13.4. 在没有 OpenShift Update Service 的断开连接的环境中更新集群

流程

1. 要列出您要暂停的所有可用 MachineHealthCheck 资源，请运行以下命令：

   $ oc get machinehealthcheck -n openshift-machine-api

2. 要暂停机器健康检查，请将 cluster.x-k8s.io/paused="" 注解添加到 MachineHealthCheck 资源。运行以下命令：

   $ oc -n openshift-machine-api annotate mhc <mhc-name> cluster.x-k8s.io/paused=""

   注解的 MachineHealthCheck 资源类似以下 YAML 文件：

   apiVersion: machine.openshift.io/v1beta1
   kind: MachineHealthCheck
   metadata:
     name: example
     namespace: openshift-machine-api
     annotations:
       cluster.x-k8s.io/paused: ""
   spec:
     selector:
       matchLabels:
         role: worker
     unhealthyConditions:
     - type:    "Ready"
       status:  "Unknown"
       timeout: "300s"
     - type:    "Ready"
       status:  "False"
       timeout: "300s"
     maxUnhealthy: "40%"
   status:
     currentHealthy: 5
     expectedMachines: 5

   重要

   更新集群后恢复机器健康检查。要恢复检查，请运行以下命令从 MachineHealthCheck 资源中删除暂停注解：

   $ oc -n openshift-machine-api annotate mhc <mhc-name> cluster.x-k8s.io/paused-

流程

1. 在连接到互联网的设备中运行以下命令：

   $ oc adm release info -o 'jsonpath={.digest}{"\n"}' quay.io/openshift-release-dev/ocp-release:${OCP_RELEASE_VERSION}-${ARCHITECTURE}

   对于 {OCP_RELEASE_VERSION}，请指定您要更新的 OpenShift Container Platform 版本，如 4.10.16。

   对于 {ARCHITECTURE}，请指定集群的构架，如 x86_64, aarch64, s390x, 或 ppc64le。

   输出示例

   sha256:a8bfba3b6dddd1a2fbbead7dac65fe4fb8335089e4e7cae327f3bad334add31d

2. 复制在更新集群时要使用的 sha256 摘要。

流程

1. 通过以下方法配置已镜像的存储库：

   • 按照 Red Hat Quay 存储库镜像中所述，使用 Red Hat Quay 来设置已镜像的存储库。使用 Red Hat Quay 有助于您将镜像从一个存储库复制到另一存储库，并可随着时间的推移重复自动同步这些存储库。

   • 使用 skopeo 等工具手动将镜像从源目录复制到已镜像的存储库。

     例如：在 Red Hat Enterprise Linux（RHEL 7 或 RHEL 8）系统上安装 skopeo RPM 软件包后，使用 skopeo 命令，如下例所示：

     $ skopeo copy \
     docker://registry.access.redhat.com/ubi9/ubi-minimal:latest@sha256:5cf... \
     docker://example.io/example/ubi-minimal

     在本例中，您有一个名为 example.io 的容器镜像 registry，其中包含一个名为 example 的镜像存储库，您要将 ubi9/ubi-minimal 镜像从 registry.access.redhat.com 复制到其中。创建该 registry 后，您可将 OpenShift Container Platform 集群配置为将源存储库的请求重定向到已镜像的存储库。

2. 登录您的 OpenShift Container Platform 集群。

3. 根据需要，创建一个 ImageDigestMirrorSet 或 ImageTagMirrorSet CR，将源和镜像(mirror)替换为您自己的 registry、存储库对和镜像：

   apiVersion: config.openshift.io/v1 1
   kind: ImageDigestMirrorSet 2
   metadata:
     name: ubi9repo
   spec:
     imageDigestMirrors: 3
     - mirrors:
       - example.io/example/ubi-minimal 4
       - example.com/example/ubi-minimal 5
       source: registry.access.redhat.com/ubi9/ubi-minimal 6
       mirrorSourcePolicy: AllowContactingSource 7
     - mirrors:
       - mirror.example.com/redhat
       source: registry.redhat.io/openshift4 8
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.com
       source: registry.redhat.io 9
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net/image
       source: registry.example.com/example/myimage 10
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net
       source: registry.example.com/example 11
       mirrorSourcePolicy: AllowContactingSource
     - mirrors:
       - mirror.example.net/registry-example-com
       source: registry.example.com 12
       mirrorSourcePolicy: AllowContactingSource

   1

   指明此 CR 要使用的 API。这必须是 config.openshift.io/v1。

   2

   根据 pull 类型指示对象类型：

   • ImageDigestMirrorSet ：提取摘要引用镜像。
   • ImageTagMirrorSet ：提取标签引用镜像。

   3

   表示镜像拉取方法的类型，请执行以下任一方法：

   • imageDigestMirrors ：用于 ImageDigestMirrorSet CR。
   • imageTagMirrors ：用于 ImageTagMirrorSet CR。

   4

   指明镜像 registry 和存储库的名称。

   5

   可选：指定每个目标仓库的二级镜像存储库。如果一个镜像停机，则目标仓库可以使用另一个镜像。

   6

   指明 registry 和存储库源，这是在镜像拉取规格中引用的存储库。

   7

   可选：如果镜像拉取失败，则指示回退策略：

   • AllowContactingSource ：允许继续尝试从源存储库拉取镜像。这是默认值。
   • NeverContactSource: 防止继续尝试从源存储库拉取镜像。

