Selección de una solución de registro de imágenes

Sus imágenes de contenedor deben almacenarse en un registro de contenedores al que su clúster pueda acceder para desplegar aplicaciones en su clúster. Puede elegir utilizar el registro incorporado del clúster de Red Hat OpenShift, un registro privado con acceso restringido a usuarios seleccionados o un registro público. Revise la tabla siguiente para elegir la mejor opción para su caso de uso.

Red Hat OpenShift Container Registry (OCR) interno

El clúster se configura con el Red Hat OpenShift Container Registry interno para que Red Hat OpenShift pueda crear, desplegar y gestionar automáticamente el ciclo de vida de la aplicación desde dentro del clúster. Las imágenes se almacenan en un dispositivo de almacenamiento de archivos de IBM Cloud clásico de copia de seguridad que se suministra cuando se crea el clúster. Si necesita más almacenamiento, puede cambiar el tamaño del dispositivo. Casos de uso:

• Secuencia de imágenes nativas de Red Hat OpenShift, compilación y proceso de despliegue de apps individual para cada clúster.
• Las imágenes se pueden compartir en todos los proyectos del clúster, con acceso controlado mediante roles de RBAC.
• Integración del registro interno con otros productos de Red Hat como CloudForms para características ampliadas como por ejemplo la exploración de vulnerabilidades.
• Opción para exponer el registro interno con una ruta de forma que los usuarios puedan extraer imágenes del registro a través de la red pública.
• Opción de configurar un registro interno para extraer imágenes de, o enviar imágenes a, un registro privado como IBM Cloud Container Registry.

Para obtener más información, consulte Utilización del registro interno.

Registro privado

Los registros privados son una buena opción para proteger las imágenes frente a usuarios no autorizados. El administrador del clúster debe configurar los registros privados para asegurarse de que el acceso, las cuotas de almacenamiento, la fiabilidad de las imágenes y otras prestaciones funcionan según lo esperado. De forma predeterminada, los clústeres de Red Hat OpenShift se integran con el IBM Cloud Container Registry privado con secretos de extracción de imágenes en el proyecto default. IBM Cloud Container Registry es un registro privado altamente disponible y de varios arrendatarios para almacenar sus propias imágenes. También puede extraer imágenes proporcionadas por IBM del registro icr.io global y software con licencia del registro autorizado. En IBM Cloud Container Registry, se pueden gestionar las imágenes de varios clústeres con integración con IAM y facturación de IBM Cloud. Ventajas de utilizar IBM Cloud Container Registry con el registro interno:

• Almacenamiento en memoria caché de imágenes local para compilaciones más rápidas mediante el registro interno.
• Los despliegues en otros proyectos pueden ver la secuencia de imágenes para que no sea necesario copiar los secretos de extracción en cada proyecto.
• Compartición de imágenes en varios clústeres sin necesidad de enviar imágenes a varios registros.
• Exploración automática de vulnerabilidades de imágenes.
• Control del acceso mediante políticas de IAM de IBM Cloud y registros regionales separados.
• Retención de imágenes sin requerir espacio de almacenamiento en el clúster o un dispositivo de almacenamiento conectado. También puede establecer políticas para gestionar la cantidad de imágenes para evitar que ocupen demasiado espacio.
• Infraestructura VPC: Uso del punto final del servicio de registro privado para que los clústeres que solo utilizan un punto final de servicio de nube privada puedan seguir accediendo al registro.
• Establecimiento de cuotas de tráfico de extracción de imágenes y almacenamiento para controlar mejor el almacenamiento de imágenes, el uso y la facturación.
• Extracción de contenido de IBM con licencia del registro con titularidad.

Para empezar, consulte los temas siguientes:

• Cómo empezar con IBM Cloud Container Registry.
• Importación de imágenes de IBM Cloud Container Registry en la secuencia de imágenes del registro interno.
• Utilización de IBM Cloud Container Registry.

Registro público

Los registros públicos tales como Docker Hub son una forma de compartir imágenes entre equipos, empresas, clústeres o proveedores de nube. Algunos registros públicos también ofrecen un componente de registro privado. Casos de uso:

• Envío u obtención de imágenes en la red pública.
• Pruebas rápidas de un contenedor en proveedores de nube.
• No se necesitan características de nivel empresarial tales como rastreos de vulnerabilidades ni gestión de accesos.

Para más información, consulte la documentación del registro público, como Quay o Docker Hub.

Almacenamiento de imágenes en los registros internos

Red Hat OpenShift clusters have an internal registry by default. Se hace copia de seguridad de las imágenes en el registro interno, pero varían dependiendo del proveedor de infraestructura del clúster de Red Hat OpenShift on IBM Cloud.

Clústeres clásicos

Su clúster Red Hat OpenShift está configurado por defecto con un registro interno que utiliza File Storage for Classic como almacenamiento de respaldo. Al suprimir el clúster, el registro interno y sus imágenes también se suprimen. Si desea persistir las imágenes, considere utilizar un registro privado como por ejemplo IBM Cloud Container Registry, hacer copia de seguridad de las imágenes en almacenamiento persistente como por ejemplo Object Storage o crear un clúster de registro de contenedor de Red Hat OpenShift (OCR) autónomo independiente. Para obtener más información, consulte la documentación deRed Hat OpenShift.

Clústeres de VPC

El registro interno de su clúster Red Hat OpenShift realiza copias de seguridad de sus imágenes en un bucket que se crea automáticamente en una instancia IBM Cloud Object Storage de su cuenta. Los datos almacenados en el grupo de almacenamiento de objetos se mantiene incluso si se suprime el clúster.

