1. 将证书文件和主密钥文件复制到您的配置目录中，确保它们分别命名为 ssl.cert 和 ssl.key ：

   $ cp ~/ssl.cert $QUAY/config
   $ cp ~/ssl.key $QUAY/config
   $ cd $QUAY/config

2. 编辑 config.yaml 文件，并指定希望 Quay 处理 TLS：

   config.yaml

   ...
   SERVER_HOSTNAME: quay-server.example.com
   ...
   PREFERRED_URL_SCHEME: https
   ...

3. 停止 Quay 容器并重启 registry：

   $ sudo podman rm -f quay
   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
     --name=quay \
     -v $QUAY/config:/conf/stack:Z \
     -v $QUAY/storage:/datastorage:Z \
     registry.redhat.io/quay/quay-rhel8:v3.7.13

1. 以配置模式启动 Quay 容器：

   $ sudo podman run --rm -it --name quay_config -p 80:8080 -p 443:8443 registry.redhat.io/quay/quay-rhel8:v3.7.13 config secret

2. 在 Server Configuration 部分中，选择 Red Hat Quay 处理 TLS 的 TLS。上传之前创建的证书和私钥文件，确保服务器主机名与创建证书时使用的值匹配。验证并下载更新的配置。

3. 停止 Quay 容器，然后重新启动 registry：

   $ sudo podman rm -f quay
   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
   --name=quay \
   -v $QUAY/config:/conf/stack:Z \
   -v $QUAY/storage:/datastorage:Z \
   registry.redhat.io/quay/quay-rhel8:v3.7.13

1. 将 root CA 文件复制到合并的系统范围信任存储中：

   $ sudo cp rootCA.pem /etc/pki/ca-trust/source/anchors/

2. 更新系统范围信任存储配置：

   $ sudo update-ca-trust extract

3. 您可以使用 trust list 命令来确保已经配置了 Quay 服务器：

   $ trust list | grep quay
       label: quay-server.example.com

   现在，当您访问位于 https://quay-server.example.com 的 registry 时，锁定图标会显示连接的安全：

   

4. 要从系统范围信任中删除 root CA，请删除该文件并更新配置：

   $ sudo rm /etc/pki/ca-trust/source/anchors/rootCA.pem
   $ sudo update-ca-trust extract
   $ trust list | grep quay
   $

1. 查看添加到容器中的证书

   $ cat storage.crt
   -----BEGIN CERTIFICATE-----
   MIIDTTCCAjWgAwIBAgIJAMVr9ngjJhzbMA0GCSqGSIb3DQEBCwUAMD0xCzAJBgNV
   [...]
   -----END CERTIFICATE-----

2. 创建 certs 目录并复制证书

   $ mkdir -p quay/config/extra_ca_certs
   $ cp storage.crt quay/config/extra_ca_certs/
   $ tree quay/config/
   ├── config.yaml
   ├── extra_ca_certs
   │   ├── storage.crt

3. 使用 podman ps 获取 Quay 容器的 CONTAINER ID ：

   $ sudo podman ps
   CONTAINER ID        IMAGE                                COMMAND                  CREATED             STATUS              PORTS
   5a3e82c4a75f        <registry>/<repo>/quay:v3.7.13 "/sbin/my_init"          24 hours ago        Up 18 hours         0.0.0.0:80->80/tcp, 0.0.0.0:443->443/tcp, 443/tcp   grave_keller

4. 使用该 ID 重启容器：

   $ sudo podman restart 5a3e82c4a75f

5. 检查复制到容器命名空间中的证书：

   $ sudo podman exec -it 5a3e82c4a75f cat /etc/ssl/certs/storage.pem
   -----BEGIN CERTIFICATE-----
   MIIDTTCCAjWgAwIBAgIJAMVr9ngjJhzbMA0GCSqGSIb3DQEBCwUAMD0xCzAJBgNV

