されたクォータが表示されます。

    Total Quota Consumed for first image

  10. 組織ページには、イメージで使用されているクォータの合計比率が表示されます。

    最初のイメージで消費された合計クォータ

    Total Quota Consumed for first image

  11. 次のコマンドを入力して、2 番目のサンプルイメージを取得します。

    $ podman pull nginx
  12. 次のコマンドを入力して、2 番目のイメージにタグを付けます。

    $ podman tag docker.io/library/nginx example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx
  13. 次のコマンドを入力して、2 番目のイメージを組織にプッシュします。

    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx
  14. 組織ページには、その組織の各リポジトリーで使用されているクォータの合計比率が表示されます。

    各リポジトリーで消費された合計クォータ

    Total Quota Consumed for each repository

  15. 拒否警告 の制限を作成します。

    スーパーユーザーパネルから、Manage Organizations タブに移動します。組織の Options アイコンをクリックし、Configure Quota を選択します。Quota Policy セクションで、Action タイプを Reject に設定し、Quota Threshold80 に設定して、Add Limit をクリックします。

    Reject limit

  16. 警告 制限を作成するには、Action タイプに Warning を選択し、Quota Threshold70 に設定して、Add Limit をクリックします。

    Warning limit

  17. クォータポップアップで Close をクリックします。制限は、Organization ページの Settings タブで表示できますが、編集することはできません。

    Quota policy in organization settings

  18. 拒否制限を超えたイメージをプッシュします。

    拒否制限 (80%) が現在のリポジトリーサイズ (~83%) 未満に設定されているため、次にプッシュされたイメージは自動的に拒否されます。

    サンプルイメージプッシュ

    $ podman pull ubuntu:20.04
    
    $ podman tag docker.io/library/ubuntu:20.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04
    
    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04

    クォータを超えたときのサンプル出力

    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0002] failed, retrying in 1s ... (1/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0005] failed, retrying in 1s ... (2/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0009] failed, retrying in 1s ... (3/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace

  19. 制限を超えると、UI に通知が表示されます。

    クォータ通知

    Quota notifications

13.7. Red Hat Quay API を使用したクォータの確立

組織が最初に作成されたとき、割り当ては適用されていません。/api/v1/organization/{organization}/quota エンドポイントを使用します。

サンプルコマンド

$ curl -k -X GET -H "Authorization: Bearer <token>" -H 'Content-Type: application/json'  https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg/quota  | jq

出力例

[]

13.7.1. クォータの設定

組織の割り当てを設定するには、データを /api/v1/organization/{orgname}/quota エンドポイントに POST します。以下はコマンド例です。

$ curl -k -X POST -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' -d '{"limit_bytes": 10485760}'  https://example-registry-quay-quay-enterprise.apps.docs.quayteam.org/api/v1/organization/testorg/quota | jq

出力例

"Created"

13.7.2. クォータの表示

適用されたクォータを確認するには、/api/v1/organization/{orgname}/quota エンドポイントからデータを GET します。

サンプルコマンド

$ curl -k -X GET -H "Authorization: Bearer <token>" -H 'Content-Type: application/json'  https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg/quota  | jq

出力例

[
  {
    "id": 1,
    "limit_bytes": 10485760,
    "default_config": false,
    "limits": [],
    "default_config_exists": false
  }
]

13.7.3. クォータの変更

既存の割り当てを変更する (ここでは 10MB から 100MB に) には、データを /api/v1/organization/{orgname}/quota/{quota_id} エンドポイントに PUT します。

サンプルコマンド

$ curl -k -X PUT -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' -d '{"limit_bytes": 104857600}'  https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg/quota/1 | jq

出力例

{
  "id": 1,
  "limit_bytes": 104857600,
  "default_config": false,
  "limits": [],
  "default_config_exists": false
}

13.7.4. イメージのプッシュ

消費されたストレージを確認するには、さまざまなイメージを組織にプッシュします。

13.7.4.1. ubuntu:18.04 のプッシュ

コマンドラインから組織に ubuntu:18.04 をプッシュします。

サンプルコマンド

$ podman pull ubuntu:18.04

$ podman tag docker.io/library/ubuntu:18.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04

$ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04

13.7.4.2. API を使用してクォータの使用状況の表示

消費されたストレージを表示するには、/api/v1/repository エンドポイントからデータを GET します。

サンプルコマンド

$ curl -k -X GET -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' 'https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/repository?last_modified=true&namespace=testorg&popularity=true&public=true&quota=true' | jq

出力例

{
  "repositories": [
    {
      "namespace": "testorg",
      "name": "ubuntu",
      "description": null,
      "is_public": false,
      "kind": "image",
      "state": "NORMAL",
      "quota_report": {
        "quota_bytes": 27959066,
        "configured_quota": 104857600
      },
      "last_modified": 1651225630,
      "popularity": 0,
      "is_starred": false
    }
  ]
}

13.7.4.3. 別のイメージをプッシュ

  1. 2 番目のイメージをプル、タグ付け、プッシュします。たとえば、nginx です。

    サンプルコマンド

    $ podman pull nginx
    
    $ podman tag docker.io/library/nginx example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx
    
    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx

  2. 組織内のリポジトリーのクォータレポートを表示するには、/api/v1/repository エンドポイントを使用します。

    サンプルコマンド

    $ curl -k -X GET -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' 'https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/repository?last_modified=true&namespace=testorg&popularity=true&public=true&quota=true'

    出力例

    {
      "repositories": [
        {
          "namespace": "testorg",
          "name": "ubuntu",
          "description": null,
          "is_public": false,
          "kind": "image",
          "state": "NORMAL",
          "quota_report": {
            "quota_bytes": 27959066,
            "configured_quota": 104857600
          },
          "last_modified": 1651225630,
          "popularity": 0,
          "is_starred": false
        },
        {
          "namespace": "testorg",
          "name": "nginx",
          "description": null,
          "is_public": false,
          "kind": "image",
          "state": "NORMAL",
          "quota_report": {
            "quota_bytes": 59231659,
            "configured_quota": 104857600
          },
          "last_modified": 1651229507,
          "popularity": 0,
          "is_starred": false
        }
      ]
    }

  3. 組織の詳細でクォータ情報を表示するには、/api/v1/organization/{orgname} エンドポイントを使用します。

    サンプルコマンド

    $ curl -k -X GET -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' 'https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg' | jq

    出力例

    {
      "name": "testorg",
      ...
      "quotas": [
        {
          "id": 1,
          "limit_bytes": 104857600,
          "limits": []
        }
      ],
      "quota_report": {
        "quota_bytes": 87190725,
        "configured_quota": 104857600
      }
    }

13.7.5. クォータ制限を使用してプッシュの拒否

イメージプッシュが定義されたクォータ制限を超えると、ソフトチェックまたはハードチェックが発生します。

  • ソフトチェックまたは 警告 の場合は、ユーザーに通知されます。
  • ハードチェックまたは 拒否 の場合、プッシュは終了します。

13.7.5.1. 拒否および警告の制限の設定

拒否 および 警告 の制限を設定するには、データを /api/v1/organization/{orgname}/quota/{quota_id}/limit エンドポイントに POST します。

サンプル拒否制限コマンド

$ curl -k -X POST -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' -d '{"type":"Reject","threshold_percent":80}'  https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg/quota/1/limit

警告制限コマンドの例

$ curl -k -X POST -H "Authorization: Bearer <token>" -H 'Content-Type: application/json' -d '{"type":"Warning","threshold_percent":50}'  https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg/quota/1/limit

13.7.5.2. 拒否および警告の制限の表示

拒否 および 警告 の制限を表示するには、/api/v1/Organization/{orgname}/quota エンドポイントを使用します。

クォータ制限の表示

$  curl -k -X GET -H "Authorization: Bearer <token>" -H 'Content-Type: application/json'  https://example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/api/v1/organization/testorg/quota | jq

クォータ制限のサンプル出力

[
  {
    "id": 1,
    "limit_bytes": 104857600,
    "default_config": false,
    "limits": [
      {
        "id": 2,
        "type": "Warning",
        "limit_percent": 50
      },
      {
        "id": 1,
        "type": "Reject",
        "limit_percent": 80
      }
    ],
    "default_config_exists": false
  }
]

13.7.5.3. 拒否制限を超えたときにイメージをプッシュ

この例では、拒否制限 (80%) が現在のリポジトリーサイズ (~83%) 未満に設定されているため、次のプッシュは自動的に拒否されます。

コマンドラインからサンプルイメージを組織にプッシュします。

サンプルイメージプッシュ

$ podman pull ubuntu:20.04

$ podman tag docker.io/library/ubuntu:20.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04

$ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04

クォータを超えたときのサンプル出力

Getting image source signatures
Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
WARN[0002] failed, retrying in 1s ... (1/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
Getting image source signatures
Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
WARN[0005] failed, retrying in 1s ... (2/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
Getting image source signatures
Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
WARN[0009] failed, retrying in 1s ... (3/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
Getting image source signatures
Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace

13.7.5.4. 制限を超えた場合の通知

制限を超えると、通知が表示されます。

クォータ通知

Quota notifications

13.8. Red Hat Quay 3.9 での合計レジストリーサイズの計算

レジストリーの合計計算をキューに入れるには、次の手順を使用します。

注記

この機能はオンデマンドで実行され、レジストリーの合計の計算にはデータベースへの負荷がかかります。注意して使用してください。

前提条件

  • Red Hat Quay 3.9 にアップグレードしている。
  • Red Hat Quay スーパーユーザーとしてログインしています。

手順

  1. Red Hat Quay UI で、ユーザー名 → Super User Admin Panel をクリックします。
  2. ナビゲーションペインで、Manage Organizations をクリックします。
  3. Calculate をクリックします。これは、Total Registry Size: 0.00 KB, Updated: Never , Calculation required の横にあります。次に、OK をクリックします。
  4. レジストリーのサイズに応じて、数分後、ページを更新します。ここで、合計レジストリーサイズを計算する必要があります。以下に例を示します。

    Total registry size

13.9. イメージタグを完全に削除する

場合によっては、ユーザーがタイムマシンウィンドウの外でイメージタグを削除したい場合があります。イメージタグを手動で完全に削除するには、次の手順を実行します。

重要

次の手順の結果は元に戻すことはできません。注意して使用してください。

13.9.1. Red Hat Quay v2 UI を使用したイメージタグの完全な削除

Red Hat Quay v2 UI を使用してイメージタグを完全に削除するには、次の手順を実行します。

前提条件

  • config.yaml ファイルで FEATURE_UI_V2true に設定している。

手順

  1. config.yaml ファイルで PERMANENTLY_DELETE_TAGS および RESET_CHILD_MANIFEST_EXPIRATION パラメーターが true に設定されていることを確認してください。以下に例を示します。

    PERMANENTLY_DELETE_TAGS: true
    RESET_CHILD_MANIFEST_EXPIRATION: true
  2. ナビゲーションペインで、Repositories をクリックします。
  3. リポジトリーの名前 (例: quayadmin/busybox) をクリックします。
  4. 削除するイメージタグのボックスをオンにします (例: test)。
  5. ActionsPermanently Delete をクリックします。

