第 7 章 高级概念

默认情况下，将使用默认 生成的主机名创建路由，并将为 TLS 生成证书/密钥对。如果要使用自定义主机名访问 Red Hat Quay 并提供自己的 TLS 证书/密钥对，请按照以下步骤操作。

如果 FEATURE_BUILD_SUPPORT: true，请确保证书/密钥对也对 BUILDMAN_HOSTNAME 有效。

如果给定证书/密钥对对于上述主机名无效，则 Quay Operator 将拒绝您提供的证书/密钥对，并生成供 Red Hat Quay 使用的证书/密钥对。

接下来，使用以下内容创建 Secret:

apiVersion: v1
kind: Secret
metadata:
  name: my-config-bundle
data:
  config.yaml: <must include SERVER_HOSTNAME field with your custom hostname>
  ssl.cert: <your TLS certificate>
  ssl.key: <your TLS key>

然后，创建一个引用创建的 Secret 的 QuayRegistry：

apiVersion: quay.redhat.com/v1
kind: QuayRegistry
metadata:
  name: some-quay
spec:
  configBundleSecret: my-config-bundle

最好在 Quay 应用容器中终止 TLS。因此，要使用 OpenShift 提供的 TLS，您必须创建一个类型为 "reencrypt" 的路由，它将使用 OpenShift 在边缘提供的 TLS，以及集群中的 Quay Operator 生成的 TLS。这可以通过将 路由 组件标记为非受管，并使用 Operator 生成的 CA 证书创建自己的路由来重新加密 TLS。

使用包含值 < route-name>-<namespace>.apps.<cluster-domain&gt; 的 SERVER_HOSTNAME 字段的 config.yaml 键创建 Secret （在以后的步骤中将创建使用此主机名的路由）。

apiVersion: v1
kind: Secret
metadata:
  name: my-config-bundle
data:
  config.yaml: <must include SERVER_HOSTNAME field with your custom hostname>

创建引用上述 Secret 和 路由 组件非受管路由的 QuayRegistry ：

apiVersion: quay.redhat.com/v1
kind: QuayRegistry
metadata:
  name: some-quay
spec:
  configBundleSecret: my-config-bundle
  components:
  - kind: route
    managed: false

等待 Quay Operator 完全协调 QuayRegistry。然后，通过查找挂载到 Quay 应用程序 pod 中的 Secret 并复制 tls.cert 值来获取生成的 TLS 证书。

使用 TLS 重新加密和您复制的目标 CA 证书创建路由：

apiVersion: v1
kind: Route
metadata:
  name: registry
  namespace: <namespace>
spec:
  to:
    kind: Service
    name: <quay-service-name>
  tls:
    termination: reencrypt
    destinationCACertificate:
      -----BEGIN CERTIFICATE-----
      [...]
      -----END CERTIFICATE-----

现在，您可以使用创建的 Route 访问 Quay registry。

几分钟后（取决于 PVC 的大小），扩展的大小应当反映在 PVC 的 Capacity 字段中。

几分钟后，额外的存储池将添加到 Noobaa 资源，供 Red Hat Quay 使用。

Operator 中使用以下环境变量来覆盖组件镜像：

当通过 Operator Lifecycle Manager (OLM)在集群中安装 Quay Operator 时，可以通过修改 ClusterServiceVersion 对象（即 OLM 在集群中运行的 Operator 的表示）来轻松覆盖受管组件容器镜像。使用 Kubernetes UI 或 kubectl/oc 来查找 Quay Operator 的 ClusterServiceVersion ：

$ oc get clusterserviceversions -n <your-namespace>

使用 UI、oc edit 或任何其他方法，修改 Quay ClusterServiceVersion，使其包含上面概述的环境变量以指向覆盖镜像：

JSONPath:spec.install.spec.deployments[0].spec.template.spec.containers[0].env

- name: RELATED_IMAGE_COMPONENT_QUAY
  value: quay.io/projectquay/quay@sha256:c35f5af964431673f4ff5c9e90bdf45f19e38b8742b5903d41c10cc7f6339a6d
- name: RELATED_IMAGE_COMPONENT_CLAIR
  value: quay.io/projectquay/clair@sha256:70c99feceb4c0973540d22e740659cd8d616775d3ad1c1698ddf71d0221f3ce6
- name: RELATED_IMAGE_COMPONENT_POSTGRES
  value: centos/postgresql-10-centos7@sha256:de1560cb35e5ec643e7b3a772ebaac8e3a7a2a8e8271d9e91ff023539b4dfb33
- name: RELATED_IMAGE_COMPONENT_REDIS
  value: centos/redis-32-centos7@sha256:06dbb609484330ec6be6090109f1fa16e936afcf975d1cbc5fff3e6c7cae7542

请注意，这在 Operator 级别上完成，因此每个 QuayRegistry 都使用相同的覆盖来部署。