1. 추가 CA를 구성하려면 다음을 실행합니다.

   $ oc create configmap registry-config --from-file=<external_registry_address>=ca.crt -n openshift-config

   $ oc edit image.config.openshift.io cluster

   spec:
     additionalTrustedCA:
       name: registry-config

1. 노드 이름을 가져와서 노드에 액세스합니다.

   $ oc get nodes

   $ oc debug nodes/<node_name>

2. 노드에서 oc 및 podman 과 같은 툴에 대한 액세스를 활성화하려면 root 디렉터리를 /host 로 변경합니다.

   sh-4.2# chroot /host

3. 액세스 토큰을 사용하여 컨테이너 이미지 레지스트리에 로그인합니다.

   sh-4.2# oc login -u kubeadmin -p <password_from_install_log> https://api-int.<cluster_name>.<base_domain>:6443

   sh-4.2# podman login -u kubeadmin -p $(oc whoami -t) image-registry.openshift-image-registry.svc:5000

   다음과 같은 로그인 확인 메시지가 표시되어야합니다.

   Login Succeeded!

   참고

   사용자 이름에 모든 값을 지정할 수 있으므로 토큰에는 필요한 모든 정보가 포함됩니다. 콜론이 포함된 사용자 이름을 지정하면 로그인에 실패합니다.

   이미지 레지스트리 Operator가 경로를 생성하므로 default-route-openshift-image-registry.<cluster_name>과 유사합니다.

4. 레지스트리에 대해 podman pull 및 podman push 작업을 수행합니다.

   중요

   모든 이미지를 가져올 수 있지만 system:registry 역할이 추가된 경우 프로젝트의 레지스트리에만 이미지를 푸시할 수 있습니다.

   다음 예에서는 다음을 사용합니다.

   구성 요소	값
   <registry_ip>	172.30.124.220
   <port>	5000
   <project>	openshift
   <image>	image
   <tag>	생략됨 (기본값 latest)

   1. 모든 이미지를 가져옵니다.

      sh-4.2# podman pull <name.io>/<image>

   2. <registry_ip>:<port>/<project>/<image> 형식으로 새 이미지에 태그를 지정합니다. AWS의 Red Hat OpenShift Service가 레지스트리에 이미지를 올바르게 배치하고 나중에 액세스할 수 있도록 이 풀 사양에 프로젝트 이름이 표시되어야 합니다.

      sh-4.2# podman tag <name.io>/<image> image-registry.openshift-image-registry.svc:5000/openshift/<image>

      참고

      사용자가 이미지를 작성하거나 푸시할 수 있도록 지정된 프로젝트에 대한 system:image-builder 역할이 있어야합니다. 그렇지 않으면 다음 단계의 podman push가 실패합니다. 테스트를 위해 이미지를 푸시할 새 프로젝트를 만들 수 있습니다.

   3. 새로 태그가 지정된 이미지를 레지스트리로 푸시합니다.

      sh-4.2# podman push image-registry.openshift-image-registry.svc:5000/openshift/<image>

절차

1. openshift-image-registry 프로젝트의 pod를 나열하고 상태를 확인합니다.

   $ oc get pods -n openshift-image-registry

   출력 예

   NAME READY STATUS RESTARTS AGE
   cluster-image-registry-operator-764bd7f846-qqtpb 1/1 Running 0 78m
   image-registry-79fb4469f6-llrln 1/1 Running 0 77m
   node-ca-hjksc 1/1 Running 0 73m
   node-ca-tftj6 1/1 Running 0 77m
   node-ca-wb6ht 1/1 Running 0 77m
   node-ca-zvt9q 1/1 Running 0 74m

프로세스

1. 배포에서 oc logs 명령을 사용하여 컨테이너 이미지 레지스트리의 로그를 표시합니다.

   $ oc logs deployments/image-registry -n openshift-image-registry

   출력 예

   2015-05-01T19:48:36.300593110Z time="2015-05-01T19:48:36Z" level=info msg="version=v2.0.0+unknown"
   2015-05-01T19:48:36.303294724Z time="2015-05-01T19:48:36Z" level=info msg="redis not configured" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303422845Z time="2015-05-01T19:48:36Z" level=info msg="using inmemory layerinfo cache" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002
   2015-05-01T19:48:36.303433991Z time="2015-05-01T19:48:36Z" level=info msg="Using OpenShift Auth handler"
   2015-05-01T19:48:36.303439084Z time="2015-05-01T19:48:36Z" level=info msg="listening on :5000" instance.id=9ed6c43d-23ee-453f-9a4b-031fea646002

1. 메트릭에 액세스하는 데 필요한 클러스터 역할이 없는 경우 클러스터 역할을 생성합니다.

   $ cat <<EOF | oc create -f -
   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRole
   metadata:
     name: prometheus-scraper
   rules:
   - apiGroups:
     - image.openshift.io
     resources:
     - registry/metrics
     verbs:
     - get
   EOF

2. 이 역할을 사용자에게 추가하려면 다음 명령을 실행합니다.