    重要

    このアクションは永続的であり、元に戻すことはできません。

13.9.2. Red Hat Quay レガシー UI を使用したイメージタグの完全な削除

Red Hat Quay レガシー UI を使用してイメージタグを完全に削除するには、次の手順を実行します。

手順

  1. config.yaml ファイルで PERMANENTLY_DELETE_TAGS および RESET_CHILD_MANIFEST_EXPIRATION パラメーターが true に設定されていることを確認してください。以下に例を示します。

    PERMANENTLY_DELETE_TAGS: true
    RESET_CHILD_MANIFEST_EXPIRATION: true
  2. Red Hat Quay UI で、Repositories をクリックし、削除するイメージタグを含むリポジトリーの名前 (例: quayadmin/busybox) をクリックします。
  3. ナビゲーションウィンドウで、Tags をクリックします。
  4. 削除するタグの名前のボックスをオンにします (例: test)。
  5. Actions ドロップダウンメニューをクリックし、Delete TagsDelete Tags を選択します。
  6. ナビゲーションペインで Tag History をクリックします。
  7. 削除したばかりのタグの名前 (例: test) で、Delete test カテゴリーの下にある Permanently Delete をクリックします。以下に例を示します。

    イメージタグを完全に削除します

    Permanently delete image tag

    重要

    このアクションは永続的であり、元に戻すことはできません。

第14章 Geo レプリケーション

Geo レプリケーションでは、地理的に分散した複数の Red Hat Quay デプロイメントを、クライアントやユーザーの視点から、単一のレジストリーとして動作させることができます。グローバルに分散された Red Hat Quay のセットアップにおいて、プッシュとプルのパフォーマンスが大幅に向上します。イメージデータはバックグラウンドで非同期的に複製され、クライアントには透過的なフェイルオーバー/リダイレクトが行われます。

Geo レプリケーションを使用した Red Hat Quay のデプロイメントは、スタンドアロンおよび Operator デプロイメントでサポートされます。

14.1. Geo レプリケーション機能

  • Geo レプリケーションが設定されると、コンテナーイメージのプッシュはその Red Hat Quay インスタンスの優先ストレージエンジンに書き込まれます。これは通常、リージョン内で最も近いストレージバックエンドです。
  • 最初のプッシュの後、イメージデータはバックグランドで他のストレージエンジンに複製されます。
  • レプリケーションロケーションのリストは設定可能で、それらは異なるストレージバックエンドにできます。
  • イメージプルでは、プルのパフォーマンスを最大化するために、常に利用可能な最も近いストレージエンジンを使用します。
  • レプリケーションがまだ完了していない場合、プルでは代わりにソースストレージバックエンドが使用されます。

14.2. Geo レプリケーションの要件と制約

  • geo レプリケーション設定では、Red Hat Quay で、すべてのリージョンが他の全リージョンのオブジェクトストレージに対して読み取りと書き込みができるようにする必要があります。オブジェクトストレージは、他のすべてのリージョンから地理的にアクセスできる必要があります。
  • 1 つの geo レプリケーションサイトでオブジェクトストレージシステムに障害が発生した場合に、そのサイトの Red Hat Quay デプロイメントをシャットダウンして、クライアントがグローバルロードバランサーにより、ストレージシステムで問題のない残りのサイトにリダイレクトされるようにする必要があります。そうしないと、クライアントでプルとプッシュの失敗が発生します。
  • Red Hat Quay は、接続されたオブジェクトストレージシステムの健全性や可用性を内部的に認識しません。分散システムの健全性を監視し、ストレージのステータスに基づいてトラフィックを別のサイトにルーティングするには、ユーザーがグローバルロードバランサー (LB) を設定する必要があります。
  • Geo レプリケーションデプロイメントのステータスを確認するには、/health/endtoend チェックポイントを使用する必要があります。このチェックポイントは全体的な健全性の監視に使用されます。/health/endtoend エンドポイントを使用してリダイレクトを手動で設定する必要があります。/health/instance エンドポイントは、ローカルインスタンスの健全性のみをチェックします。
  • 1 つのサイトのオブジェクトストレージシステムが利用できなくなった場合に、残りのサイトの残りのストレージシステム (複数可) に自動的にリダイレクトされません。
  • Geo レプリケーションは非同期です。サイトが完全に失われると、そのサイトのオブジェクトストレージシステムに保存されていても、障害発生時に残りのサイトに複製されていないデータが失われます。
  • 単一のデータベース、つまりすべてのメタデータと Red Hat Quay 設定がすべてのリージョンで共有されます。

    Geo レプリケーションはデータベースをレプリケートしません。障害が発生すると、Geo レプリケーションが有効になっている Red Hat Quay は別のデータベースにフェイルオーバーしません。

  • 1 つの Redis キャッシュは Red Hat Quay のセットアップ全体で共有され、すべての Red Hat Quay Pod からアクセスできる必要があります。
  • ストレージバックエンド以外のすべてのリージョンで同じ設定を使用する必要があります。これは、QUAY_DISTRIBUTED_STORAGE_PREFERENCE 環境変数を使用して明示的に設定できます。
  • Geo レプリケーションでは、各リージョンにオブジェクトストレージが必要です。ローカルストレージでは機能しません。
  • 各リージョンは、ネットワークパスを必要とする各リージョン内のすべてのストレージエンジンにアクセスできる必要があります。
  • また、ストレージプロキシーオプションを使用することもできます。
  • ストレージバックエンド全体 (たとえば、すべての BLOB) がレプリケートされます。対照的に、リポジトリーミラーリングはリポジトリーまたはイメージに限定できます。
  • すべての Red Hat Quay インスタンスは、通常はロードバランサーを介して同じエントリーポイントを共有する必要があります。
  • すべての Red Hat Quay インスタンスは、共通の設定ファイル内で定義されているため、スーパーユーザーの同じセットが含まれる必要があります。
  • Geo レプリケーションでは、Clair 設定を unmanaged に設定する必要があります。アンマネージド Clair データベースにより、Red Hat Quay は geo-replicated environment で作業できます。この環境では、Red Hat Quay Operator の複数のインスタンスが同じデータベースと通信する必要があります。詳細は、Clair の詳細設定 を参照してください。
  • Geo レプリケーションには SSL/TLS 証明書とキーが必要です。詳細は、Red Hat Quay への接続を保護するための SSL/TSL の使用 を参照してください。

上記の要件を満たすことができない場合は、代わりに 2 つ以上の異なる Red Hat Quay のデプロイメントを使用し、リポジトリーミラーリング機能を利用する必要があります。

14.3. スタンドアロン Red Hat Quay を使用した Geo レプリケーション

次の図では、Red Hat Quay が 2 つの別々のリージョンでスタンドアロンで実行されており、共通のデータベースと共通の Redis インスタンスが使用されています。ローカライズされたイメージストレージは各リージョンで提供され、最も近くにある利用可能なストレージエンジンからイメージプルが提供されます。コンテナーイメージのプッシュは、Red Hat Quay インスタンスの優先ストレージエンジンに書き込まれ、バックグラウンドで他のストレージエンジンに複製されます。

注記

1 つのクラスター (たとえば、US クラスター) で Clair に障害が発生した場合、米国のユーザーには Red Hat Quay で 2 番目のクラスター (EU) の脆弱性レポートが表示されません。これは、すべての Clair インスタンスの状態が同じであるためです。Clair に障害が発生した場合、通常はクラスター内の問題が原因です。

Geo レプリケーションのアーキテクチャー

Geo-replication

14.3.1. ストレージレプリケーションを有効にする - スタンドアロン Quay

以下の手順を使用して、Red Hat Quay でストレージのレプリケーションを有効にします。

手順

  1. Red Hat Quay 設定エディターで、Registry Storage セクションを見つけます。
  2. Enable Storage Replication をクリックします。
  3. データを複製するストレージエンジンをそれぞれ追加します。使用するすべてのストレージエンジンをリストに載せる必要があります。
  4. すべてのイメージをすべてのストレージエンジンに完全に複製する必要がある場合は、各ストレージエンジン設定の下にある Replicate to storage engine by default をクリックします。これにより、すべてのイメージがそのストレージエンジンにレプリケートされます。

    注記

    名前空間ごとのレプリケーションを有効にするには、Red Hat Quay サポートにお問い合わせください。

  5. 完了したら、Save Configuration Changes をクリックします。設定の変更は、Red Hat Quay の再起動後に有効になります。
  6. ストレージを追加して Geo レプリケーションの Replicate to storage engine by default を有効にした後、すべてのストレージで既存のイメージデータを同期する必要があります。これを行うには、コンテナーに対して oc exec (または docker exec または kubectl exec) を実行し、次のコマンドを入力する必要があります。

    # scl enable python27 bash
    # python -m util.backfillreplication
    注記

    この操作は、新しいストレージを追加した後にコンテンツを同期するための 1 回限りの操作です。

14.3.2. ストレージの環境設定による Red Hat Quay の実行

  1. config.yaml を Red Hat Quay を実行しているすべてのマシンにコピーします。
  2. 各リージョンの各マシンは、マシンが稼働しているリージョンの優先ストレージエンジンを持つ QUAY_DISTRIBUTED_STORAGE_PREFERENCE 環境変数を追加します。

    たとえば、ヨーロッパで稼働しているマシンで、ホスト上の config ディレクトリーが $QUAY/config から利用できる場合です。

    $ sudo podman run -d --rm -p 80:8080 -p 443:8443  \
       --name=quay \
       -v $QUAY/config:/conf/stack:Z \
       -e QUAY_DISTRIBUTED_STORAGE_PREFERENCE=europestorage \
       registry.redhat.io/quay/quay-rhel8:v3.9.6
    注記

    指定された環境変数の値は、コンフィグパネルで定義されたロケーション ID の名前と一致する必要があります。

  3. すべての Red Hat Quay コンテナーを再起動します。

14.3.3. スタンドアロン Red Hat Quay デプロイメントから geo レプリケートされたサイトを削除する

以下の手順を使用すると、Red Hat Quay 管理者は geo レプリケートされたセットアップ内のサイトを削除できます。

前提条件

  • 少なくとも 2 つのサイト (例: usstorageeustorage) を使用して Red Hat Quay geo レプリケーションを設定している。
  • 各サイトに、独自の組織、リポジトリー、およびイメージタグがある。

手順

  1. 次のコマンドを実行して、定義されたすべてのサイト間で BLOB を同期します。

    $ python -m util.backfillreplication
    警告

    Red Hat Quay config.yaml ファイルからストレージエンジンを削除する前に、定義されているすべてのサイト間ですべての BLOB が同期されていることを確認する 必要があります。続行する前に、この手順を完了してください。

  2. サイト usstorage の Red Hat Quay config.yaml ファイルで、eustorage サイトの DISTRIBUTED_STORAGE_CONFIG エントリーを削除します。
  3. 次のコマンドを入力して、実行中のコンテナーのリストを取得します。

