3.3. 创建用于在受限网络中安装的镜像 registry
在受限网络中置备的基础架构上安装集群前，您必须将所需的容器镜像镜像(mirror)到那个环境中。在受限网络中安装仅支持您置备的基础架构，不支持安装程序置备的基础架构。您也可以在不受限制的网络中使用此流程来确保集群只使用满足您机构对外部内容控制的容器镜像。
您必须可以访问互联网来获取所需的容器镜像。在这一流程中，您要将镜像 registry 放在可访问您的网络以及互联网的镜像（mirror）主机上。如果您无法访问镜像主机，请使用断开连接的步骤将镜像复制到可跨网络界限的设备中。
3.3.1. 关于镜像 registry
您可以镜像 OpenShift Container Platform 安装和后续的产品更新镜像(mirror)镜像(mirror)。这些步骤使用同样的过程。发行版本镜像（包含内容描述）及其引用的镜像都被镜像(mirror)。此外，Operator 目录源镜像及其引用的镜像必须针对您使用的每个 Operator 进行镜像(mirror)。镜像内容后，您要将每个集群配置为从镜像 registry 中检索此内容。
镜像 registry 可以是支持最新容器镜像 API（称为 schema2 ）的任何容器 registry。所有主要的云供应 registry，以及 Red Hat Quay、artifactory 和开源 Docker 发行 registry 都被支持。使用其中一个 registry 可确保 OpenShift Container Platform 可在断开连接的环境中检查各个镜像的完整性。
镜像 registry 必须可以被您置备的集群中的每台机器访问。如果 registry 无法访问，更新或常规操作（如工作负载重新定位）可能会失败。因此，您必须以高度可用的方式运行镜像 registry，镜像 registry 至少必须与 OpenShift Container Platform 集群的生产环境可用性相匹配。
使用 OpenShift Container Platform 镜像填充镜像 registry 时，可以采用以下两种情况。如果您的主机可以同时访问互联网和您的镜像 registry，而不能访问您的集群节点，您可以直接从该机器中镜像该内容。这个过程被称为 连接的镜像(mirror)。如果没有这样的主机，则必须将该镜像文件镜像到文件系统中，然后将该主机或者可移动介质放入受限环境中。这个过程被称为 断开连接的镜像。
3.3.2. 准备您的镜像主机
执行镜像步骤前，必须准备主机以检索内容并将其推送到远程位置。
3.3.2.1. 通过下载二进制文件安装 CLI
您需要安装 CLI（oc） 来使用命令行界面与 OpenShift Container Platform 进行交互。您可在 Linux 、Windows 或 macOS 上安装 oc。
如果安装了旧版本的 oc，则无法使用 OpenShift Container Platform 4.3 中的所有命令。下载并安装新版本的 oc。
3.3.2.1.1. 在 Linux 上安装 CLI
您可以按照以下流程在 Linux 上安装 OpenShift CLI（oc）二进制文件。
流程
- 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。
- 选择您的基础架构供应商及安装类型。
- 在 Command-line interface 部分，从下拉菜单中选择 Linux，并点 Download command-line tools。
解包存档：
$ tar xvzf <file>
把
oc二进制代码放到PATH中的目录中。执行以下命令可以查看当前的
PATH设置：$ echo $PATH
安装 CLI 后，就可以使用oc命令：
$ oc <command>
3.3.2.1.2. 在 Windows 上安装 CLI
您可以按照以下流程在 Windows 上安装 OpenShift CLI（oc）二进制代码。
流程
- 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。
- 选择您的基础架构供应商及安装类型。
- 在 Command-line interface 部分，从下拉菜单中选择 Windows，点 Download command-line tools。
- 使用 ZIP 程序解压存档。
把
oc二进制代码放到PATH中的目录中。要查看您的
PATH，请打开命令提示窗口并执行以下命令：C:\> path
安装 CLI 后，就可以使用oc命令：
C:\> oc <command>
3.3.2.1.3. 在 macOS 上安装 CLI
您可以按照以下流程在 macOS 上安装 OpenShift CLI（oc）二进制代码。
流程
- 访问 Red Hat OpenShift Cluster Manager 网站的 Infrastructure Provider 页面。
- 选择您的基础架构供应商及安装类型。
- 在 Command-line interface 部分，从下拉菜单中选择 MacOS，并点 Download command-line tools。
- 解包和解压存档。
将
oc二进制文件移到 PATH 的目录中。要查看您的
PATH，打开一个终端窗口并执行以下命令：$ echo $PATH
安装 CLI 后，就可以使用oc命令：
$ oc <command>
3.3.3. 配置允许对容器镜像进行镜像的凭证
