4.8.3. 从私有 registry 访问 Operator 的镜像

流程

1. 为每个必需的私有 registry 创建 secret。

   1. 登录到私有 registry 以创建或更新 registry 凭证文件：

      $ podman login <registry>:<port>

      注意

      registry 凭证的文件路径可能会根据用于登录到 registry 的容器工具的不同而有所不同。对于 podman CLI，默认位置为 ${XDG_RUNTIME_DIR}/containers/auth.json。对于 docker CLI，默认位置为 /root/.docker/config.json。

   2. 建议您为每个 secret 只包含一个 registry 的凭证，并在单独的 secret 中为多个 registry 管理凭证。后续步骤中的 CatalogSource 可包括多个 secret，OpenShift Container Platform 会将这些 secret 合并为一个单独的虚拟凭证文件，以便在镜像拉取过程中使用。

      默认情况下，registry 凭证文件可以存储多个 registry 的详情。确认您的文件的当前内容。例如：

      为两个 registry 存储凭证的文件

      {
              "auths": {
                      "registry.redhat.io": {
                              "auth": "FrNHNydQXdzclNqdg=="
                      },
                      "quay.io": {
                              "auth": "Xd2lhdsbnRib21iMQ=="
                      }
              }
      }

      由于此文件用于后续步骤中创建 secret，请确保为每个文件只存储一个 registry 的详情。这可使用以下方法之一完成：

      • 使用 podman logout <registry> 命令为额外 registry 删除凭证，直到您只保留一个 registry。

      • 编辑 registry 凭证文件，将 registry 详情分开以存储在多个文件中。例如：

        为一个 registry 存储凭证的文件

        {
                "auths": {
                        "registry.redhat.io": {
                                "auth": "FrNHNydQXdzclNqdg=="
                        }
                }
        }

        为另一个 registry 存储凭证的文件

        {
                "auths": {
                        "quay.io": {
                                "auth": "Xd2lhdsbnRib21iMQ=="
                        }
                }
        }

   3. 在 openshift-marketplace 命名空间中创建 secret，其中包含私有 registry 的身份验证凭证：

      $ oc create secret generic <secret_name> \
          -n openshift-marketplace \
          --from-file=.dockerconfigjson=<path/to/registry/credentials> \
          --type=kubernetes.io/dockerconfigjson

      重复此步骤，为任何其他需要的私有 registry 创建额外的 secret，更新 --from-file 标志以指定另一个 registry 凭证文件路径。

2. 创建或更新现有的 CatalogSource 对象以引用一个或多个 secret：

   apiVersion: operators.coreos.com/v1alpha1
   kind: CatalogSource
   metadata:
     name: my-operator-catalog
     namespace: openshift-marketplace
   spec:
     sourceType: grpc
     secrets: 1
     - "<secret_name_1>"
     - "<secret_name_2>"
     image: <registry>:<port>/<namespace>/<image>:<tag>
     displayName: My Operator Catalog
     publisher: <publisher_name>
     updateStrategy:
       registryPoll:
         interval: 30m

   1

   添加 spec.secrets 部分并指定任何所需 secret。

3. 如果订阅的 Operator 引用的任何 Operator 或 Operand 镜像需要访问私有 registry，您可以提供对集群中的所有命名空间或单独的目标租户命名空间的访问。

   • 要访问集群中的所有命名空间，请将身份验证详情添加到 openshift-config 命名空间中的全局集群 pull secret 中。

     警告

     集群资源必须调整为新的全局 pull secret，这样可暂时限制集群的可用性。

     1. 从全局 pull secret 中提取 .dockerconfigjson 文件：

        $ oc extract secret/pull-secret -n openshift-config --confirm

     2. 使用所需私有 registry 或 registry 的身份验证凭证更新 .dockerconfigjson 文件，并将它保存为新文件：

        $ cat .dockerconfigjson | \
            jq --compact-output '.auths["<registry>:<port>/<namespace>/"] |= . + {"auth":"<token>"}' \1
            > new_dockerconfigjson

        1

        将 <registry>:<port> /<namespace> 替换为私有 registry 的详情，将 <token> 替换为您的身份验证凭证。

     3. 使用新文件更新全局 pull secret：

        $ oc set data secret/pull-secret -n openshift-config \
            --from-file=.dockerconfigjson=new_dockerconfigjson

   • 要更新单个命名空间，请向 Operator 的服务帐户添加一个 pull secret，以便在目标租户命名空间中访问该 Operator。

     1. 在租户命名空间中为 openshift-marketplace 重新创建 secret：

        $ oc create secret generic <secret_name> \
            -n <tenant_namespace> \
            --from-file=.dockerconfigjson=<path/to/registry/credentials> \
            --type=kubernetes.io/dockerconfigjson

     2. 通过搜索租户命名空间来验证 Operator 的服务帐户名称：

        $ oc get sa -n <tenant_namespace> 1

        1

        如果 Operator 安装在单独的命名空间中，请搜索该命名空间。如果 Operator 已为所有命名空间安装，请搜索 openshift-operators 命名空间。

        输出示例

        NAME            SECRETS   AGE
        builder         2         6m1s
        default         2         6m1s
        deployer        2         6m1s
        etcd-operator   2         5m18s 1

        1

        已安装的 etcd Operator 的服务帐户。

     3. 将 secret 链接到 Operator 的服务帐户：

        $ oc secrets link <operator_sa> \
            -n <tenant_namespace> \
             <secret_name> \
            --for=pull