    $ podman ps

    出力例

    CONTAINER ID  IMAGE                                                                     COMMAND         CREATED         STATUS             PORTS                                        NAMES
    92c5321cde38  registry.redhat.io/rhel8/redis-5:1                                        run-redis       11 days ago     Up 11 days ago     0.0.0.0:6379->6379/tcp                       redis
    4e6d1ecd3811  registry.redhat.io/rhel8/postgresql-13:1-109                              run-postgresql  33 seconds ago  Up 34 seconds ago  0.0.0.0:5432->5432/tcp                       postgresql-quay
    d2eadac74fda  registry-proxy.engineering.redhat.com/rh-osbs/quay-quay-rhel8:v3.9.0-131  registry        4 seconds ago   Up 4 seconds ago   0.0.0.0:80->8080/tcp, 0.0.0.0:443->8443/tcp  quay

  4. 次のコマンドを入力して、PostgreSQL コンテナー内でシェルを実行します。

    $ podman exec -it postgresql-quay -- /bin/bash
  5. 次のコマンドを実行して psql を入力します。

    bash-4.4$ psql
  6. 次のコマンドを入力して、geo レプリケートされたデプロイメント内のサイトのリストを表示します。

    quay=# select * from imagestoragelocation;

    出力例

     id |       name
    ----+-------------------
      1 | usstorage
      2 | eustorage

  7. 次のコマンドを入力して postgres CLI を終了し、bash-4.4 に再度入ります。

    \q
  8. 次のコマンドを入力して、eustorage サイトを完全に削除します。

    重要

    次の操作は元に戻すことができません。注意して使用してください。

    bash-4.4$ python -m util.removelocation eustorage

    出力例

    WARNING: This is a destructive operation. Are you sure you want to remove eustorage from your storage locations? [y/n] y
    Deleted placement 30
    Deleted placement 31
    Deleted placement 32
    Deleted placement 33
    Deleted location eustorage

14.4. Red Hat Quay Operator を使用した Geo レプリケーション

Geo-replication architecture

上記の例では、Red Hat Quay Operator は、共通のデータベースと共通の Redis インスタンスを使用して、2 つの別々のリージョンにデプロイされています。ローカライズされたイメージストレージは各リージョンで提供され、最も近くにある利用可能なストレージエンジンからイメージプルが提供されます。コンテナーイメージのプッシュは、Quay インスタンスの推奨ストレージエンジンに書き込まれ、次にバックグラウンドで他のストレージエンジンに複製されます。

Operator は現在、Clair セキュリティースキャナーとそのデータベースを別々に管理しているため、Geo レプリケーションの設定を活用して、Clair データベースを管理しないようにできます。代わりに、外部共有データベースが使用されます。Red Hat Quay と Clair は、PostgreSQL のいくつかのプロバイダーとベンダーをサポートします。これらは Red Hat Quay 3.x test matrix にあります。さらに、Operator は、デプロイメントに挿入できるカスタム Clair 設定もサポートします。これにより、ユーザーは外部データベースの接続認証情報を使用して Clair を設定できます。

14.4.1. OpenShift Container Platform での Geo レプリケーションのセットアップ

OpenShift Container Platform で Geo レプリケーションを設定するには、次の手順を実行します。

手順

  1. Red Hat Quay の postgres インスタンスをデプロイします。
  2. 次のコマンドを入力してデータベースにログインします。

    psql -U <username> -h <hostname> -p <port> -d <database_name>
  3. quay という名前で Red Hat Quay のデータベースを作成します。以下に例を示します。

    CREATE DATABASE quay;
  4. データベース内で pg_trm 拡張機能を有効にします。

    \c quay;
    CREATE EXTENSION IF NOT EXISTS pg_trgm;
  5. Redis インスタンスをデプロイします。

    注記
    • クラウドプロバイダーに独自のサービスが含まれている場合は、Redis インスタンスをデプロイする必要がない可能性があります。
    • Builder を利用している場合は、Redis インスタンスをデプロイする必要があります。
    1. Redis 用の VM をデプロイします。
    2. Red Hat Quay が実行されているクラスターからアクセスできることを確認します。
    3. ポート 6379/TCP が開いている必要があります。
    4. インスタンス内で Redis を実行します。

      sudo dnf install -y podman
      podman run -d --name redis -p 6379:6379 redis
  6. クラスターごとに 1 つずつ、2 つのオブジェクトストレージバックエンドを作成します。1 つのオブジェクトストレージバケットが最初のクラスター (プライマリークラスター) の近くにあり、もう 1 つが 2 番目のクラスター (セカンダリークラスター) の近くにあると理想的です。
  7. 環境変数のオーバーライドを使用して、同じ設定バンドルでクラスターをデプロイし、個々のクラスターに適切なストレージバックエンドを選択します。
  8. クラスターへの単一のエントリーポイントを提供するように、ロードバランサーを設定します。

14.4.1.1. OpenShift Container Platform 上の Red Hat Quay Operator での Geo レプリケーションの設定

Red Hat Quay Operator の Geo レプリケーションを設定するには、次の手順を実行します。

手順

  1. クラスター間で共有される config.yaml ファイルを作成します。この config.yaml ファイルには、一般的な PostgreSQL、Redis、ストレージバックエンドの詳細が含まれています。

    Geo レプリケーションの config.yaml ファイル

    SERVER_HOSTNAME: <georep.quayteam.org or any other name> 1
    DB_CONNECTION_ARGS:
      autorollback: true
      threadlocals: true
    DB_URI: postgresql://postgres:password@10.19.0.1:5432/quay 2
    BUILDLOGS_REDIS:
      host: 10.19.0.2
      port: 6379
    USER_EVENTS_REDIS:
      host: 10.19.0.2
      port: 6379
    DISTRIBUTED_STORAGE_CONFIG:
      usstorage:
        - GoogleCloudStorage
        - access_key: GOOGQGPGVMASAAMQABCDEFG
          bucket_name: georep-test-bucket-0
          secret_key: AYWfEaxX/u84XRA2vUX5C987654321
          storage_path: /quaygcp
      eustorage:
        - GoogleCloudStorage
        - access_key: GOOGQGPGVMASAAMQWERTYUIOP
          bucket_name: georep-test-bucket-1
          secret_key: AYWfEaxX/u84XRA2vUX5Cuj12345678
          storage_path: /quaygcp
    DISTRIBUTED_STORAGE_DEFAULT_LOCATIONS:
      - usstorage
      - eustorage
    DISTRIBUTED_STORAGE_PREFERENCE:
      - usstorage
      - eustorage
    FEATURE_STORAGE_REPLICATION: true

    1
    ルートには適切な SERVER_HOSTNAME を使用する必要があり、グローバルロードバランサーのホスト名と一致する必要があります。
    2
    OpenShift Container Platform Operator を使用してデプロイされた Clair インスタンスの設定ファイルを取得するには、Clair 設定の取得 を参照してください。
  2. 次のコマンドを入力して、configBundleSecret を作成します。

    $ oc create secret generic --from-file config.yaml=./config.yaml georep-config-bundle
  3. 各クラスターで、configBundleSecret を設定し、QUAY_DISTRIBUTED_STORAGE_PREFERENCE 環境変数のオーバーライドを使用して、そのクラスターに適切なストレージを設定します。以下に例を示します。

    注記

    両方のデプロイメント間の config.yaml ファイルは一致する必要があります。一方のクラスターに変更を加える場合は、もう一方のクラスターでも変更する必要があります。

    US クラスター QuayRegistry の例

    apiVersion: quay.redhat.com/v1
    kind: QuayRegistry
    metadata:
      name: example-registry
      namespace: quay-enterprise
    spec:
      configBundleSecret: georep-config-bundle
      components:
        - kind: objectstorage
          managed: false
        - kind: route
          managed: true
        - kind: tls
          managed: false
        - kind: postgres
          managed: false
        - kind: clairpostgres
          managed: false
        - kind: redis
          managed: false
        - kind: quay
          managed: true
          overrides:
            env:
            - name: QUAY_DISTRIBUTED_STORAGE_PREFERENCE
              value: usstorage
        - kind: mirror
          managed: true
          overrides:
            env:
            - name: QUAY_DISTRIBUTED_STORAGE_PREFERENCE
              value: usstorage

    注記

    SSL/TLS は管理されておらず、ルートは管理されているため、設定ツールを使用するか、設定バンドルで直接、証明書を提供する必要があります。詳細は、TLS およびルートの設定 を参照してください。

    ヨーロッパのクラスター

    apiVersion: quay.redhat.com/v1
    kind: QuayRegistry
    metadata:
      name: example-registry
      namespace: quay-enterprise
    spec:
      configBundleSecret: georep-config-bundle
      components:
        - kind: objectstorage
          managed: false
        - kind: route
          managed: true
        - kind: tls
          managed: false
        - kind: postgres
          managed: false
        - kind: clairpostgres
          managed: false
        - kind: redis
          managed: false
        - kind: quay
          managed: true
          overrides:
            env:
            - name: QUAY_DISTRIBUTED_STORAGE_PREFERENCE
              value: eustorage
        - kind: mirror
          managed: true
          overrides:
            env:
            - name: QUAY_DISTRIBUTED_STORAGE_PREFERENCE
              value: eustorage

    注記

    SSL/TLS は管理されておらず、ルートは管理されているため、設定ツールを使用するか、設定バンドルで直接、証明書を提供する必要があります。詳細は、TLS およびルートの設定 を参照してください。

14.4.2. Red Hat Quay Operator デプロイメントから geo レプリケートされたサイトを削除する

以下の手順を使用すると、Red Hat Quay 管理者は geo レプリケートされたセットアップ内のサイトを削除できます。

前提条件

  • OpenShift Container Platform にログインしている。
  • 少なくとも 2 つのサイト (例: usstorageeustorage) を使用して Red Hat Quay geo レプリケーションを設定している。
  • 各サイトに、独自の組織、リポジトリー、およびイメージタグがある。

手順

  1. 次のコマンドを実行して、定義されたすべてのサイト間で BLOB を同期します。

    $ python -m util.backfillreplication
    警告

    Red Hat Quay config.yaml ファイルからストレージエンジンを削除する前に、定義されているすべてのサイト間ですべての BLOB が同期されていることを確認する 必要があります

    このコマンドを実行すると、レプリケーションワーカーによって取得されるレプリケーションジョブが作成されます。レプリケートする必要がある Blob がある場合、スクリプトはレプリケートされる Blob の UUID を返します。このコマンドを複数回実行したときに、スクリプトから返された出力が空であっても、レプリケーションプロセスが完了したことを意味するわけではありません。それはレプリケーションのためにキューに入れる Blob が残っていないことを意味します。レプリケーションにかかる割り当て時間は検出された Blob の数によって異なるため、次のステップに進む前に適切に評価してください。

    または、Microsoft Azure などのサードパーティーのクラウドツールを使用して、同期ステータスを確認することもできます。

    このステップは次に進む前に完了する必要があります。

  2. サイト usstorage の Red Hat Quay config.yaml ファイルで、eustorage サイトの DISTRIBUTED_STORAGE_CONFIG エントリーを削除します。
  3. 次のコマンドを入力して、Quay アプリケーション Pod を識別します。