1. 首先使用 base64 编码证书内容：

   $ cat ca.crt
   -----BEGIN CERTIFICATE-----
   MIIDljCCAn6gAwIBAgIBATANBgkqhkiG9w0BAQsFADA5MRcwFQYDVQQKDA5MQUIu
   TElCQ09SRS5TTzEeMBwGA1UEAwwVQ2VydGlmaWNhdGUgQXV0aG9yaXR5MB4XDTE2
   MDExMjA2NTkxMFoXDTM2MDExMjA2NTkxMFowOTEXMBUGA1UECgwOTEFCLkxJQkNP
   UkUuU08xHjAcBgNVBAMMFUNlcnRpZmljYXRlIEF1dGhvcml0eTCCASIwDQYJKoZI
   [...]
   -----END CERTIFICATE-----
   
   $ cat ca.crt | base64 -w 0
   [...]
   c1psWGpqeGlPQmNEWkJPMjJ5d0pDemVnR2QNCnRsbW9JdEF4YnFSdVd3PT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo=

2. 使用 kubectl 工具编辑 quay-enterprise-config-secret。

   $ kubectl --namespace quay-enterprise edit secret/quay-enterprise-config-secret

3. 为证书添加一个条目，并在条目下粘贴完整的 base64 编码字符串：

     custom-cert.crt:
   c1psWGpqeGlPQmNEWkJPMjJ5d0pDemVnR2QNCnRsbW9JdEF4YnFSdVd3PT0KLS0tLS1FTkQgQ0VSVElGSUNBVEUtLS0tLQo=

4. 最后，回收所有 Red Hat Quay Pod。使用 kubectl delete 删除所有 Red Hat Quay Pod。Red Hat Quay Deployment 将自动使用新证书数据调度替代 pod。

1. 部署（最好具有容错） Postgres 数据库服务器。请注意，Clair -ossp 扩展需要添加到其 Postgres 数据库中。如果 Clair 的 config.yaml 中提供的用户有创建扩展所需的权限，那么它将由 Clair 本身自动添加。如果不是，必须在启动 Clair 前添加扩展。如果扩展不存在，则 Clair 尝试启动时会显示以下错误。

   ERROR: Please load the "uuid-ossp" extension. (SQLSTATE 42501)

2. 在特定文件夹中创建 Clair 配置文件，例如 /etc/clairv4/config/config.yaml。

   config.yaml

   introspection_addr: :8089
   http_listen_addr: :8080
   log_level: debug
   indexer:
     connstring: host=clairv4-postgres port=5432 dbname=clair user=postgres password=postgres sslmode=disable
     scanlock_retry: 10
     layer_scan_concurrency: 5
     migrations: true
   matcher:
     connstring: host=clairv4-postgres port=5432 dbname=clair user=postgres password=postgres sslmode=disable
     max_conn_pool: 100
     run: ""
     migrations: true
     indexer_addr: clair-indexer
   notifier:
     connstring: host=clairv4-postgres port=5432 dbname=clair user=postgres password=postgres sslmode=disable
     delivery_interval: 1m
     poll_interval: 5m
     migrations: true
   
   # tracing and metrics
   trace:
     name: "jaeger"
     probability: 1
     jaeger:
       agent_endpoint: "localhost:6831"
       service_name: "clair"
   metrics:
     name: "prometheus"

1. 通过容器镜像运行 Clair，挂载在来自您所创建文件的配置中。

   $ podman run -p 8080:8080 -p 8089:8089 -e CLAIR_CONF=/clair/config.yaml -e CLAIR_MODE=combo -v /etc/clair4/config:/clair -d registry.redhat.io/quay/clair-rhel8:v3.7.13

2. 按照上一节中的剩余说明，用于配置 Red Hat Quay 以使用新的 Clair V4 端点。

1. 登录您的 Red Hat Quay 集群，并选择已为其配置 Clair 扫描的组织。

2. 从该组织中选择包含一些镜像的存储库，并从左侧导航中选择 Tags。下图显示了已扫描的两个镜像的存储库示例：

   

3. 如果找到漏洞，请在镜像的 Security Scan 列下选择，以查看所有漏洞或可修复漏洞。下图显示了找到的所有漏洞的信息：

   

1. 首先，请确保您的 Clair 配置已禁止自动 Updaters 运行。

   config.yaml

   matcher:
     disable_updaters: true

2. 将最新的 Updater 数据导出到本地存档。这要求 clairctl 工具可以直接作为二进制文件运行，或者通过 Clair 容器镜像运行。假设 Clair 配置在 /etc/clairv4/config/config.yaml 中，以通过容器镜像运行：