创建容器镜像 registry 凭证文件，允许将红帽的镜像镜像到您的镜像环境中。
安装集群时不要使用此镜像 registry 凭据文件作为 pull secret。如果在安装集群时提供此文件，集群中的所有机器都将具有镜像 registry 的写入权限。
此过程需要您可以对镜像 registry 上的容器镜像 registry 进行写操作，并将凭证添加到 registry pull secret。
安装集群时不要使用此镜像 registry 凭据文件作为 pull secret。如果在安装集群时提供此文件，集群中的所有机器都将具有镜像 registry 的写入权限。
先决条件
- 配置了一个镜像（mirror） registry 在受限网络中使用。
- 您在镜像 registry 中标识了镜像仓库的位置，以将容器镜像镜像(mirror)到这个位置。
- 您置备了一个镜像 registry 帐户，允许将镜像上传到该镜像仓库。
流程
在安装主机上完成以下步骤：
-
从 Red Hat OpenShift Cluster Manager 站点的 Pull Secret 页面下载
registry.redhat.io的 pull secret，将它保存为一个.json文件。 为您的镜像 registry 生成 base64 编码的用户名和密码或令牌：
$ echo -n '<user_name>:<password>' | base64 -w0 1 BGVtbYk3ZHAtqXs=- 1
- 通过
<user_name>和<password>指定 registry 的用户名和密码。
以 JSON 格式创建您的 pull secret 副本：
$ cat ./pull-secret.text | jq . > <path>/<pull-secret-file>1- 1
- 指定到存储 pull secret 的文件夹的路径，以及您创建的 JSON 文件的名称。
该文件类似于以下示例：
{ "auths": { "cloud.openshift.com": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "quay.io": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "registry.connect.redhat.com": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" }, "registry.redhat.io": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" } } }编辑新文件并添加描述 registry 的部分：
"auths": { "<mirror_registry>": { 1 "auth": "<credentials>", 2 "email": "you@example.com" },该文件类似于以下示例：
{ "auths": { "<mirror_registry>": { "auth": "<credentials>", "email": "you@example.com" }, "cloud.openshift.com": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "quay.io": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "registry.connect.redhat.com": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" }, "registry.redhat.io": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" } } }
编辑新文件并添加描述 registry 的部分：
"auths": { ... "<mirror_registry>": { 1 "auth": "<credentials>", 2 "email": "you@example.com" }, ...该文件类似于以下示例：
{ "auths": { "cloud.openshift.com": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "quay.io": { "auth": "b3BlbnNo...", "email": "you@example.com" }, "registry.connect.redhat.com": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" }, "<mirror_registry>": { "auth": "<credentials>", "email": "you@example.com" }, "registry.redhat.io": { "auth": "NTE3Njg5Nj...", "email": "you@example.com" } } }
3.3.4. 镜像 OpenShift Container Platform 镜像存储库
镜像要在集群安装或升级过程中使用的 OpenShift Container Platform 镜像仓库。
先决条件
- 您的镜像主机可访问互联网。