    $ oc get pod -n <quay_namespace>

    出力例

    quay390usstorage-quay-app-5779ddc886-2drh2
    quay390eustorage-quay-app-66969cd859-n2ssm

  4. 以下のコマンドを入力して、usstorage Pod でインタラクティブシェルセッションを開きます。

    $ oc rsh quay390usstorage-quay-app-5779ddc886-2drh2
  5. 次のコマンドを入力して、eustorage サイトを完全に削除します。

    重要

    次の操作は元に戻すことができません。注意して使用してください。

    sh-4.4$ python -m util.removelocation eustorage

    出力例

    WARNING: This is a destructive operation. Are you sure you want to remove eustorage from your storage locations? [y/n] y
    Deleted placement 30
    Deleted placement 31
    Deleted placement 32
    Deleted placement 33
    Deleted location eustorage

14.5. Geo レプリケーションのための複合ストレージ

Red Hat Quay の Geo レプリケーションは、異なる複数のレプリケーションターゲットの使用をサポートしています。たとえば、パブリッククラウドの AWS S3 ストレージとオンプレミスの Ceph ストレージを使用します。これは、すべての Red Hat Quay Pod とクラスターノードからすべてのストレージバックエンドへのアクセスを許可するという重要な要件を複雑にします。そのため、以下を使用することを推奨します。

  • 内部ストレージの可視性を防ぐための VPN、または
  • Red Hat Quay が使用する特定のバケットへのアクセスのみを許可するトークンペア

これにより、Red Hat Quay のパブリッククラウドインスタンスがオンプレミスのストレージにアクセスできるようになりますが、ネットワークは暗号化され、保護され、ACL を使用するため、セキュリティー要件が満たされます。

これらのセキュリティー対策を実施できない場合は、2 つの異なる Red Hat Quay レジストリーをデプロイし、Geo レプリケーションの代わりにリポジトリーミラーリングを使用することが推奨されます。

第15章 スタンドアロンデプロイメントでの Red Hat Quay のバックアップと復元

このセクションの内容を使用して、スタンドアロンデプロイメントの Red Hat Quay をバックアップおよび復元します。

15.1. スタンドアロンデプロイメントでの Red Hat Quay のバックアップ

この手順では、スタンドアロンデプロイメントで Red Hat Quay のバックアップを作成する方法について説明します。

手順

  1. 一時バックアップディレクトリーを作成します (例: quay-backup)。

    $ mkdir /tmp/quay-backup
  2. 以下のコマンド例は、Red Hat Quay が開始されたローカルディレクトリー (/opt/quay-install など) を示しています。

    $ podman run --name quay-app \
       -v /opt/quay-install/config:/conf/stack:Z \
       -v /opt/quay-install/storage:/datastorage:Z \
       registry.redhat.io/quay/quay-rhel8:v3.9.6

    次のコマンドを実行して、コンテナー内の /conf/stack にバインドマウントするディレクトリー (/opt/quay-install など) に移動します。

    $ cd /opt/quay-install
  3. 以下のコマンドを入力して、Red Hat Quay デプロイメントの内容を quay-backup ディレクトリーのアーカイブに圧縮します。

    $ tar cvf /tmp/quay-backup/quay-backup.tar.gz *

    出力例:

    config.yaml
    config.yaml.bak
    extra_ca_certs/
    extra_ca_certs/ca.crt
    ssl.cert
    ssl.key
  4. 次のコマンドを入力して、Quay コンテナーサービスをバックアップします。

    $ podman inspect quay-app | jq -r '.[0].Config.CreateCommand | .[]' | paste -s -d ' ' -
    
      /usr/bin/podman run --name quay-app \
      -v /opt/quay-install/config:/conf/stack:Z \
      -v /opt/quay-install/storage:/datastorage:Z \
      registry.redhat.io/quay/quay-rhel8:v3.9.6
  5. 次のコマンドを入力して、conf/stack/config.yaml ファイルの内容を一時的に作成した quay-config.yaml ファイルにリダイレクトします。

    $ podman exec -it quay cat /conf/stack/config.yaml > /tmp/quay-backup/quay-config.yaml
  6. 以下のコマンドを入力して、一時的に作成した quay-config.yaml にある DB_URI を取得します。

    $ grep DB_URI /tmp/quay-backup/quay-config.yaml

    出力例:

    $ postgresql://<username>:test123@172.24.10.50/quay
  7. 次のコマンドを入力して、PostgreSQL の内容をバックアップ .sql ファイルの一時バックアップディレクトリーに抽出します。

    $ pg_dump -h 172.24.10.50  -p 5432 -d quay  -U  <username>   -W -O > /tmp/quay-backup/quay-backup.sql
  8. 次のコマンドを入力して、DISTRIBUTED_STORAGE_CONFIG の内容を出力します。

    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_secret_key: <s3_secret_key>
          host: <host_name>
  9. ステップ 7 で取得した access_key 認証情報を使用して、AWS_ACCESS_KEY_ID をエクスポートします。

    $ export AWS_ACCESS_KEY_ID=<access_key>
  10. ステップ 7 で取得した secret_key を使用して、AWS_SECRET_ACCESS_KEY をエクスポートします。

    $ export AWS_SECRET_ACCESS_KEY=<secret_key>
  11. DISTRIBUTED_STORAGE_CONFIGhostname から quay バケットを /tmp/quay-backup/blob-backup/ ディレクトリーに同期します。

    $ aws s3 sync s3://<bucket_name>  /tmp/quay-backup/blob-backup/ --source-region us-east-2

    出力例:

    download: s3://<user_name>/registry/sha256/9c/9c3181779a868e09698b567a3c42f3744584ddb1398efe2c4ba569a99b823f7a to registry/sha256/9c/9c3181779a868e09698b567a3c42f3744584ddb1398efe2c4ba569a99b823f7a
    download: s3://<user_name>/registry/sha256/e9/e9c5463f15f0fd62df3898b36ace8d15386a6813ffb470f332698ecb34af5b0d to registry/sha256/e9/e9c5463f15f0fd62df3898b36ace8d15386a6813ffb470f332698ecb34af5b0d

機密情報が含まれているため、quay バケットを同期した後は quay-config.yaml ファイルを削除することを推奨します。quay-config.yaml ファイルは quay-backup.tar.gz ファイルにバックアップされるため、失われることはありません。

15.2. スタンドアロンデプロイメントでの Red Hat Quay の復元

この手順では、スタンドアロンデプロイメントで Red Hat Quay を復元する方法について説明します。

前提条件

  • Red Hat Quay デプロイメントをバックアップしている。

手順

  1. Red Hat Quay コンテナー内の /conf/stack にバインドマウントする新しいディレクトリーを作成します。

    $ mkdir /opt/new-quay-install
  2. 「スタンドアロンデプロイメントでの Red Hat Quay のバックアップ」 で作成した一時バックアップディレクトリーの内容を、ステップ 1 で作成した new-quay-install1 ディレクトリーにコピーします。

    $ cp /tmp/quay-backup/quay-backup.tar.gz /opt/new-quay-install/
  3. 次のコマンドを入力して、new-quay-install ディレクトリーに移動します。

    $ cd /opt/new-quay-install/
  4. Red Hat Quay ディレクトリーの内容を抽出します。

    $ tar xvf /tmp/quay-backup/quay-backup.tar.gz *

    出力例:

    config.yaml
    config.yaml.bak
    extra_ca_certs/
    extra_ca_certs/ca.crt
    ssl.cert
    ssl.key
  5. 次のコマンドを入力して、バックアップした config.yaml ファイルから DB_URI を呼び出します。

    $ grep DB_URI config.yaml

    出力例:

    postgresql://<username>:test123@172.24.10.50/quay
  6. 次のコマンドを実行して、PostgreSQL データベースサーバーに入ります。

    $ sudo postgres
  7. 次のコマンドを入力して、psql と入力し、172.24.10.50 に新しいデータベースを作成して、quay データベースを復元します (例: example_restore_registry_quay_database)。

    $ psql "host=172.24.10.50  port=5432 dbname=postgres user=<username>  password=test123"
    postgres=> CREATE DATABASE example_restore_registry_quay_database;

    出力例:

    CREATE DATABASE
  8. 次のコマンドを実行して、データベースに接続します。

    postgres=# \c "example-restore-registry-quay-database";

    出力例:

    You are now connected to database "example-restore-registry-quay-database" as user "postgres".
  9. 次のコマンドを実行して、Quay データベースの pg_trmg エクステンションを作成します。

    example_restore_registry_quay_database=> CREATE EXTENSION IF NOT EXISTS pg_trgm;

    出力例:

    CREATE EXTENSION
  10. 次のコマンドを入力して、postgres CLI を終了します。

    \q
  11. 次のコマンドを実行して、データベースのバックアップを新しいデータベースにインポートします。

    $ psql "host=172.24.10.50 port=5432 dbname=example_restore_registry_quay_database user=<username> password=test123"  -W <  /tmp/quay-backup/quay-backup.sql

    出力例:

    SET
    SET
    SET
    SET
    SET

    Red Hat Quay のデプロイメントを再起動する前に config.yamlDB_URI の値を postgresql://<username>:test123@172.24.10.50/quay から postgresql://<username>:test123@172.24.10.50/example-restore-registry-quay-database に更新してください。

    注記

    DB_URI の形式は DB_URI postgresql://<login_user_name>:<login_user_password>@<postgresql_host>/<quay_database> です。ある PostgreSQL サーバーから別の PostgreSQL サーバーに移動する場合は、<login_user_name><login_user_password>、および <postgresql_host> の値を同時に更新します。

  12. /opt/new-quay-install ディレクトリーで、DISTRIBUTED_STORAGE_CONFIG バンドルの内容を出力します。

    $ cat config.yaml | grep DISTRIBUTED_STORAGE_CONFIG -A10

    出力例:

    DISTRIBUTED_STORAGE_CONFIG:
       default:
    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_secret_key: <s3_secret_key>
          host: <host_name>
    注記

    Red Hat Quay のデプロイメントを再起動する前に /opt/new-quay-install にある DISTRIBUTED_STORAGE_CONFIG を更新する必要があります。

  13. ステップ 13 で取得した access_key 認証情報を使用して、AWS_ACCESS_KEY_ID をエクスポートします。

    $ export AWS_ACCESS_KEY_ID=<access_key>
  14. ステップ 13 で取得した secret_key を使用して、AWS_SECRET_ACCESS_KEY をエクスポートします。

    $ export AWS_SECRET_ACCESS_KEY=<secret_key>
  15. 次のコマンドを入力して、新しい s3 バケットを作成します。

    $ aws s3 mb s3://<new_bucket_name>  --region us-east-2

    出力例:

    $ make_bucket: quay
  16. 次のコマンドを入力して、すべての Blob を新しい s3 バケットにアップロードします。

    $ aws s3 sync --no-verify-ssl \
    --endpoint-url <example_endpoint_url> 1
    /tmp/quay-backup/blob-backup/. s3://quay/
    1
    Red Hat Quay レジストリーのエンドポイントは、バックアップ前と復元後に同じである必要があります。

