5.4. 使用镜像 pull secret

如果您使用 OpenShift 镜像 registry，并且从位于同一项目中的镜像流拉取 (pull)，则您的 Pod 服务帐户应已具备正确的权限，且无需额外操作。

然而，对于其他场景，例如在 OpenShift Container Platform 项目间或从安全 registry 引用镜像，则还需其他配置步骤。

您可以从 Red Hat OpenShift Cluster Manager 获取镜像 pull secret。此 pull secret 名为 pullSecret。

您可以使用此 pull secret 来使用所含授权机构提供的服务进行身份验证，这些服务包括为 OpenShift Container Platform 组件提供容器镜像的 Quay.io 和 registry.redhat.io。

5.4.1. 允许 pod 在项目间引用镜像

使用 OpenShift 镜像 registry 时，要允许 project-a 中的 pod 引用 project-b 中的镜像，project-a 中的服务帐户必须绑定到 project-b 中的 system:image-puller 角色：

注意

在创建 pod 服务帐户或命名空间时，请等待服务帐户置备了 docker pull secret；如果在其服务帐户被完全置备前创建 pod，则 pod 无法访问 OpenShift 镜像 registry。

流程

  1. 要允许 project-a 中的 pod 引用 project-b 中的镜像，请将 project-a 中的服务帐户绑定到 project-b 中的 system:image-puller 角色。 

    $ oc policy add-role-to-user \
    system:image-puller system:serviceaccount:project-a:default \
    --namespace=project-b

    添加该角色后，project-a 中引用默认服务帐户的 pod 能够从 project-b 拉取（pull）镜像。

  2. 要允许访问 project-a 中的任意服务帐户，请使用组： 

    $ oc policy add-role-to-group \
    system:image-puller system:serviceaccounts:project-a \
    --namespace=project-b

5.4.2. 允许 Pod 引用其他安全 registry 中的镜像

Docker 客户端的 .dockercfg $HOME/.docker/config.json 文件是一个 Docker 凭证文件，如果您之前已登录安全或不安全的 registry，则该文件会保存您的身份验证信息。

要从 OpenShift 镜像 registry 中拉取没有安全的容器镜像，您必须从 Docker 凭证创建一个 pull secret，并将其添加到您的服务帐户中。

Docker 凭据文件和相关 pull secret 可以包含对同一 registry 的多个引用，每个 registry 都有自己的一组凭证。

config.json 文件示例

{
   "auths":{
      "cloud.openshift.com":{
         "auth":"b3Blb=",
         "email":"you@example.com"
      },
      "quay.io":{
         "auth":"b3Blb=",
         "email":"you@example.com"
      },
      "quay.io/repository-main":{
         "auth":"b3Blb=",
         "email":"you@example.com"
      }
   }
}

pull secret 示例

apiVersion: v1
data:
  .dockerconfigjson: ewogICAiYXV0aHMiOnsKICAgICAgIm0iOnsKICAgICAgIsKICAgICAgICAgImF1dGgiOiJiM0JsYj0iLAogICAgICAgICAiZW1haWwiOiJ5b3VAZXhhbXBsZS5jb20iCiAgICAgIH0KICAgfQp9Cg==
kind: Secret
metadata:
  creationTimestamp: "2021-09-09T19:10:11Z"
  name: pull-secret
  namespace: default
  resourceVersion: "37676"
  uid: e2851531-01bc-48ba-878c-de96cfe31020
type: Opaque

流程

  • 如果您已有该安全 registry 的 .dockercfg 文件，则可运行以下命令从该文件中创建一个 secret： 

    $ oc create secret generic <pull_secret_name> \
    --from-file=.dockercfg=<path/to/.dockercfg> \
    --type=kubernetes.io/dockercfg

  • 或者，如果您已有 $HOME/.docker/config.json 文件，则可运行以下命令： 

    $ oc create secret generic <pull_secret_name> \
    --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
    --type=kubernetes.io/dockerconfigjson

  • 如果您还没有安全 registry 的 Docker 凭证文件，则可运行以下命令创建一个 secret： 

    $ oc create secret docker-registry <pull_secret_name> \
    --docker-server=<registry_server> \
    --docker-username=<user_name> \
    --docker-password=<password> \
    --docker-email=<email>

  • 要使用 secret 为 Pod 拉取镜像，您必须将 secret 添加到您的服务帐户中。本例中服务帐户的名称应与 Pod 使用的服务帐户的名称匹配。默认服务帐户是 default： 

    $ oc secrets link default <pull_secret_name> --for=pull

5.4.2.1. 通过委托身份验证从私有 registry 拉取（pull）

私有 registry 可将身份验证委托给单独服务。这种情况下，必须为身份验证和 registry 端点定义镜像 pull secret。

流程

  1. 为委托的身份验证服务器创建 secret： 

    $ oc create secret docker-registry \
    --docker-server=sso.redhat.com \
    --docker-username=developer@example.com \
    --docker-password=******** \
    --docker-email=unused \
    redhat-connect-sso

secret/redhat-connect-sso

  2. 为私有 registry 创建 secret： 

    $ oc create secret docker-registry \
    --docker-server=privateregistry.example.com \
    --docker-username=developer@example.com \
    --docker-password=******** \
    --docker-email=unused \
    private-registry

secret/private-registry

5.4.3. 更新全局集群 pull secret

您可以通过替换当前的 pull secret 或附加新的 pull secret 来更新集群的全局 pull secret。

重要

要将集群转让给另一所有者，您必须首先在 OpenShift Cluster Manager 中启动转让，然后更新集群中的 pull secret。在不启动 OpenShift Cluster Manager 中的传输的情况下更新集群的 pull secret 会导致集群停止在 OpenShift Cluster Manager 中报告 Telemetry 指标。

有关 传输集群所有权的更多信息，请参阅 Red Hat OpenShift Cluster Manager 文档中的 "Transferring cluster ownership"。

先决条件

  • 您可以使用具有 cluster-admin 角色的用户访问集群。

流程

  1. 可选： 要将新的 pull secret 附加到现有 pull secret 中，请完成以下步骤：

    1. 输入以下命令下载 pull secret： 

      $ oc get secret/pull-secret -n openshift-config --template='{{index .data ".dockerconfigjson" | base64decode}}' ><pull_secret_location> 1
      1
      提供 pull secret 文件的路径。

    2. 输入以下命令来添加新 pull secret： 

      $ oc registry login --registry="<registry>" \ 1
--auth-basic="<username>:<password>" \ 2
--to=<pull_secret_location> 3
      1
      提供新的 registry。您可以在同一个 registry 中包含多个软件仓库，例如：--registry="<registry/my-namespace/my-repository>"。
      2
      提供新 registry 的凭据。
      3
      提供 pull secret 文件的路径。

      另外，您可以对 pull secret 文件执行手动更新。

  2. 输入以下命令为您的集群更新全局 pull secret： 

    $ oc set data secret/pull-secret -n openshift-config --from-file=.dockerconfigjson=<pull_secret_location> 1
    1
    提供新 pull secret 文件的路径。

    该更新将推广至所有节点，可能需要一些时间，具体取决于集群大小。

    注意

    从 OpenShift Container Platform 4.7.4 开始，对全局 pull secret 的更改不再触发节点排空或重启。