   $ podman run -it --rm -v /etc/clairv4/config:/cfg:Z -v /path/to/output/directory:/updaters:Z --entrypoint /bin/clairctl registry.redhat.io/quay/clair-rhel8:v3.7.13 --config /cfg/config.yaml export-updaters  /updaters/updaters.gz

   请注意，您需要明确引用 Clair 配置。这会在 /etc/clairv4/updaters/updaters.gz 中创建 Updater 归档。如果要确保创建存档而没有源数据库的错误，您可以向 clairctl 提供 --strict 标志。该存档文件应复制到运行 Clair 的断开连接的主机中被访问的卷。从断开连接的主机中，使用相同的步骤将存档导入到 Clair。

   $ podman run -it --rm -v /etc/clairv4/config:/cfg:Z -v /path/to/output/directory:/updaters:Z --entrypoint /bin/clairctl registry.redhat.io/quay/clair-rhel8:v3.7.13 --config /cfg/config.yaml import-updaters /updaters/updaters.gz

1. 进入 Operators → OperatorHub（选择安全性）来查看可用的 Container Security Operator。
2. 选择 Container Security Operator，然后选择 Install 进入 Create Operator Subscription 页面。
3. 检查设置（所有命名空间和自动批准策略），然后选择 Subscribe。在 Installed Operators 屏幕中几分钟后会出现 Container Security。

4. 另外，您可以选择在 CSO 中添加自定义证书。在本例中，在当前目录中创建一个名为 quay.crt 的证书。然后，运行以下命令将证书添加到 CSO（重启 Operator pod 以使新证书生效）：

   $ oc create secret generic container-security-operator-extra-certs --from-file=quay.crt -n openshift-operators

5. 打开 OpenShift Dashboard(Home → Dashboards)。指向镜像安全性的链接会出现在 status 部分，其中列出了目前发现的漏洞数量。选择该链接以查看安全分类，如下图所示：

   

6. 对于任何检测到的安全漏洞，您可以在此时进行两个操作之一：

   • 选择到这个漏洞的链接。您会进入容器来自的容器 registry、Red Hat Quay 或其他 registry，从中可查看与漏洞相关的信息。下图显示了从 Quay.io registry 中检测到的漏洞示例：

     

   • 选择 namespaces 链接以进入 ImageManifestVuln 屏幕，您可以在其中查看所选镜像的名称以及该镜像正在运行的所有命名空间。下图表示某个存在安全漏洞的镜像在两个命名空间中运行：

     

流程

1. 通过 Web UI 登录 Red Hat Quay。
2. 选择配置外部应用程序的机构。
3. 在导航窗格中，选择 Applications。
4. 选择 Create New Application 并输入新应用的名称，如 openshift。
5. 在 OAuth Applications 页面中，选择您的应用程序，如 openshift。
6. 在导航窗格中，选择 Generate Token。

7. 选择以下字段：

   • 管理机构
   • 管理软件仓库
   • 创建软件仓库
   • 查看所有可见的软件仓库
   • 对任何可访问的存储库进行读/写
   • 管理用户
   • 读取用户信息
8. 检查分配的权限。
9. 选择 Authorize Application，然后通过选择 Authorize Application 来确认授权。

10. 保存生成的访问令牌。

    重要

    Red Hat Quay 不提供令牌管理。您不能列出令牌、删除令牌或修改令牌。生成的访问令牌仅显示一次，在关闭页面后无法重新获取。

流程

1. 打开 Web 控制台的 Administrator 视角，并在导航窗格中导航至 Operators → OperatorHub。
2. 搜索 Quay Bridge Operator，点 Quay Bridge Operator 标题，然后点 Install。
3. 选择要安装的版本，如 stable-3.7，然后单击 Install。
4. 安装完成后，点 View Operator 进入 Quay Bridge Operator 的 Details 页面。另外，您还可以点击 Installed Operators → Red Hat Quay Bridge Operator 进入 Details 页面。

1. 以配置模式启动 Quay 容器，再选择 Enable Repository Images 复选框。如果要在镜像过程中需要 HTTPS 通信并验证证书，请选择 HTTPS 和证书验证复选框。

   

2. 验证并下载 配置文件，然后使用更新的 配置文件在 registry 模式中重启 Quay。

流程

1. 创建新机构或选择现有机构。最初，没有配置配额，可在 Organization Settings 标签页中看到：

   