    出力例:

    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/50/505edb46ea5d32b5cbe275eb766d960842a52ee77ac225e4dc8abb12f409a30d to s3://quay/datastorage/registry/sha256/50/505edb46ea5d32b5cbe275eb766d960842a52ee77ac225e4dc8abb12f409a30d
    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/27/27930dc06c2ee27ac6f543ba0e93640dd21eea458eac47355e8e5989dea087d0 to s3://quay/datastorage/registry/sha256/27/27930dc06c2ee27ac6f543ba0e93640dd21eea458eac47355e8e5989dea087d0
    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/8c/8c7daf5e20eee45ffe4b36761c4bb6729fb3ee60d4f588f712989939323110ec to s3://quay/datastorage/registry/sha256/8c/8c7daf5e20eee45ffe4b36761c4bb6729fb3ee60d4f588f712989939323110ec
    ...
  17. Red Hat Quay デプロイメントを再起動する前に、config.yaml でストレージ設定を更新します。

    DISTRIBUTED_STORAGE_CONFIG:
       default:
    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <new_bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_secret_key: <s3_secret_key>
          host: <host_name>

第16章 スタンドアロン Red Hat Quay デプロイメントから Red Hat Quay Operator デプロイメントへの移行

以下の手順で、スタンドアロン Red Hat Quay デプロイメントをバックアップし、これを OpenShift Container Platform の Red Hat Quay Operator に移行できます。

16.1. Red Hat Quay のスタンドアロンデプロイメントのバックアップ

手順

  1. スタンドアロン Red Hat Quay デプロイメントの config.yaml をバックアップします。

    $ mkdir /tmp/quay-backup
    $ cp /path/to/Quay/config/directory/config.yaml /tmp/quay-backup
  2. スタンドアロン Red Hat Quay デプロイメントが使用しているデータベースのバックアップを作成します。

    $ pg_dump -h DB_HOST -p 5432 -d QUAY_DATABASE_NAME -U QUAY_DATABASE_USER -W -O > /tmp/quay-backup/quay-database-backup.sql
  3. AWS CLI がない場合はインストールします。
  4. ~/.aws/ ディレクトリーを作成します。

    $ mkdir ~/.aws/
  5. スタンドアロンデプロイメントの config.yaml から access_keysecret_key を取得します。

    $ grep -i DISTRIBUTED_STORAGE_CONFIG -A10 /tmp/quay-backup/config.yaml

    出力例:

    DISTRIBUTED_STORAGE_CONFIG:
        minio-1:
            - RadosGWStorage
            - access_key: ##########
              bucket_name: quay
              hostname: 172.24.10.50
              is_secure: false
              port: "9000"
              secret_key: ##########
              storage_path: /datastorage/registry
  6. config.yaml ファイルの access_keysecret_key~/.aws ディレクトリーに保存します。

    $ touch ~/.aws/credentials
  7. オプション: access_key および secret_key が保存されていることを確認します。

    $ cat > ~/.aws/credentials << EOF
    [default]
    aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
    aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
    EOF

    出力例:

    aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
    aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
    注記

    aws cli`~/.aws/credentials file ファイルから access_key および secret_key を自動的に収集しない場合、aws configure を実行して手動でクレデンシャルを入力することで、それを設定できます。

  8. quay-backup ディレクトリーで、bucket_backup ディレクトリーを作成します。

    $ mkdir /tmp/quay-backup/bucket-backup
  9. S3 ストレージからすべての Blob をバックアップします。

    $ aws s3 sync --no-verify-ssl --endpoint-url https://PUBLIC_S3_ENDPOINT:PORT s3://QUAY_BUCKET/ /tmp/quay-backup/bucket-backup/
    注記

    PUBLIC_S3_ENDPOINT は、DISTRIBUTED_STORAGE_CONFIGhostname の下にある Red Hat Quay の config.yaml ファイルから読み取ることができます。エンドポイントがセキュアでない場合、エンドポイント URL の https ではなく http を使用します。

この時点で、すべての Red Hat Quay データ、Blob、データベース、および config.yaml ファイルの完全なバックアップがローカルに保存されているはずです。次のセクションでは、スタンドアロンデプロイメントのバックアップを OpenShift Container Platform の Red Hat Quay に移行します。

16.2. バックアップされたスタンドアロンコンテンツを使用した OpenShift Container Platform への移行

前提条件

  • スタンドアロン Red Hat Quay のデータ、Blob、データベース、および config.yaml がバックアップされている。
  • Red Hat Quay が、Red Hat Quay Operator を使用して OpenShift Container Platform にデプロイされている。
  • すべてのコンポーネントが managed に設定された QuayRegistry
手順

このドキュメントの手順では、quay-enterprise の namespace を使用します。

  1. Red Hat Quay Operator をスケールダウンします。

    $ oc scale --replicas=0 deployment quay-operator.v3.6.2 -n openshift-operators
  2. アプリケーションをスケールダウンし、デプロイメントをミラーリングします。

    $ oc scale --replicas=0 deployment QUAY_MAIN_APP_DEPLOYMENT QUAY_MIRROR_DEPLOYMENT
  3. データベース SQL バックアップを Quay PostgreSQL データベースインスタンスにコピーします。

    $ oc cp /tmp/user/quay-backup/quay-database-backup.sql quay-enterprise/quayregistry-quay-database-54956cdd54-p7b2w:/var/lib/pgsql/data/userdata
  4. オペレーターが作成した config.yaml ファイルからデータベースパスワードを取得します。

    $ oc get deployment quay-quay-app -o json | jq '.spec.template.spec.volumes[].projected.sources' | grep -i config-secret

    出力例:

          "name": "QUAY_CONFIG_SECRET_NAME"
    $ oc get secret quay-quay-config-secret-9t77hb84tb -o json | jq '.data."config.yaml"' | cut -d '"' -f2 | base64 -d -w0 > /tmp/quay-backup/operator-quay-config-yaml-backup.yaml
    cat /tmp/quay-backup/operator-quay-config-yaml-backup.yaml | grep -i DB_URI

    出力例:

    postgresql://QUAY_DATABASE_OWNER:PASSWORD@DATABASE_HOST/QUAY_DATABASE_NAME
  5. データベース Pod 内でシェルを実行します。

    # oc exec -it quay-postgresql-database-pod -- /bin/bash
  6. psql を入力します。

    bash-4.4$ psql
  7. データベースを削除します。

    postgres=# DROP DATABASE "example-restore-registry-quay-database";

    出力例:

    DROP DATABASE
  8. 新しいデータベースを作成し、所有者を同じ名前に設定します。

    postgres=# CREATE DATABASE "example-restore-registry-quay-database" OWNER "example-restore-registry-quay-database";

    出力例:

    CREATE DATABASE
  9. データベースに接続します。

    postgres=# \c "example-restore-registry-quay-database";

    出力例:

    You are now connected to database "example-restore-registry-quay-database" as user "postgres".
  10. Quay データベースの pg_trmg エクステンションを作成します。

    example-restore-registry-quay-database=# create extension pg_trgm ;

    出力例:

    CREATE EXTENSION
  11. postgres CLI を終了して bash-4.4 を再入力します。

    \q
  12. PostgreSQL デプロイメントのパスワードを設定します。

    bash-4.4$ psql -h localhost -d "QUAY_DATABASE_NAME" -U QUAY_DATABASE_OWNER -W < /var/lib/pgsql/data/userdata/quay-database-backup.sql

    出力例:

    SET
    SET
    SET
    SET
    SET
  13. bash モードを終了します。

    bash-4.4$ exit
  14. Red Hat Quay Operator の新規設定バンドルを作成します。

    $ touch config-bundle.yaml
  15. 新規の config-bundle.yaml で、LDAP 設定、キー、古いレジストリーのその他の変更など、レジストリーに必要なすべての情報を含めます。以下のコマンドを実行して secret_keyconfig-bundle.yaml に移動します。

    $ cat /tmp/quay-backup/config.yaml | grep SECRET_KEY > /tmp/quay-backup/config-bundle.yaml
    注記

    すべての LDAP、OIDC、およびその他の情報を手動でコピーし、それを /tmp/quay-backup/config-bundle.yaml ファイルに追加する必要があります。

  16. OpenShift クラスター内に設定バンドルシークレットを作成します。

    $ oc create secret generic new-custom-config-bundle --from-file=config.yaml=/tmp/quay-backup/config-bundle.yaml
  17. Quay Pod をスケールアップします。

    $ oc scale --replicas=1 deployment quayregistry-quay-app
    deployment.apps/quayregistry-quay-app scaled
  18. ミラー Pod をスケールアップします。

    $ oc scale --replicas=1  deployment quayregistry-quay-mirror
    deployment.apps/quayregistry-quay-mirror scaled
  19. QuayRegistry CRD にパッチを適用し、新規カスタム設定バンドルへの参照が含まれるようにします。

    $ oc patch quayregistry QUAY_REGISTRY_NAME --type=merge -p '{"spec":{"configBundleSecret":"new-custom-config-bundle"}}'
    注記

    Red Hat Quay が内部サーバーエラー 500 を返した場合、DISTRIBUTED_STORAGE_CONFIGlocationdefault に更新する必要がある場合があります。

  20. /.aws/ ディレクトリーに新しい AWScredentials.yaml を作成し、Operator が作成した config.yaml ファイルから access_keysecret_key を含めます。

    $ touch credentials.yaml
    $ grep -i DISTRIBUTED_STORAGE_CONFIG -A10 /tmp/quay-backup/operator-quay-config-yaml-backup.yaml
    $ cat > ~/.aws/credentials << EOF
    [default]
    aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
    aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
    EOF
    注記

    aws cli`~/.aws/credentials file ファイルから access_key および secret_key を自動的に収集しない場合、aws configure を実行して手動でクレデンシャルを入力することで、それを設定できます。

  21. NooBaa の公開されているエンドポイントを記録します。

    $ oc get route s3 -n openshift-storage -o yaml -o jsonpath="{.spec.host}{'\n'}"
  22. バックアップデータを NooBaa バックエンドストレージに同期します。

    $ aws s3 sync --no-verify-ssl --endpoint-url https://NOOBAA_PUBLIC_S3_ROUTE /tmp/quay-backup/bucket-backup/* s3://QUAY_DATASTORE_BUCKET_NAME
  23. Operator のバックアップを最大 1 Pod にスケールアップします。

    $ oc scale –replicas=1 deployment quay-operator.v3.6.4 -n openshift-operators

Operator は、指定されたカスタム設定バンドルを使用して、すべてのシークレットとデプロイメントを調整します。OpenShift Container Platform 上の新しい Red Hat Quay デプロイメントには、古いデプロイメントに含まれていたすべての情報が含まれています。すべてのイメージを取得できるはずです。