- 您已将镜像 registry 配置为在受限网络中使用，并可访问您配置的证书和凭证。
- 您已从 Red Hat OpenShift Cluster Manager 站点的 Pull Secret页面下载了 pull secret，并已修改为包含镜像存储库身份验证信息。
流程
在镜像主机上完成以下步骤：
- 查看 OpenShift Container Platform 下载页面，以确定您要安装的 OpenShift Container Platform 版本，并决定 Repository Tags 页中的相应标签（tag）。
设置所需的环境变量：
$ export OCP_RELEASE=<release_version> 1 $ export LOCAL_REGISTRY='<local_registry_host_name>:<local_registry_host_port>' 2 $ export LOCAL_REPOSITORY='<local_repository_name>' 3 $ export PRODUCT_REPO='openshift-release-dev' 4 $ export LOCAL_SECRET_JSON='<path_to_pull_secret>' 5 $ export RELEASE_NAME="ocp-release" 6 $ export ARCHITECTURE=<server_architecture> 7 $ REMOVABLE_MEDIA_PATH=<path> 8
- 1
- 对于
<release_version>，请指定与 OpenShift Container Platform 版本对应的标签，用于您的架构，如4.3.0。 - 2
- 对于
<local_registry_host_name>，请指定镜像存储库的 registry 域名；对于<local_registry_host_port>，请指定用于提供内容的端口。 - 3
- 对于
<local_repository_name>，请指定要在 registry 中创建的仓库名称，如ocp4/openshift4。 - 4
- 要镜像的存储库。对于生产环境版本，必须指定
openshift-release-dev。 - 5
- 对于
<path_to_pull_secret>，请指定您创建的镜像 registry 的 pull secret 的绝对路径和文件名。 - 6
- 发行版本镜像。对于生产环境版本，您必须指定
ocp-release。 - 7
- 对于
server_architecture，指定服务器的构架，如x86_64。 - 8
- 对于
<path>，指定托管镜像的目录的路径。
将版本镜像镜像(mirror)到内部容器 registry：
如果您的镜像主机无法访问互联网，请执行以下操作：
- 将可移动介质连接到连接到互联网的系统。
查看要镜像的镜像和配置清单：
$ oc adm -a ${LOCAL_SECRET_JSON} release mirror --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} --to-release-image=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE} --run-dry-
记录上一命令输出中的
imageContentSources部分。您的镜像信息与您的镜像存储库相对应，您必须在安装过程中将imageContentSources部分添加到install-config.yaml文件中。 将镜像镜像到可移动介质的目录中：
$ oc adm release mirror -a ${LOCAL_SECRET_JSON} --to-dir=${REMOVABLE_MEDIA_PATH}/mirror quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE}将介质上传到受限网络环境中，并将镜像上传到本地容器 registry。
$ oc image mirror -a ${LOCAL_SECRET_JSON} --from-dir=${REMOVABLE_MEDIA_PATH}/mirror "file://openshift/release:${OCP_RELEASE}*" ${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}
如果本地容器 registry 连接到镜像主机，请执行以下操作：
使用以下命令直接将发行版镜像推送到本地 registry:
$ oc adm -a ${LOCAL_SECRET_JSON} release mirror \ --from=quay.io/${PRODUCT_REPO}/${RELEASE_NAME}:${OCP_RELEASE}-${ARCHITECTURE} \ --to=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY} \ --to-release-image=${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}该命令将发行信息提取为摘要，其输出包括安装集群时所需的
imageContentSources数据。-
记录上一命令输出中的
imageContentSources部分。您的镜像信息与您的镜像存储库相对应，您必须在安装过程中将imageContentSources部分添加到install-config.yaml文件中。