2. 以超级用户身份登录注册表，再导航到 Super User Admin Panel 上的 Manage Organizations 选项卡。点击您要创建存储配额限制的机构的 Options 图标：

   

3. 单击 Configure Quota，然后输入初始配额，如 10 MB。然后点击" 应用 "和 "关闭" ：

   

4. 检查超级用户面板中的 Manage Organizations 标签页上显示有 0 of 10 MB 的配额：

   

   消耗的配额信息也可以在机构页面中直接可用：

   初始消耗的配额

   

5. 若要将配额增加到 100MB，可导航到超级用户面板中的 Manage Organizations 选项卡。单击 Options 图标并选择 Configure Quota，将配额设置为 100 MB。点 Apply，然后点 Close ：

   

6. 从命令行将示例镜像推送到机构：

   示例命令

   $ podman pull ubuntu:18.04
   
   $ podman tag docker.io/library/ubuntu:18.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04
   
   $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:18.04

7. 在超级用户面板中，显示每个机构使用的配额：

   

8. Organization 页面中显示镜像使用的配额的总比例：

   第一镜像占配额总数

   

9. 拉取、标记和推送第二个镜像，如 nginx ：

   示例命令

   $ podman pull nginx
   
   $ podman tag docker.io/library/nginx example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx
   
   $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/nginx

10. Organization 页面中显示该机构中每个存储库使用的配额的总比例：

    每个软件仓库的配额总数

    

11. 创建 reject 和 warning 限制：

    从超级用户面板中，导航到 Manage Organizations 选项卡。点机构的 Options 图标，然后选择 Configure Quota。在 Quota Policy 部分中，Action type 设置为 Reject，将 Quota Threshold 设置为 80，然后单击 Add Limit:

    

12. 要创建 警告 限制，选择 Warning 作为 Action 类型，将 Quota Threshold 设置为 70，然后单击 Add Limit:

    

13. 点弹出窗口中配额 关闭。在 Organization 页的 Settings 标签页中，这个限制可以被查看，但不能编辑：

    

14. 推送超过 reject 限值的镜像：

    因为 reject 限制(80%)已设为低于当前存储库大小(~83%)，所以下一次推送会自动被拒绝。

    镜像推送示例

    $ podman pull ubuntu:20.04
    
    $ podman tag docker.io/library/ubuntu:20.04 example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04
    
    $ podman push --tls-verify=false example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org/testorg/ubuntu:20.04

    超过配额时的输出示例

    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0002] failed, retrying in 1s ... (1/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0005] failed, retrying in 1s ... (2/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    WARN[0009] failed, retrying in 1s ... (3/3). Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace
    Getting image source signatures
    Copying blob d4dfaa212623 [--------------------------------------] 8.0b / 3.5KiB
    Copying blob cba97cc5811c [--------------------------------------] 8.0b / 15.0KiB
    Copying blob 0c78fac124da [--------------------------------------] 8.0b / 71.8MiB
    Error: Error writing blob: Error initiating layer upload to /v2/testorg/ubuntu/blobs/uploads/ in example-registry-quay-quay-enterprise.apps.docs.gcp.quaydev.org: denied: Quota has been exceeded on namespace

15. 超过限制时，会在 UI 中显示通知：

    配额通知

    

流程

1. 备份独立部署的 Quay config.yaml ：

   $ mkdir /tmp/quay-backup
   $ cp /path/to/Quay/config/directory/config.yaml /tmp/quay-backup

2. 创建独立 Quay 部署使用的数据库备份：

   $ pg_dump -h DB_HOST -p 5432 -d QUAY_DATABASE_NAME -U QUAY_DATABASE_USER -W -O > /tmp/quay-backup/quay-database-backup.sql

3. 如果还没有安装 AWS CLI。

4. 创建 ~/.aws/ 目录：

   $ mkdir ~/.aws/

5. 从独立部署的 Quay config.yaml 获取 access_key 和 secret_key ：

   $ grep -i DISTRIBUTED_STORAGE_CONFIG -A10 /tmp/quay-backup/config.yaml

   输出示例：

   DISTRIBUTED_STORAGE_CONFIG:
       minio-1:
           - RadosGWStorage
           - access_key: ##########
             bucket_name: quay
             hostname: 172.24.10.50
             is_secure: false
             port: "9000"
             secret_key: ##########
             storage_path: /datastorage/registry