第17章 アーティファクトタイプの設定

Red Hat Quay 管理者は、FEATURE_GENERAL_OCI_SUPPORTALLOWED_OCI_ARTIFACT_TYPES、および IGNORE_UNKNOWN_MEDIATYPES 設定フィールドを使用して、Open Container Initiative (OCI) アーティファクトタイプおよびその他の実験的アーティファクトタイプを設定できます。

次の Open Container Initiative (OCI) アーティファクトタイプは、デフォルトで Red Hat Quay に組み込まれており、FEATURE_GENERAL_OCI_SUPPORT 設定フィールドを通じて有効になります。

フィールドメディアタイプサポートされているコンテンツタイプ

Helm

application/vnd.cncf.helm.config.v1+json

application/tar+gzipapplication/vnd.cncf.helm.chart.content.v1.tar+gzip

Cosign

application/vnd.oci.image.config.v1+json

application/vnd.dev.cosign.simplesigning.v1+jsonapplication/vnd.dsse.envelope.v1+json

SPDX

application/vnd.oci.image.config.v1+json

text/spdxtext/spdx+xmltext/spdx+json

Syft

application/vnd.oci.image.config.v1+json

application/vnd.syft+json

CycloneDX

application/vnd.oci.image.config.v1+json

application/vnd.cyclonedxapplication/vnd.cyclonedx+xmlapplication/vnd.cyclonedx+json

In-toto

application/vnd.oci.image.config.v1+json

application/vnd.in-toto+json

Unknown

application/vnd.cncf.openpolicyagent.policy.layer.v1+rego

application/vnd.cncf.openpolicyagent.policy.layer.v1+regoapplication/vnd.cncf.openpolicyagent.data.layer.v1+json

さらに、Red Hat Quay は ZStandard または zstd を使用して、コンテナーイメージまたはその他の関連アーティファクトのサイズを削減します。Zstd は、コンテナーイメージを操作する際のストレージの最適化と転送速度の向上に役立ちます。

次の手順を使用して、デフォルトおよび試験的な OCI メディアタイプのサポートを設定します。

17.1. OCI アーティファクトタイプの設定

以下の手順を使用して、デフォルトで Red Hat Quay に埋め込まれるアーティファクトタイプを設定します。

前提条件

  • Red Hat Quay 管理者権限を持がある。

手順

  • Red Hat Quay の config.yaml ファイルで、FEATURE_GENERAL_OCI_SUPPORT フィールドを true に設定して、一般的な OCI サポートのサポートを有効にしている。以下に例を示します。

    FEATURE_GENERAL_OCI_SUPPORT: true

    FEATURE_GENERAL_OCI_SUPPORT を true に設定すると、Red Hat Quay ユーザーはデフォルトのアーティファクトタイプのチャートを Red Hat Quay デプロイメントにプッシュおよびプルできるようになりました。

17.2. 追加のアーティファクトタイプの設定

以下の手順を使用して、Red Hat Quay デプロイメント用に追加の特定のアーティファクトタイプを設定します。

注記

ALLOWED_OCI_ARTIFACT_TYPES 設定フィールドを使用すると、Red Hat Quay レジストリーで受け入れられるアーティファクトのタイプを制限できます。Red Hat Quay デプロイメントですべてのアーティファクトタイプを受け入れるようにする場合は、不明なメディアタイプの設定を参照してください。

前提条件

  • Red Hat Quay 管理者権限を持がある。

手順

  • ALLOWED_OCI_ARTIFACT_TYPES 設定フィールドを、設定およびレイヤータイプとともに追加します。

    FEATURE_GENERAL_OCI_SUPPORT: true
    ALLOWED_OCI_ARTIFACT_TYPES:
      <oci config type 1>:
      - <oci layer type 1>
      - <oci layer type 2>
    
      <oci config type 2>:
      - <oci layer type 3>
      - <oci layer type 4>

    たとえば、次の内容を config.yaml ファイルに追加することで、Singularity Image Format (SIF) サポートを追加できます。

    ALLOWED_OCI_ARTIFACT_TYPES:
      application/vnd.oci.image.config.v1+json:
      - application/vnd.dev.cosign.simplesigning.v1+json
      application/vnd.cncf.helm.config.v1+json:
      - application/tar+gzip
      application/vnd.sylabs.sif.config.v1+json:
      - application/vnd.sylabs.sif.layer.v1+tar
    注記

    デフォルトで設定されていない OCI アーティファクトタイプを追加する場合、Red Hat Quay 管理者は、必要に応じて cosign と Helm のサポートを手動で追加する必要もあります。

    現在、ユーザーは Red Hat Quay レジストリーの SIF イメージにタグを付けることができます。

17.3. 不明なメディアタイプの設定

以下の手順を使用して、Red Hat Quay デプロイメントのすべてのアーティファクトタイプを有効にします。

注記

このフィールドを有効にすると、Red Hat Quay デプロイメントはすべてのアーティファクトタイプを受け入れます。

前提条件

  • Red Hat Quay 管理者権限を持がある。

手順

  1. IGNORE_UNKNOWN_MEDIATYPES 設定フィールドを Red Hat Quay config.yaml ファイルに追加します。

    IGNORE_UNKNOWN_MEDIATYPES: true

    このフィールドを有効にすると、Red Hat Quay デプロイメントは不明または認識されないアーティファクトタイプを受け入れます。

第18章 Red Hat Quay ガベージコレクション

Red Hat Quay には、自動で継続的なイメージガベージコレクションが含まれています。ガベージコレクションは、関連付けられていないイメージやタグなしのイメージ、リポジトリー、レイヤーやマニフェストなどのブロブなど、かなりの量のディスクスペースを占めるオブジェクトを削除することで、アクティブオブジェクトのリソースを効率的に使用できるようにします。Red Hat Quay によって実行されるガベージコレクションは、組織の環境でのダウンタイムを減らすことができます。

18.1. 実際の Red Hat Quay ガベージコレクション

現在、すべてのガベージコレクションは慎重に行われ、ガベージコレクションを手動で実行するコマンドはありません。Red Hat Quay は、さまざまなガベージコレクションワーカーのステータスを追跡するメトリックを提供します。

namespace とリポジトリーのガベージコレクションの場合、進行状況はそれぞれのキューのサイズに基づいて追跡されます。namespace とリポジトリーのガベージコレクションワーカーが機能するには、グローバルロックが必要です。その結果、パフォーマンス上の理由から、一度に 1 人のワーカーのみが実行されます。

注記

Red Hat Quay は、ディスク容量を節約するために、名前空間とリポジトリーの間で BLOB を共有します。たとえば、同じイメージが 10 回プッシュされた場合、そのイメージのコピーは 1 つだけ保存されます。

タグは、Red Hat Quay にすでに保存されているさまざまなイメージと、タグのレイヤーを共有できます。その場合、共有 BLOB を削除すると他のイメージが使用できなくなるため、BLOB はストレージに残ります。

BLOB の有効期限は、タイムマシンとは無関係です。Red Hat Quay にタグをプッシュして、タイムマシンに 0 秒を設定し、すぐにタグを削除した場合に、ガベージコレクションはそのタグと、そのタグに関連するものすべてを削除しますが、Blog の有効期限に到達するまで Blob のストレージは削除しません。

タグ付きイメージのガベージコレクションは、namespace またはリポジトリーでのガベージコレクションとは動作が異なります。タグ付けされたイメージのガベージコレクションワーカーは、処理するアイテムのキューを用意するのではなく、非アクティブまたは期限切れのタグを持つリポジトリーをアクティブに検索してクリーンアップします。ガベージコレクションワーカーの各インスタンスはリポジトリーロックを取得します。これにより、リポジトリーごとに 1 つのワーカーが生成されます。

注記
  • Red Hat Quay では、最後のタグが削除されたか期限切れになったため、非アクティブまたは期限切れのタグはタグのないマニフェストです。マニフェストには、イメージがどのように設定され、個々のタグのデータベースに保存されるかに関する情報が保存されます。タグが削除され、Time Machine から割り当てられた時間に到達すると、Red Hat Quay ガベージは、レジストリー内の他のマニフェストに接続されていない BLOB を収集します。特定の BLOB がマニフェストに接続されている場合に、Blob はストレージに保持され、削除されるマニフェストへの接続のみが削除されます。
  • 期限切れのイメージは割り当てられた時間が経過すると消えますが、Red Hat Quay には引き続き保存されます。イメージが完全に削除されるタイミング、またはコレクションされるタイミングは、組織の Time Machine の設定によって異なります。特に指定がない限り、ガベージコレクションのデフォルトの時間は 14 日です。それまでは、期限切れまたは削除されたイメージをタグで参照できます。

ガベージコレクションのタイプごとに、Red Hat Quay は、各ガベージコレクションワーカーによって削除されたテーブルごとの行数のメトリックを提供します。次のイメージは、Red Hat Quay が同じメトリックを使用してガベージコレクションをモニターする方法の例を示しています。

Garbage collection metrics

18.1.1. ストレージ再生の測定

Red Hat Quay には、ガベージコレクションによって解放されたスペースの量を追跡する方法がありません。現在、これを示す最良の指標は、提供されたメトリックで削除された blob の数を確認することです。

注記

Red Hat Quay メトリックの UploadedBlob テーブルは、リポジトリーに関連付けられているさまざまな BLOB を追跡します。BLOB がアップロードされると、PUSH_TEMP_TAG_EXPIRATION_SEC パラメーターで指定された時間より前にガベージコレクションされません。これは、進行中のプッシュの一部である BLOB を時期尚早に削除することを回避するためです。たとえば、ガベージコレクションが頻繁に実行されるように設定されていて、タグが 1 時間以内に削除された場合、関連するブロブがすぐにクリーンアップされない可能性があります。代わりに、PUSH_TEMP_TAG_EXPIRATION_SEC パラメーターで指定された時間が経過したと仮定すると、次にガベージコレクションが同じリポジトリーで実行されるときに、関連する blob が削除されます。

18.2. ガベージコレクション設定フィールド

次の設定フィールドを使用して、ガベージコレクションの内容、およびガベージコレクションが発生する頻度をカスタマイズできます。

名前説明スキーマ

FEATURE_GARBAGE_COLLECTION

イメージタグに対してガベージコレクションが有効になっているかどうか。デフォルトは true です。

Boolean

FEATURE_NAMESPACE_GARBAGE_COLLECTION

namespace に対してガベージコレクションが有効になっているかどうか。デフォルトは true です。

Boolean

FEATURE_REPOSITORY_GARBAGE_COLLECTION

リポジトリーでガベージコレクションが有効になっているかどうか。デフォルトは true です。

Boolean

GARBAGE_COLLECTION_FREQUENCY

ガベージコレクションワーカーが実行される頻度 (秒単位)。ガベージコレクションワーカーにのみ影響します。デフォルトは 30 秒です。

String

PUSH_TEMP_TAG_EXPIRATION_SEC

アップロード後にブロブがガベージコレクションされない秒数。この機能は、ガベージコレクションがまだ参照されていないが進行中のプッシュの一部として使用されている blob をクリーンアップするのを防ぎます。