镜像名称在镜像过程中被修补到 Quay.io， podman 镜像将在 bootstrap 虚拟机的 registry 中显示 Quay.io。
要创建基于您镜像内容的安装程序，请提取内容并将其固定到发行版中：
$ oc adm -a ${LOCAL_SECRET_JSON} release extract --command=openshift-install "${LOCAL_REGISTRY}/${LOCAL_REPOSITORY}:${OCP_RELEASE}-${ARCHITECTURE}"重要要确保将正确的镜像用于您选择的 OpenShift Container Platform 版本，您必须从镜像内容中提取安装程序。
您必须在有活跃互联网连接的机器上执行这个步骤。
3.3.5. 准备集群以收集支持数据
使用受限网络的集群必须导入默认的 must-gather 镜像，以便为红帽支持收集调试数据。在默认情况下，must-gather 镜像不会被导入，受限网络中的集群无法访问互联网来从远程存储库拉取最新的镜像。
流程
从您的安装有效负载中导入默认 must-gather 镜像：
$ oc import-image is/must-gather -n openshift
3.3.6. 使用带有备用或经过镜像的 registry 的 Samples Operator 镜像流
OpenShift 命名空间中大多数由 Samples Operator 管理的镜像流指向位于 registry.redhat.io 上红帽 registry 中的镜像。镜像功能不适用于这些镜像流。
jenkins、jenkins-agent-maven 和 jenkins-agent-nodejs 镜像流的确来自安装有效负载，并由 Samples Operator 管理，因此这些镜像流不需要进一步的镜像操作。
将 Sample Operator 配置文件中的 samplesRegistry 字段设置为 registry.redhat.io 有很多冗余，因为它已经定向到 registry.redhat.io，只用于 Jenkins 镜像和镜像流。它还会破坏 Jenkins 镜像流的安装有效负载。
Samples Operator 禁止将以下 registry 用于 Jenkins 镜像流：
cli、installer、must-gather 和 test 镜像流虽然属于安装有效负载的一部分，但不由 Samples Operator 管理。此流程中不涉及这些镜像流。
先决条件
-
使用具有
cluster-admin角色的用户访问集群。 - 为您的镜像 registry 创建 pull secret。
流程
访问被镜像（mirror）的特定镜像流的镜像，例如：
$ oc get is <imagestream> -n openshift -o json | jq .spec.tags[].from.name | grep registry.redhat.io
将 registry.redhat.io 中与您在受限网络环境中需要的任何镜像流关联的镜像，镜像 (mirror) 成一个定义的镜像 (mirror)：
$ oc image mirror registry.redhat.io/rhscl/ruby-25-rhel7:latest ${MIRROR_ADDR}/rhscl/ruby-25-rhel7:latest在集群的镜像配置对象中，为镜像添加所需的可信 CA：
$ oc create configmap registry-config --from-file=${MIRROR_ADDR_HOSTNAME}..5000=$path/ca.crt -n openshift-config $ oc patch image.config.openshift.io/cluster --patch '{"spec":{"additionalTrustedCA":{"name":"registry-config"}}}' --type=merge更新 Samples Operator 配置对象中的
samplesRegistry字段，使其包含镜像配置中定义的镜像位置的hostname部分：$ oc edit configs.samples.operator.openshift.io -n openshift-cluster-samples-operator
注意这是必要的，因为镜像流导入过程在此刻不使用镜像（mirro）或搜索机制。
将所有未镜像的镜像流添加到 Samples Operator 配置对象的
skippedImagestreams字段。或者，如果您不想支持任何示例镜像流，请在 Samples Operator 配置对象中将 Samples Operator 设置为Removed。注意镜像流导入失败两小时后，任何没有跳过的未镜像的镜像流，或者如果 Samples Operator 没有更改为
Removed，都会导致 Samples Operator 报告Degraded状态。OpenShift 命名空间中的多个模板都引用镜像流。因此，使用
Removed清除镜像流和模板，将避免在因为缺少镜像流而导致镜像流和模板无法正常工作时使用它们。
3.3.7. 后续步骤
- 在您在受限网络中置备的基础架构上安装集群，如 VMware vSphere、裸机或 Amazon Web Services。