6. 将 Quay config.yaml 文件中的 access_key 和 secret_key 存储在 ~/.aws 目录中：

   $ touch ~/.aws/credentials

7. 可选：检查是否存储了 access_key 和 secret_key ：

   $ cat > ~/.aws/credentials << EOF
   [default]
   aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
   aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
   EOF

   输出示例：

   aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
   aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG

   注意

   如果 aws cli 不会自动从 '~/.aws/credentials 文件 收集 access_key 和 secret_key，您可以运行 aws 配置并手动输入凭证来配置 它们。

8. 在 quay-backup 目录中，创建一个 bucket_backup 目录：

   $ mkdir /tmp/quay-backup/bucket-backup

9. 从 S3 存储备份所有 Blob：

   $ aws s3 sync --no-verify-ssl --endpoint-url https://PUBLIC_S3_ENDPOINT:PORT s3://QUAY_BUCKET/ /tmp/quay-backup/bucket-backup/

   注意

   PUBLIC_S3_ENDPOINT 可以从 DISTRIBUTED_STORAGE_CONFIG 中 主机名 下的 Quay config.yaml 文件读取。如果端点不安全，请在端点 URL 中使用 http 而不是 https。

1. 缩减 Red Hat Quay Operator：

   $ oc scale --replicas=0 deployment quay-operator.v3.6.2 -n openshift-operators

2. 缩减应用程序和镜像部署：

   $ oc scale --replicas=0 deployment QUAY_MAIN_APP_DEPLOYMENT QUAY_MIRROR_DEPLOYMENT

3. 将数据库 SQL 备份复制到 Quay PostgreSQL 数据库实例中：

   $ oc cp /tmp/user/quay-backup/quay-database-backup.sql quay-enterprise/quayregistry-quay-database-54956cdd54-p7b2w:/var/lib/pgsql/data/userdata

4. 从 Operator 创建的 config.yaml 文件中获取数据库密码：

   $ oc get deployment quay-quay-app -o json | jq '.spec.template.spec.volumes[].projected.sources' | grep -i config-secret

   输出示例：

         "name": "QUAY_CONFIG_SECRET_NAME"

   $ oc get secret quay-quay-config-secret-9t77hb84tb -o json | jq '.data."config.yaml"' | cut -d '"' -f2 | base64 -d -w0 > /tmp/quay-backup/operator-quay-config-yaml-backup.yaml

   cat /tmp/quay-backup/operator-quay-config-yaml-backup.yaml | grep -i DB_URI

   输出示例：

   postgresql://QUAY_DATABASE_OWNER:PASSWORD@DATABASE_HOST/QUAY_DATABASE_NAME

5. 在数据库 pod 中执行 shell：

   # oc exec -it quay-postgresql-database-pod -- /bin/bash

6. 输入 psql:

   bash-4.4$ psql

7. 丢弃数据库：

   postgres=# DROP DATABASE "example-restore-registry-quay-database";

   输出示例：

   DROP DATABASE

8. 创建新数据库并将所有者设置为同名：

   postgres=# CREATE DATABASE "example-restore-registry-quay-database" OWNER "example-restore-registry-quay-database";

   输出示例：

   CREATE DATABASE

9. 连接到数据库：

   postgres=# \c "example-restore-registry-quay-database";

   输出示例：

   You are now connected to database "example-restore-registry-quay-database" as user "postgres".

10. 为您的 Quay 数据库创建一个 pg_trmg 扩展：

    example-restore-registry-quay-database=# create extension pg_trgm ;

    输出示例：

    CREATE EXTENSION

11. 退出 postgres CLI 以重新输入 bash-4.4:

    \q

12. 为您的 PostgreSQL 部署设置密码：

    bash-4.4$ psql -h localhost -d "QUAY_DATABASE_NAME" -U QUAY_DATABASE_OWNER -W < /var/lib/pgsql/data/userdata/quay-database-backup.sql