String

TAG_EXPIRATION_OPTIONS

有効なタグの有効期限の値のリスト。

String

DEFAULT_TAG_EXPIRATION

タイムマシンの有効期限にタグを付けます。

String

CLEAN_BLOB_UPLOAD_FOLDER

S3 マルチパートアップロードから残った古い BLOB を自動的に消去します。デフォルトでは、2 日以上経過した BLOB ファイルは 1 時間ごとにクリーンアップされます。

Boolean

+ デフォルト: true

18.3. ガベージコレクションの無効化

イメージタグ、namespace、およびリポジトリーのガベージコレクション機能は、config.yaml ファイルに保存されます。これらの機能のデフォルトは true です。

まれに、ガベージコレクションを無効にして、ガベージコレクションを実行するタイミングを制御したい場合があります。GARBAGE_COLLECTION 機能を false に設定すると、ガベージコレクションを無効にできます。無効にすると、関連付けれていない、またはタグが付いていないイメージ、リポジトリー、名前空間、レイヤー、マニフェストは削除されません。これにより、環境のダウンタイムが増加する可能性があります。

注記

ガベージコレクションを手動で実行するコマンドはありません。代わりに、ガベージコレクション機能を無効にしてから再度有効にします。

18.4. ガベージコレクションとクォータ管理

Red Hat Quay は、3.7 でクォータ管理を導入しました。クォータ管理により、ユーザーは、設定されたストレージクォータ制限を確立することにより、ストレージ消費を報告し、レジストリーの増加を抑えることができます。

Red Hat Quay 3.7 以降、ガベージコレクションは、削除後にイメージ、リポジトリー、および BLOB に割り当てられたメモリーを再利用します。ガベージコレクション機能は削除後にメモリーを再利用するため、環境のディスクスペースに格納されているものと、クォータ管理が総消費量としてレポートしているものとの間に不一致があります。現在、この問題に対する回避策はありません。

18.5. 実際のガベージコレクション

以下の手順を使用して Red Hat Quay ログをチェックし、ガベージコレクションが機能していることを確認します。

手順

  1. 次のコマンドを入力して、ガベージコレクションが正しく機能していることを確認します。

    $ sudo podman logs <container_id>

    出力例:

    gcworker stdout | 2022-11-14 18:46:52,458 [63] [INFO] [apscheduler.executors.default] Job "GarbageCollectionWorker._garbage_collection_repos (trigger: interval[0:00:30], next run at: 2022-11-14 18:47:22 UTC)" executed successfully
  2. イメージタグを削除します。
  3. 次のコマンドを入力して、タグが削除されたことを確認します。

    $ podman logs quay-app

    出力例:

    gunicorn-web stdout | 2022-11-14 19:23:44,574 [233] [INFO] [gunicorn.access] 192.168.0.38 - - [14/Nov/2022:19:23:44 +0000] "DELETE /api/v1/repository/quayadmin/busybox/tag/test HTTP/1.0" 204 0 "http://quay-server.example.com/repository/quayadmin/busybox?tab=tags" "Mozilla/5.0 (X11; Linux x86_64; rv:102.0) Gecko/20100101 Firefox/102.0"

18.6. Red Hat Quay のガベージコレクションメトリック

次のメトリックは、ガベージコレクションによって削除されたリソースの数を示しています。これらのメトリックは、ガベージコレクションワーカーが実行された回数と、削除された namespace、リポジトリー、および BLOB の数を示します。

メトリクス名説明

quay_gc_iterations_total

GCWorker による反復の数

quay_gc_namespaces_purged_total

NamespaceGCWorker によってパージされる namespace 数

quay_gc_repos_purged_total

RepositoryGCWorker または NamespaceGCWorker がパージするリポジトリーの数

quay_gc_storage_blobs_deleted_total

削除されたストレージ Blob の数

メトリックの出力サンプル

# TYPE quay_gc_iterations_created gauge
quay_gc_iterations_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823190189714e+09
...

# HELP quay_gc_iterations_total number of iterations by the GCWorker
# TYPE quay_gc_iterations_total counter
quay_gc_iterations_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

# TYPE quay_gc_namespaces_purged_created gauge
quay_gc_namespaces_purged_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823190189433e+09
...

# HELP quay_gc_namespaces_purged_total number of namespaces purged by the NamespaceGCWorker
# TYPE quay_gc_namespaces_purged_total counter
quay_gc_namespaces_purged_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
....

# TYPE quay_gc_repos_purged_created gauge
quay_gc_repos_purged_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.631782319018925e+09
...

# HELP quay_gc_repos_purged_total number of repositories purged by the RepositoryGCWorker or NamespaceGCWorker
# TYPE quay_gc_repos_purged_total counter
quay_gc_repos_purged_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

# TYPE quay_gc_storage_blobs_deleted_created gauge
quay_gc_storage_blobs_deleted_created{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 1.6317823190189059e+09
...

# HELP quay_gc_storage_blobs_deleted_total number of storage blobs deleted
# TYPE quay_gc_storage_blobs_deleted_total counter
quay_gc_storage_blobs_deleted_total{host="example-registry-quay-app-6df87f7b66-9tfn6",instance="",job="quay",pid="208",process_name="secscan:application"} 0
...

第19章 Red Hat Quay v2 UI の使用

以下の手順を使用して、Red Hat Quay v2 UI を設定し、使用します。

19.1. v2 ユーザーインターフェイス設定

FEATURE_UI_V2 を有効にすると、現在のバージョンのユーザーインターフェイスと新しいバージョンのユーザーインターフェイスを切り替えることができます。

重要
  • この UI は現在ベータ版であり、変更される可能性があります。現在の状態では、ユーザーは組織、リポジトリー、およびイメージタグのみを作成、表示、および削除できます。
  • 古い UI で Red Hat Quay を実行している場合にセッションがタイムアウトになると、ユーザーはポップアップウィンドウでパスワードを再度入力する必要がありました。新しい UI では、ユーザーはメインページに戻り、ユーザー名とパスワードの認証情報を入力する必要があります。これは既知の問題であり、新しい UI の今後のバージョンで修正される予定です。
  • 従来の UI と新しい UI の間で、イメージマニフェストのサイズが報告される方法に違いがあります。従来の UI では、イメージマニフェストはメビバイト単位で報告されていました。新しい UI では、Red Hat Quay はメガバイト (MB) の標準定義を使用して、イメージマニフェストのサイズを報告します。

手順

  1. デプロイメントの config.yaml ファイルで、FEATURE_UI_V2 パラメーターを追加し、true に設定します。次に例を示します。

    ---
    FEATURE_TEAM_SYNCING: false
    FEATURE_UI_V2: true
    FEATURE_USER_CREATION: true
    ---
  2. Red Hat Quay デプロイメントにログインします。
  3. Red Hat Quay デプロイメントのナビゲーションペインに、Current UINew UI を切り替えるオプションが表示されます。切り替えボタンをクリックして新しい UI に設定し、次に Use Beta Environment をクリックします。次に例を示します。

    Red Hat Quay v2 UI toggle

19.1.1. Red Hat Quay v2 UI での新しい組織の作成

前提条件

  • v2 UI を使用するように Red Hat Quay デプロイメントを切り替えている。

以下の手順に従って、Red Hat Quay v2 UI を使用して組織を作成します。

手順

  1. ナビゲーションペインで Organization をクリックします。
  2. Create Organization をクリックします。
  3. Organization Name (testorg など) を入力します。
  4. Create をクリックします。

これで、サンプルの組織が Organizations ページの下に表示されます。

19.1.2. Red Hat Quay v2 UI を使用した組織の削除

以下の手順に従って、Red Hat Quay v2 UI を使用して組織を削除します。

手順

  1. Organizations ページで、削除する組織の名前 (testorg など) を選択します。
  2. More Actions ドロップダウンメニューをクリックします。
  3. Delete をクリックします。

    注記

    Delete ページには、Search 入力ボックスがあります。このボックスを使用すると、ユーザーは特定の組織を検索して、削除が適切にスケジュールされていることを確認できます。たとえば、ユーザーが 10 の組織を削除していて、特定の組織が削除されたことを確認したい場合、Search 入力ボックスを使用して、その組織が削除対象としてマークされていることを確認できます。

  4. ボックスに confirm と入力して、組織を完全に削除することを確定します。
  5. Delete をクリックします。

    削除後、Organizations ページに戻ります。

    注記

    複数の組織を選択してから、More ActionsDelete をクリックすると、一度に複数の組織を削除できます。

19.1.3. Red Hat Quay v2 UI を使用した新しいリポジトリーの作成

以下の手順に従って、Red Hat Quay v2 UI を使用してリポジトリーを作成します。

手順

  1. ナビゲーションペインで Repositories をクリックします。
  2. Create Repository をクリックします。
  3. 名前空間 (例: quayadmin) を選択し、リポジトリー名 (例: testrepo) を入力します。
  4. Create をクリックします。

    これで、サンプルリポジトリーが Repositories ページの下に表示されるはずです。

19.1.4. Red Hat Quay v2 UI を使用したリポジトリーの削除

前提条件

  • リポジトリーを作成している。

手順

  1. Red Hat Quay v2 UI の Repositories ページで、削除するイメージの名前 (quay/admin/busybox など) をクリックします。
  2. More Actions ドロップダウンメニューをクリックします。
  3. Delete をクリックします。

    注記

    必要に応じて、Make Public または Make Private をクリックできます。

  4. ボックスに confirm と入力してから、Delete をクリックします。
  5. 削除後、Repositories ページに戻ります。

19.1.5. Red Hat Quay v2 UI へのイメージのプッシュ

以下の手順に従って、イメージを Red Hat Quay v2 UI にプッシュします。

手順

  1. 外部レジストリーからサンプルイメージをプルします。

    $ podman pull busybox
  2. イメージにタグを付けます。

    $ podman tag docker.io/library/busybox quay-server.example.com/quayadmin/busybox:test
  3. イメージを Red Hat Quay レジストリーにプッシュします。

    $ podman push quay-server.example.com/quayadmin/busybox:test
  4. Red Hat Quay UI の Repositories ページに移動し、イメージが適切にプッシュされていることを確認します。
  5. イメージタグを選択し、Security Report ページに移動すると、セキュリティーの詳細を確認できます。

19.1.6. Red Hat Quay v2 UI を使用したイメージの削除

以下の手順に従って、Red Hat Quay v2 UI を使用してイメージを削除します。

前提条件

  • イメージを Red Hat Quay レジストリーにプッシュしている。

手順

  1. Red Hat Quay v2 UI の Repositories ページで、削除するイメージの名前 (quay/admin/busybox など) をクリックします。
  2. More Actions ドロップダウンメニューをクリックします。
  3. Delete をクリックします。