   $ oc adm policy add-cluster-role-to-user prometheus-scraper <username>

1. 사용자 토큰을 가져옵니다.

   openshift:
   $ oc whoami -t

2. 노드 또는 Pod 내부에서 메트릭 쿼리를 실행합니다. 예를 들면 다음과 같습니다.

   $ curl --insecure -s -u <user>:<secret> \ 1
       https://image-registry.openshift-image-registry.svc:5000/extensions/v2/metrics | grep imageregistry | head -n 20

   출력 예

   # HELP imageregistry_build_info A metric with a constant '1' value labeled by major, minor, git commit & git version from which the image registry was built.
   # TYPE imageregistry_build_info gauge
   imageregistry_build_info{gitCommit="9f72191",gitVersion="v3.11.0+9f72191-135-dirty",major="3",minor="11+"} 1
   # HELP imageregistry_digest_cache_requests_total Total number of requests without scope to the digest cache.
   # TYPE imageregistry_digest_cache_requests_total counter
   imageregistry_digest_cache_requests_total{type="Hit"} 5
   imageregistry_digest_cache_requests_total{type="Miss"} 24
   # HELP imageregistry_digest_cache_scoped_requests_total Total number of scoped requests to the digest cache.
   # TYPE imageregistry_digest_cache_scoped_requests_total counter
   imageregistry_digest_cache_scoped_requests_total{type="Hit"} 33
   imageregistry_digest_cache_scoped_requests_total{type="Miss"} 44
   # HELP imageregistry_http_in_flight_requests A gauge of requests currently being served by the registry.
   # TYPE imageregistry_http_in_flight_requests gauge
   imageregistry_http_in_flight_requests 1
   # HELP imageregistry_http_request_duration_seconds A histogram of latencies for requests to the registry.
   # TYPE imageregistry_http_request_duration_seconds summary
   imageregistry_http_request_duration_seconds{method="get",quantile="0.5"} 0.01296087
   imageregistry_http_request_duration_seconds{method="get",quantile="0.9"} 0.014847248
   imageregistry_http_request_duration_seconds{method="get",quantile="0.99"} 0.015981195
   imageregistry_http_request_duration_seconds_sum{method="get"} 12.260727916000022

   1

   &lt ;user > 오브젝트는 임의의 값일 수 있지만 < secret > 태그는 사용자 토큰을 사용해야 합니다.

1. defaultRoute 를 true 로 설정합니다.

   $ oc patch configs.imageregistry.operator.openshift.io/cluster --patch '{"spec":{"defaultRoute":true}}' --type=merge

2. 기본 레지스트리 경로를 가져옵니다.

   $ HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')

3. Ingress Operator의 인증서를 가져옵니다.

   $ oc get secret -n openshift-ingress  router-certs-default -o go-template='{{index .data "tls.crt"}}' | base64 -d | sudo tee /etc/pki/ca-trust/source/anchors/${HOST}.crt  > /dev/null

4. 다음 명령을 사용하여 경로를 신뢰하도록 클러스터의 기본 인증서를 활성화합니다.

   $ sudo update-ca-trust enable

5. 기본 경로를 사용하여 podman으로 로그인합니다.

   $ sudo podman login -u kubeadmin -p $(oc whoami -t) $HOST

1. DefaultRoute를 True로 설정합니다.

   $ oc patch configs.imageregistry.operator.openshift.io/cluster --patch '{"spec":{"defaultRoute":true}}' --type=merge

2. podman으로 로그인합니다.

   $ HOST=$(oc get route default-route -n openshift-image-registry --template='{{ .spec.host }}')

   $ podman login -u kubeadmin -p $(oc whoami -t) --tls-verify=false $HOST 1

   1

   --tls-verify=false는 클러스터의 기본 라우팅 인증서를 신뢰할 수없는 경우 필요합니다. Ingress Operator를 사용하여 신뢰할 수있는 사용자 지정 인증서를 기본 인증서로 설정할 수 있습니다.

1. 라우팅의 TLS 키로 보안 시크릿을 만듭니다.

   $ oc create secret tls public-route-tls \
       -n openshift-image-registry \
       --cert=</path/to/tls.crt> \
       --key=</path/to/tls.key>

   이 단계는 선택 사항입니다. 보안 시크릿을 생성하지 않으면 라우팅은 Ingress Operator의 기본 TLS 구성을 사용합니다.

2. 레지스트리 Operator에서 다음을 수행합니다.

   spec:
     routes:
       - name: public-routes
         hostname: myregistry.mycorp.organization
         secretName: public-route-tls
   ...

   참고

   레지스트리 라우팅에 대한 사용자 지정 TLS 구성을 제공하는 경우에만 secretName을 설정합니다.