    输出示例：

    SET
    SET
    SET
    SET
    SET

13. 退出 bash 模式：

    bash-4.4$ exit

14. 为 Red Hat Quay Operator 创建新的配置捆绑包。

    $ touch config-bundle.yaml

15. 在新的 config-bundle.yaml 中，包括 registry 需要的所有信息，如 LDAP 配置、密钥以及旧 registry 有的其他修改。运行以下命令，将 secret_key 移到 config-bundle.yaml 中：

    $ cat /tmp/quay-backup/config.yaml | grep SECRET_KEY > /tmp/quay-backup/config-bundle.yaml

    注意

    您必须手动复制所有 LDAP、OIDC 和其他信息，并将其添加到 /tmp/quay-backup/config-bundle.yaml 文件中。

16. 在 OpenShift 集群内创建配置捆绑包 secret：

    $ oc create secret generic new-custom-config-bundle --from-file=config.yaml=/tmp/quay-backup/config-bundle.yaml

17. 扩展 Quay pod：

    $ oc scale --replicas=1 deployment quayregistry-quay-app
    deployment.apps/quayregistry-quay-app scaled

18. 扩展镜像 pod：

    $ oc scale --replicas=1  deployment quayregistry-quay-mirror
    deployment.apps/quayregistry-quay-mirror scaled

19. 对 QuayRegistry CRD 进行补丁，使其包含对新的自定义配置捆绑包的引用：

    $ oc patch quayregistry QUAY_REGISTRY_NAME --type=merge -p '{"spec":{"configBundleSecret":"new-custom-config-bundle"}}'

    注意

    如果 Quay 返回 500 内部服务器错误，您可能需要将 DISTRIBUTED_STORAGE_CONFIG 的位置 更新为 default。

20. 在 /.aws/ 目录中创建一个新的 AWS credentials.yaml，并从 Operator 创建的 config.yaml 文件包含 access_key 和 secret_key ：

    $ touch credentials.yaml

    $ grep -i DISTRIBUTED_STORAGE_CONFIG -A10 /tmp/quay-backup/operator-quay-config-yaml-backup.yaml

    $ cat > ~/.aws/credentials << EOF
    [default]
    aws_access_key_id = ACCESS_KEY_FROM_QUAY_CONFIG
    aws_secret_access_key = SECRET_KEY_FROM_QUAY_CONFIG
    EOF

    注意

    如果 aws cli 不会自动从 '~/.aws/credentials 文件 收集 access_key 和 secret_key，您可以通过运行 aws 配置并手动输入凭证来配置 它们。

21. 记录 NooBaa 的公开可用端点：

    $ oc get route s3 -n openshift-storage -o yaml -o jsonpath="{.spec.host}{'\n'}"

22. 将备份数据同步到 NooBaa 后端存储：

    $ aws s3 sync --no-verify-ssl --endpoint-url https://NOOBAA_PUBLIC_S3_ROUTE /tmp/quay-backup/bucket-backup/* s3://QUAY_DATASTORE_BUCKET_NAME

23. 将 Operator 扩展至 1 个 pod：

    $ oc scale –replicas=1 deployment quay-operator.v3.6.4 -n openshift-operators

流程

1. 创建临时备份目录，如 quay-backup ：

   $ mkdir /tmp/quay-backup

2. 以下示例命令表示 Red Hat Quay 在 中启动的本地目录，例如： /opt/quay-install:

   $ podman run --name quay-app \
      -v /opt/quay-install/config:/conf/stack:Z \
      -v /opt/quay-install/storage:/datastorage:Z \
      {productrepo}/{quayimage}:{productminv}

   运行以下命令，更改到容器内 bind-mounts 到 /conf/stack 的目录，如 /opt/quay-install ：

   $ cd /opt/quay-install

3. 输入以下命令将 Red Hat Quay 部署的内容压缩到 quay-backup 目录中的存档中：

   $ tar cvf /tmp/quay-backup/quay-backup.tar.gz *

   输出示例：

   config.yaml
   config.yaml.bak
   extra_ca_certs/
   extra_ca_certs/ca.crt
   ssl.cert
   ssl.key

4. 输入以下命令备份 Quay 容器服务：

   $ podman inspect quay-app | jq -r '.[0].Config.CreateCommand | .[]' | paste -s -d ' ' -
   
