3.9. 镜像用于断开连接的集群的 Operator 目录

流程

1. 如果您的镜像 registry 需要身份验证，请运行以下命令登录到 registry:

   $ podman login <mirror_registry>

2. 运行以下命令，将内容提取并镜像到镜像 registry:

   $ oc adm catalog mirror \
       <index_image> \ 1
       <mirror_registry>:<port>/<namespace> \ 2
       [-a ${REG_CREDS}] \ 3
       [--insecure] \ 4
       [--index-filter-by-os='<platform>/<arch>'] \ 5
       [--manifests-only] 6

   1

   指定您要镜像的目录的索引镜像。例如，这可能是之前创建的已修剪索引镜像，也可以是默认目录的源索引镜像之一，如 registry.redhat.io/redhat/redhat-operator-index:v4.9。

   2

   指定要将 Operator 内容镜像到的目标 registry 和命名空间的完全限定域名(FQDN)，其中 <namespace> 是 registry 上的任何现有命名空间。例如，您可以创建一个 olm-mirror 命名空间来将所有镜像的内容推送到。

   3

   可选：如果需要，指定 registry 凭证文件的位置。registry.redhat.io 需要 {REG_CREDS}。

   4

   可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

   5

   可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被传递为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64、linux/ppc64le、linux/s390x 和 .*

   6

   可选：只生成镜像所需的清单，但并不实际将镜像内容镜像到 registry。这个选项对检查哪些将被镜像（mirror）非常有用，如果您只需要一小部分软件包，可以对映射列表进行修改。然后，您可以使用带有 oc image mirror 命令的 mapping.txt 文件来在以后的步骤中镜像修改的镜像列表。此标志仅用于从目录中对内容进行高级选择性镜像；opm index prune 命令适用于大多数目录管理用例，如果之前用来修剪索引镜像。

   输出示例

   src image has index label for database path: /database/index.db
   using database path mapping: /database/index.db:/tmp/153048078
   wrote database to /tmp/153048078 1
   ...
   wrote mirroring manifests to manifests-redhat-operator-index-1614211642 2

   1

   命令生成的临时 index.db 数据库的目录。

   2

   记录生成的 manifests 目录名称。该目录在后续过程中被引用。

   注意

   Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此临时解决方案的更多信息，请参阅 Unauthorized error thrown while using catalog mirror command with Quay registry。

流程

1. 在您的工作站中运行以下命令，且没有网络访问权限将内容镜像到本地文件中：

   $ oc adm catalog mirror \
       <index_image> \ 1
       file:///local/index \ 2
       -a ${REG_CREDS} \ 3
       --insecure \ 4
       --index-filter-by-os='<platform>/<arch>' 5

   1

   指定您要镜像的目录的索引镜像。例如，这可能是之前创建的已修剪索引镜像，也可以是默认目录的源索引镜像之一，如 registry.redhat.io/redhat/redhat-operator-index:v4.9。

   2

   指定要镜像到当前目录中的本地文件的内容。

   3

   可选：如果需要，指定 registry 凭证文件的位置。

   4

   可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

   5

   可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被指定为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64、linux/ppc64le、linux/s390x 和 .*

   输出示例

   ...
   info: Mirroring completed in 5.93s (5.915MB/s)
   wrote mirroring manifests to manifests-my-index-1614985528 1
   
   To upload local images to a registry, run:
   
   	oc adm catalog mirror file://local/index/myrepo/my-index:v1 REGISTRY/REPOSITORY 2

   1

   记录生成的 manifests 目录名称。该目录在后续过程中被引用。

   2

   记录根据您提供的索引镜像扩展的 file:// 路径。这个路径在后续步骤中被引用。

   此命令会在当前目录中创建 v2/ 目录中。

2. 将 v2/ 目录复制到可移动介质。
3. 物理删除该介质并将其附加到断开连接的环境中可访问镜像 registry 的主机。

4. 如果您的镜像 registry 需要身份验证，请在断开连接的环境中的主机上运行以下命令以登录到 registry：

   $ podman login <mirror_registry>

5. 从包含 v2/ 目录的父目录运行以下命令，将镜像从本地文件上传到镜像 registry：

   $ oc adm catalog mirror \
       file://local/index/<repo>/<index_image>:<tag> \ 1
       <mirror_registry>:<port>/<namespace> \ 2
       -a ${REG_CREDS} \ 3
       --insecure \ 4
       --index-filter-by-os='<platform>/<arch>' 5

   1

   指定上一命令输出中的 file:// 路径。

   2

   指定要将 Operator 内容镜像到的目标 registry 和命名空间的完全限定域名(FQDN)，其中 <namespace> 是 registry 上的任何现有命名空间。例如，您可以创建一个 olm-mirror 命名空间来将所有镜像的内容推送到。

   3

   可选：如果需要，指定 registry 凭证文件的位置。

   4

   可选：如果您不想为目标 registry 配置信任，请添加 --insecure 标志。

   5

   可选：在有多个变体可用时，指定索引镜像的平台和架构。镜像被指定为 '<platform>/<arch>[/<variant>]'。这不适用于索引引用的镜像。有效值为 linux/amd64、linux/ppc64le、linux/s390x 和 .*

   注意

   Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此临时解决方案的更多信息，请参阅 Unauthorized error thrown while using catalog mirror command with Quay registry。

6. 再次运行 oc adm catalog mirror 命令。使用新镜像的索引镜像作为源，以及上一步中与目标相同的镜像 registry 命名空间：

   $ oc adm catalog mirror \
       <mirror_registry>:<port>/<index_image> \
       <mirror_registry>:<port>/<namespace> \
       --manifests-only \1
       [-a ${REG_CREDS}] \
       [--insecure]

   1

   此步骤需要 --manifests-only 标志，以便该命令不会再次复制所有镜像的内容。

   重要

   这一步是必需的，因为上一步中生成的 imageContentSourcePolicy.yaml 文件中的镜像映射必须从本地路径更新为有效的镜像位置。如果不这样做，会在稍后的步骤中创建 ImageContentSourcePolicy 对象时会导致错误。