    注記

    必要に応じて、Make Public または Make Private をクリックできます。

  4. ボックスに confirm と入力してから、Delete をクリックします。
  5. 削除後、Repositories ページに戻ります。

19.1.7. Red Hat Quay v2 UI を使用したロボットアカウントの作成

以下の手順に従って、Red Hat Quay v2 UI を使用してロボットアカウントを作成します。

手順

  1. Red Hat Quay v2 UI で、Organizations をクリックします。
  2. ロボットアカウントを作成する組織の名前をクリックします (例: test-org)。
  3. Robot accounts タブ → Create robot account をクリックします。
  4. Provide a name for your robot account ボックスに、robot1 などの名前を入力します。
  5. オプション: 必要に応じて、以下のオプションを使用できます。

    1. ロボットをチームに追加します。
    2. ロボットをリポジトリーに追加します。
    3. ロボットのパーミッションを調整します。
  6. Review and finish ページで、入力した情報を確認してから、Review and finish をクリックします。
  7. オプション: Expand または Collapse をクリックすると、ロボットアカウントの説明情報を表示できます。
  8. オプション: kebab メニュー → Set repository permissions をクリックして、ロボットアカウントのパーミッションを変更できます。
  9. オプション: ロボットアカウントを削除するには、ロボットアカウントのボックスをオンにし、ゴミ箱アイコンをクリックします。ポップアップボックスが表示されます。テキストボックスに confirm と入力してから Delete をクリックします。または、kebab メニュー → Delete をクリックできます。

19.1.8. Red Hat Quay v2 UI の組織設定

以下の手順を実行して、Red Hat Quay v2 UI を使用して組織設定を変更します。

手順

  1. Red Hat Quay v2 UI で、Organizations をクリックします。
  2. ロボットアカウントを作成する組織の名前をクリックします (例: test-org)。
  3. Settings タブをクリックします。
  4. オプション: 組織に関連付けられたメールアドレスを入力します。
  5. オプション: Time Machine 機能に割り当てられた時間を以下のいずれかに設定します。

    • 1 週間
    • 1 カ月
    • 1 年
    • なし
  6. Save をクリックします。

19.1.9. Red Hat Quay v2 UI を使用したイメージタグ情報の表示

以下の手順を実行して、Red Hat Quay v2 UI を使用してイメージタグ情報を表示します。

手順

  1. Red Hat Quay v2 UI で、Repositories をクリックします。
  2. リポジトリーの名前をクリックします (例: quayadmin/busybox)。
  3. タグの名前をクリックします (例: test)。タグの Details ページに移動します。このページには、次の情報が表示されます。

    • 名前
    • リポジトリー
    • ダイジェスト
    • 脆弱性
    • 作成
    • 修正済み
    • サイズ
    • ラベル
    • イメージタグの取得方法
  4. オプション: Security Report をクリックして、タグの脆弱性を表示します。アドバイザリーの列を拡張して、CVE データを開くことができます。
  5. オプション: Packages をクリックして、タグのパッケージを表示します。
  6. リポジトリーの名前 (例: busybox) をクリックし、Tags ページに戻ります。
  7. オプション: Pull アイコンの上にマウスをかざすと、タグの取得方法が表示されます。
  8. タグのボックスまたは複数のタグにチェックを入れ、Actions ドロップダウンメニューをクリックしてから、Delete をクリックしてタグを削除します。ポップアップボックスの Delete をクリックして削除を確定します。

19.1.10. Red Hat Quay v2 UI を使用したリポジトリー設定の調整

以下の手順を実行して、Red Hat Quay v2 UI を使用してリポジトリーのさまざまな設定を調整します。

手順

  1. Red Hat Quay v2 UI で、Repositories をクリックします。
  2. リポジトリーの名前をクリックします (例: quayadmin/busybox)。
  3. Settings タブをクリックします。
  4. オプション: User and robot permissions をクリックします。Permissions のドロップダウンメニューオプションをクリックすると、ユーザーまたはロボットアカウントの設定を調整できます。設定を ReadWrite、または Admin に変更できます。
  5. オプション: Events and notifications をクリックします。Create Notification をクリックして、イベントおよび通知を作成できます。以下のイベントオプションを使用できます。

    • リポジトリーへのプッシュ
    • パッケージの脆弱性の検出
    • イメージビルドの失敗
    • イメージビルドのキューへの追加
    • イメージビルドの開始
    • イメージビルドの成功
    • イメージビルドのキャンセル

      次に、通知を発行します。以下のオプションを設定できます。

    • メール通知
    • Flowdock チーム通知
    • HipChat ルーム通知
    • Slack 通知
    • Webhook POST

      イベントオプションと通知方法を選択したら、Room ID #Room Notification Token を追加し、Submit をクリックします。

  6. オプション: Repository visibility をクリックします。Make Public をクリックして、リポジトリーをプライベートまたはパブリックにすることができます。
  7. オプション: Delete repository をクリックします。Delete Repository をクリックして、リポジトリーを削除できます。

19.2. Red Hat Quay レガシー UI の有効化

  1. Red Hat Quay デプロイメントのナビゲーションペインに、Current UINew UI を切り替えるオプションが表示されます。切り替えボタンをクリックして、Current UI に設定します。

    Red Hat Quay v2 UI toggle

第20章 Red Hat Quay デプロイメントでのヘルスチェックの実行

ヘルスチェックメカニズムは、システム、サービス、またはコンポーネントの正常性と機能を評価するように設計されています。ヘルスチェックは、すべてが正しく機能していることを確認するのに役立ち、重大な問題になる前に潜在的な問題を特定するために使用できます。Red Hat Quay 管理者は、システムの健全性を監視することで、geo レプリケーションのデプロイメント、Operator のデプロイメント、スタンドアロン Red Hat Quay のデプロイメント、オブジェクトストレージの問題といった異常や潜在的な障害に対処できます。ヘルスチェックを行うことで、トラブルシューティングのシナリオが発生する可能性を低減させることができます。

ヘルスチェックメカニズムは、システムの現在の状態に関する貴重な情報を提供することで、問題の診断にロールを果たします。ヘルスチェックの結果を予想されるベンチマークまたは事前定義されたしきい値と比較することで、逸脱や異常をより迅速に特定できます。

20.1. Red Hat Quay ヘルスチェックエンドポイント

重要

以下に示す外部の Web サイトへのリンクは、お客様の利便性のみを目的として提供しています。Red Hat はリンクの内容を確認しておらず、コンテンツまたは可用性について責任を負わないものとします。外部 Web サイトへのリンクが含まれていても、Red Hat が Web サイトまたはその組織、製品、もしくはサービスを保証することを意味するものではありません。お客様は、外部サイトまたはコンテンツの使用 (または信頼) によって生じる損失または費用について、Red Hat が責任を負わないことに同意するものとします。

Red Hat Quay には、いくつかのヘルスチェックエンドポイントがあります。次の表に、ヘルスチェック、説明、エンドポイント、および出力例を示します。

表20.1 ヘルスチェックエンドポイント

Health check説明Endpoint (エンドポイント)出力例

instance

instance エンドポイントは、特定の Red Hat Quay インスタンスのステータス全体を取得します。authdatabasedisk_spaceregistry_gunicornservice_keyweb_gunicorn のキーと値のペアを含む dict を返します。インスタンスが正常であることを示す 200、またはデプロイメントに問題があることを示す 503 のいずれかのヘルスチェック応答を示す数値を返します。

https://{quay-ip-endpoint}/health/instance または https://{quay-ip-endpoint}/health

{"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

endtoend

endtoend エンドポイントは、Red Hat Quay インスタンスの全サービスのチェックを実行します。authdatabaseredisstorage のキーと値のペアを含む dict を返します。インスタンスが正常であることを示す 200、またはデプロイメントに問題があることを示す 503 のいずれかのヘルスチェック応答を示す数値を返します。

https://{quay-ip-endpoint}/health/endtoend

{"data":{"services":{"auth":true,"database":true,"redis":true,"storage":true}},"status_code":200}

warning

warning エンドポイントは、警告のチェックを実行します。disk_space_warning のキーと値のペアを持つ dict を返します。インスタンスが正常であることを示す 200、またはデプロイメントに問題があることを示す 503 のいずれかのヘルスチェック応答を示す数値を返します。

https://{quay-ip-endpoint}/health/warning

{"data":{"services":{"disk_space_warning":true}},"status_code":503}

20.2. Red Hat Quay ヘルスチェックエンドポイントへの移動

次の手順を使用して、instance のエンドポイントに移動します。この手順は、endtoend および warning エンドポイントに対して繰り返すことができます。

手順

  1. Web ブラウザーで、https://{quay-ip-endpoint}/health/instance に移動します。
  2. ヘルスインスタンスページが表示され、以下のような情報が返されます。

    {"data":{"services":{"auth":true,"database":true,"disk_space":true,"registry_gunicorn":true,"service_key":true,"web_gunicorn":true}},"status_code":200}

    Red Hat Quay の場合、status_code: 200 はインスタンスが正常であることを意味します。逆に、"status_code": 503 を受け取った場合は、デプロイメントに問題があります。

第21章 レガシー UI での Red Hat Quay デプロイメントのブランディング

レジストリーのタイトル、ロゴ、フッターイメージを変更したり、フッターイメージに埋め込まれた Web サイトにユーザーを誘導したりすることで、Red Hat Quay デプロイメントの UI をブランド化できます。

手順

  1. Red Hat Quay の config.yaml ファイルを更新して、以下のパラメーターを追加します。

    BRANDING:
        logo: 1
        footer_img: 2
        footer_url: 3
    ---
    REGISTRY_TITLE: 4
    REGISTRY_TITLE_SHORT: 5
    1
    Red Hat Quay デプロイメントの上部に表示されるイメージの URL。
    2
    Red Hat Quay デプロイメントの下部に表示されるイメージの URL。
    3
    フッターイメージをクリックする際にユーザーがダイレクトされる Web サイトの URL。
    4
    レジストリーの長いタイトル。これは、組織のサインインページなど、Red Hat Quay デプロイメントのフロントエンドに表示されます。
    5
    レジストリーの短いタイトル。タイトルは、組織のさまざまなページに表示されます。たとえば、組織の Tutorial ページのチュートリアルのタイトルとして表示されます。
  2. Red Hat Quay デプロイメントを再起動します。再起動後、Red Hat Quay デプロイメントは新しいロゴ、フッターイメージ、およびフッターイメージ URL で更新されます。

第22章 Red Hat Quay の設定用スキーマ

ほとんどの Red Hat Quay 設定情報は、Red Hat Quay が最初にデプロイメントされたときにブラウザーベースの config ツールを使用して作成される config.yaml ファイルに保存されます。

設定オプションは、Red Hat Quay 設定ガイドで説明しています。

関連情報

法律上の通知

Copyright © 2024 Red Hat, Inc.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution–Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, the Red Hat logo, JBoss, OpenShift, Fedora, the Infinity logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
Linux® is the registered trademark of Linus Torvalds in the United States and other countries.
Java® is a registered trademark of Oracle and/or its affiliates.
XFS® is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries.
MySQL® is a registered trademark of MySQL AB in the United States, the European Union and other countries.
Node.js® is an official trademark of Joyent. Red Hat is not formally related to or endorsed by the official Joyent Node.js open source or commercial project.
The OpenStack® Word Mark and OpenStack logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community.
All other trademarks are the property of their respective owners.