     /usr/bin/podman run --name quay-app \
     -v /opt/quay-install/config:/conf/stack:Z \
     -v /opt/quay-install/storage:/datastorage:Z \
     {productrepo}/{quayimage}:{productminv}

5. 输入以下命令将 conf/stack/config.yaml 文件的内容重定向到临时 quay-config.yaml 文件：

   $ podman exec -it quay cat /conf/stack/config.yaml > /tmp/quay-backup/quay-config.yaml

6. 输入以下命令来获取位于您的临时 quay-config.yaml 中的 DB_URI ：

   $ grep DB_URI /tmp/quay-backup/quay-config.yaml

   输出示例：

   $ postgresql://<username>:test123@172.24.10.50/quay

7. 输入以下命令将 PostgreSQL 内容提取到 backup .sql 文件中的临时备份目录：

   $ pg_dump -h 172.24.10.50  -p 5432 -d quay  -U  <username>   -W -O > /tmp/quay-backup/quay-backup.sql

8. 输入以下命令输出您的 DISTRIBUTED_STORAGE_CONFIG 的内容：

   DISTRIBUTED_STORAGE_CONFIG:
      default:
       - S3Storage
       - s3_bucket: <bucket_name>
         storage_path: /registry
         s3_access_key: <s3_access_key>
         s3_secret_key: <s3_secret_key>
         host: <host_name>

9. 使用步骤 7 中获取的 access_key 凭证导出 AWS_ACCESS_KEY_ID:

   $ export AWS_ACCESS_KEY_ID=<access_key>

10. 使用在第 7 步中获得的 secret_key 导出 AWS_SECRET_ACCESS_KEY:

    $ export AWS_SECRET_ACCESS_KEY=<secret_key>

11. 将 quay 存储桶同步到来自您的 DISTRIBUTED_STORAGE_CONFIG 的 hostname 的 /tmp/quay-backup/blob-backup/ 目录：

    $ aws s3 sync s3://<bucket_name>  /tmp/quay-backup/blob-backup/ --source-region us-east-2

    输出示例：

    download: s3://<user_name>/registry/sha256/9c/9c3181779a868e09698b567a3c42f3744584ddb1398efe2c4ba569a99b823f7a to registry/sha256/9c/9c3181779a868e09698b567a3c42f3744584ddb1398efe2c4ba569a99b823f7a
    download: s3://<user_name>/registry/sha256/e9/e9c5463f15f0fd62df3898b36ace8d15386a6813ffb470f332698ecb34af5b0d to registry/sha256/e9/e9c5463f15f0fd62df3898b36ace8d15386a6813ffb470f332698ecb34af5b0d

流程

1. 在 Red Hat Quay 容器内创建一个将绑定挂载到 /conf/stack 的新目录：

   $ mkdir /opt/new-quay-install

2. 将备份 独立部署的 Red Hat Quay 中创建的临时备份目录的内容复制到第 1 步中创建的 new-quay-install1 目录中：

   $ cp /tmp/quay-backup/quay-backup.tar.gz /opt/new-quay-install/

3. 输入以下命令改变 new-quay-install 目录：

   $ cd /opt/new-quay-install/

4. 提取 Red Hat Quay 目录的内容：

   $ tar xvf /tmp/quay-backup/quay-backup.tar.gz *

   输出示例：

   config.yaml
   config.yaml.bak
   extra_ca_certs/
   extra_ca_certs/ca.crt
   ssl.cert
   ssl.key

5. 输入以下命令从您的支持的 config.yaml 文件中重新调用 DB_URI ：

   $ grep DB_URI config.yaml

   输出示例：

   postgresql://<username>:test123@172.24.10.50/quay

6. 运行以下命令进入 PostgreSQL 数据库服务器：

   $ sudo postgres

7. 输入 psql 并在 172.24.10.50 中创建新数据库，以恢复 quay 数据库，例如： example_restore_registry_quay_database ：

   $ psql "host=172.24.10.50  port=5432 dbname=postgres user=<username>  password=test123"
   postgres=> CREATE DATABASE example_restore_registry_quay_database;

   输出示例：

   CREATE DATABASE

8. 运行以下命令来连接到数据库：

   postgres=# \c "example-restore-registry-quay-database";

   输出示例：

   You are now connected to database "example-restore-registry-quay-database" as user "postgres".