   8

   可选：指示 registry 中的命名空间，它允许您使用该命名空间中的任何镜像。如果您使用 registry 域作为源，则对象将应用到 registry 中的所有存储库。

   9

   可选：指示一个 registry，它允许您使用该 registry 中的任何镜像。如果指定了 registry 名称，对象将应用到源 registry 中的所有存储库到镜像 registry。

   10

   从 mirror mirror.example.net/image@sha256:.. 拉取镜像 registry.example.com/example/myimage@sha256:…​。

   11

   从 mirror mirror.example.net/image@sha256:…​ 的源 registry 命名空间中拉取镜像 registry.example.com/example/image@sha256:…​。

   12

   从 mirror registry example.net/registry-example-com/myimage@sha256:…​ 中拉取镜像 registry.example.com/myimage@sha256。ImageContentSourcePolicy 资源会应用到源 registry 中的所有仓库到到 mirror registry mirror.example.net/registry-example-com。

4. 创建新对象：

   $ oc create -f registryrepomirror.yaml

   创建对象后，Machine Config Operator (MCO) 会限制节点，因为新的设置被部署到每个节点。MCO 只为 ImageTagMirrorSet 对象重启节点。MCO 不会为 ImageDigestMirrorSet 对象重启节点。当节点被取消封锁时，集群开始使用已镜像的存储库向源存储库发出请求。

5. 要检查是否应用了镜像的配置设置，请在其中一个节点上执行以下操作。

   1. 列出您的节点：

      $ oc get node

      输出示例

      NAME                           STATUS                     ROLES    AGE  VERSION
      ip-10-0-137-44.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-138-148.ec2.internal   Ready                      master   11m  v1.26.0
      ip-10-0-139-122.ec2.internal   Ready                      master   11m  v1.26.0
      ip-10-0-147-35.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-153-12.ec2.internal    Ready                      worker   7m   v1.26.0
      ip-10-0-154-10.ec2.internal    Ready                      master   11m  v1.26.0

   2. 启动调试过程以访问节点：

      $ oc debug node/ip-10-0-147-35.ec2.internal

      输出示例

      Starting pod/ip-10-0-147-35ec2internal-debug ...
      To use host binaries, run `chroot /host`

   3. 将您的根目录改为 /host ：

      sh-4.2# chroot /host

   4. 检查 /etc/containers/registries.conf 文件，确保已完成更改：

      sh-4.2# cat /etc/containers/registries.conf

      以下输出代表了一个 registry.conf 文件，其中应用了 ImageDigestMirrorSet 对象和一个 ImageTagMirrorSet 对象。最后的两个条目分别标记为 digest-only 和 tag-only。

      输出示例

      unqualified-search-registries = ["registry.access.redhat.com", "docker.io"]
      short-name-mode = ""
      
      [[registry]]
        prefix = ""
        location = "registry.access.redhat.com/ubi9/ubi-minimal" 1
      
        [[registry.mirror]]
          location = "example.io/example/ubi-minimal" 2
          pull-from-mirror = "digest-only" 3
      
        [[registry.mirror]]
          location = "example.com/example/ubi-minimal"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com"
      
        [[registry.mirror]]
          location = "mirror.example.net/registry-example-com"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com/example"
      
        [[registry.mirror]]
          location = "mirror.example.net"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.example.com/example/myimage"
      
        [[registry.mirror]]
          location = "mirror.example.net/image"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.redhat.io"
      
        [[registry.mirror]]
          location = "mirror.example.com"
          pull-from-mirror = "digest-only"
      
      [[registry]]
        prefix = ""
        location = "registry.redhat.io/openshift4"
      
        [[registry.mirror]]
          location = "mirror.example.com/redhat"
          pull-from-mirror = "digest-only"
      [[registry]]
        prefix = ""
        location = "registry.access.redhat.com/ubi9/ubi-minimal"
        blocked = true 4
      
        [[registry.mirror]]
          location = "example.io/example/ubi-minimal-tag"
          pull-from-mirror = "tag-only" 5

      1

      指明在 pull spec 中引用的存储库。

      2

      指明该存储库的镜像。

      3

      表示从 mirror 的镜像拉取是一个摘要引用镜像。

      4

      表示为此存储库设置了 NeverContactSource 参数。

      5

      表示从 mirror 的镜像拉取是一个标签引用镜像。

   5. 从源拉取镜像到节点，并检查是否通过 mirror 解析。

      sh-4.2# podman pull --log-level=debug registry.access.redhat.com/ubi9/ubi-minimal@sha256:5cf...

流程

1. 运行以下命令，为 <local_registry>、<pull_spec> 和 <pull_secret_file> 指定值：

   $ oc adm catalog mirror <local_registry>/<pull_spec> <local_registry> -a <pull_secret_file> --icsp-scope=registry

   其中：

   <local_registry>

   您为断开连接的集群配置的本地 registry，如 local.registry:5000。

   <pull_spec>

   是断开连接的 registry 中配置的 pull 规格，如 redhat/redhat-operator-index:v4.13

   <pull_secret_file>

   是 .json 文件格式的 registry.redhat.io pull secret。您可以从 Red Hat OpenShift Cluster Manager 下载 pull secret。

   oc adm catalog mirror 命令创建 /redhat-operator-index-manifests 目录，并生成 imageContentSourcePolicy.yaml、catalogSource.yaml 和 mapping.txt 文件。

2. 将新的 ImageContentSourcePolicy 资源应用到集群：

   $ oc apply -f imageContentSourcePolicy.yaml