9. 运行以下命令，创建 Quay 数据库的 pg_trmg 扩展：

   example_restore_registry_quay_database=> CREATE EXTENSION IF NOT EXISTS pg_trgm;

   输出示例：

   CREATE EXTENSION

10. 输入以下命令退出 postgres CLI：

    \q

11. 运行以下命令，将数据库备份导入到新数据库中：

    $ psql "host=172.24.10.50 port=5432 dbname=example_restore_registry_quay_database user=<username> password=test123"  -W <  /tmp/quay-backup/quay-backup.sql

    输出示例：

    SET
    SET
    SET
    SET
    SET

    在重启 Red Hat Quay 部署前，将 config.yaml 中的 DB_URI 的值从postgresql://<username>:test123@172.24.10.50/quay 更新到 postgresql://<username>:test123@172.24.10.50/example-restore-registry-quay-database。

    注意

    DB_URI 格式是 DB_URI postgresql://<login_user_name>:<login_user_password>@<postgresql_host>/<quay_database>。如果您要从一个 PostgreSQL 服务器移动到另一个 PostgreSQL 服务器，请同时更新 < login_user_name>、< login_user_password> 和 <postgresql_host > 的值。

12. 在 /opt/new-quay-install 目录中打印您的 DISTRIBUTED_STORAGE_CONFIG 捆绑包的内容：

    $ cat config.yaml | grep DISTRIBUTED_STORAGE_CONFIG -A10

    输出示例：

    DISTRIBUTED_STORAGE_CONFIG:
       default:
    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_secret_key: <s3_secret_key>
          host: <host_name>

    注意

    在重启 Red Hat Quay 部署前，必须更新 /opt/new-quay-install 中的 DISTRIBUTED_STORAGE_CONFIG。

13. 使用在第 13 步中获得的 access_key 凭证导出 AWS_ACCESS_KEY_ID ：

    $ export AWS_ACCESS_KEY_ID=<access_key>

14. 使用在第 13 步中获得的 secret_key 导出 AWS_SECRET_ACCESS_KEY:

    $ export AWS_SECRET_ACCESS_KEY=<secret_key>

15. 输入以下命令创建新 s3 存储桶：

    $ aws s3 mb s3://<new_bucket_name>  --region us-east-2

    输出示例：

    $ make_bucket: quay

16. 输入以下命令将所有 blob 上传到新的 s3 存储桶：

    $ aws s3 sync --no-verify-ssl \
    --endpoint-url <example_endpoint_url> 1
    /tmp/quay-backup/blob-backup/. s3://quay/

    1

    在备份和恢复前，Red Hat Quay registry 端点必须相同。

    输出示例：

    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/50/505edb46ea5d32b5cbe275eb766d960842a52ee77ac225e4dc8abb12f409a30d to s3://quay/datastorage/registry/sha256/50/505edb46ea5d32b5cbe275eb766d960842a52ee77ac225e4dc8abb12f409a30d
    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/27/27930dc06c2ee27ac6f543ba0e93640dd21eea458eac47355e8e5989dea087d0 to s3://quay/datastorage/registry/sha256/27/27930dc06c2ee27ac6f543ba0e93640dd21eea458eac47355e8e5989dea087d0
    upload: ../../tmp/quay-backup/blob-backup/datastorage/registry/sha256/8c/8c7daf5e20eee45ffe4b36761c4bb6729fb3ee60d4f588f712989939323110ec to s3://quay/datastorage/registry/sha256/8c/8c7daf5e20eee45ffe4b36761c4bb6729fb3ee60d4f588f712989939323110ec
    ...

17. 在重启 Red Hat Quay 部署前，更新 config.yaml 中的存储设置：

    DISTRIBUTED_STORAGE_CONFIG:
       default:
    DISTRIBUTED_STORAGE_CONFIG:
       default:
        - S3Storage
        - s3_bucket: <new_bucket_name>
          storage_path: /registry
          s3_access_key: <s3_access_key>
          s3_secret_key: <s3_secret_key>
          host: <host_name>

流程

1. 输入以下命令确保垃圾回收正常工作：

   $ sudo podman logs <container_id>

   输出示例：

1. 删除镜像标签。

2. 输入以下命令确保标签已被删除：

   $ podman logs quay-app

   输出示例：