Clústeres clásicos, de VPC o Satellite

Opcionalmente, puede configurar el registro interno para que almacene los datos en emptyDir del nodo trabajador donde se ejecuta el pod de registro interno. Tenga en cuenta que estos datos no son persistentes, y si se reinicia el nodo de pod o trabajador, los datos almacenados se suprimen y son irrecuperables. Podría almacenar las imágenes localmente en emptyDir para mejorar el rendimiento si crea regularmente contenedores a partir de imágenes grandes.

oc describe pvc -n openshift-image-registry image-registry-storage

Eliminación del registro de imágenes interno

Nube privada virtual

Los despliegues del operador de registro de imágenes sólo están presentes en un Red Hat OpenShift on IBM Cloud Toolkit. Los clusters gestionados HyperShift ejecutan el operador de registro de imágenes en el plano de control.

Si no desea utilizar el registro de imágenes interno, puede completar los pasos siguientes para eliminarlo.

1. Guarde una copia de las configuraciones de registro interno.

   oc get configs.imageregistry.operator.openshift.io cluster -o yaml > configs.yaml
   

2. Ejecute el siguiente mandato de parche para cambiar el estado de gestión del registro de imágenes a Removed.

   kubectl patch configs.imageregistry.operator.openshift.io cluster -p '{"spec":{"managementState":"Removed"}}' --type='merge'
   

3. Después de cambiar el estado de gestión, el servicio de registro de imágenes y el despliegue se eliminan del espacio de nombres de openshift-image-registry en el clúster. Puede ejecutar los mandatos siguientes para verificar que se han eliminado. Tenga en cuenta que sólo se eliminan el despliegue y el servicio del registro de imágenes. El despliegue y el servicio del operador del registro de imágenes permanecen.

   oc get deployment -n openshift-image-registry
   

   oc get svc -n openshift-image-registry
   

Configuración de una ruta externa segura para el registro interno

De forma predeterminada, el clúster de Red Hat OpenShift tiene un registro interno que está disponible mediante un servicio con una dirección IP interna. Si desea que el registro interno esté disponible en la red pública, puede configurar una ruta de recifrado segura. Por ejemplo, podría configurar el registro interno del clúster para actuar como registro público para despliegues en otros proyectos o clústeres.

Antes de empezar:

• Confirme que tenga el rol de acceso del servicio de IAM de Gestor IBM Cloud para el clúster.
• Asegúrese de que su clúster tenga conectividad a la red pública para exponer el registro interno con una ruta pública.
• Instale Docker en la máquina local.
• Acceda al clúster de Red Hat OpenShift.

Para utilizar el registro interno, configure una ruta pública para acceder al registro. A continuación, cree un secreto de extracción de imágenes que incluya las credenciales para acceder al registro de forma que los despliegues en otros proyectos puedan extraer imágenes de este registro.

1. En el proyecto openshift-image-registry, asegúrese de que existe el servicio image-registry para el registro interno.

   oc get svc -n openshift-image-registry
   

   Salida de ejemplo

   NAME                      TYPE           CLUSTER-IP       EXTERNAL-IP     PORT(S)                      AGE
   image-registry            ClusterIP      172.21.xxx.xxx    <none>          5000/TCP                     36d
   image-registry-operator   ClusterIP      None             <none>          60000/TCP                     36d
   

2. Cree una ruta protegida para el servicio image-registry que utiliza el reencrypt de terminación TLS. Con el recifrado, el direccionador termina la conexión TLS con un certificado y, a continuación, vuelve a cifrar la conexión al registro interno con un certificado distinto. Con este enfoque se cifra la vía de acceso completa de la conexión entre el usuario y el registro interno. Para proporcionar su propio nombre de dominio personalizado, incluya la opción --hostname.

   oc create route reencrypt --service=image-registry -n openshift-image-registry
   

3. Recupere el nombre de host (HOST/PORT) y el valor de PORT asociados a la ruta image-registry.

   oc get route image-registry -n openshift-image-registry
   

   Salida de ejemplo

   NAME              HOST/PORT                                                                                                  PATH      SERVICES          PORT       TERMINATION   WILDCARD
   image-registry   image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud             image-registry   5000-tcp   reencrypt     None
   

4. Edite la ruta para establecer la estrategia de equilibrio de carga en source para que la misma dirección IP de cliente llegue al mismo servidor, como en una configuración de ruta passthrough. Puede establecer la estrategia añadiendo una anotación en la sección metadata.annotations: haproxy.router.openshift.io/balance: source. Puede editar el archivo de configuración desde la consola de la aplicación de Red Hat OpenShift o en la línea de mandatos con el mandato siguiente.

   oc edit route image-registry -n openshift-image-registry
   

   Añada la anotación.

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
   annotations:
       haproxy.router.openshift.io/balance: source
   ...
   

5. Si las políticas de red corporativas impiden el acceso desde el sistema local a puntos finales públicos mediante proxies o cortafuegos, permite el acceso al subdominio de ruta que crea para el registro interno en los pasos siguientes.

6. Inicie una sesión en el registro interno utilizando la ruta como nombre de host.

   docker login -u $(oc whoami) -p $(oc whoami -t) image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud
   

7. Ahora que ha iniciado la sesión, intente enviar una app hello-world de ejemplo al registro interno.

   1. Extraiga la imagen hello-world de DockerHub o bien cree una imagen en la máquina local.

      docker pull hello-world
      

   2. Etiquete la imagen local con el nombre de host del registro interno, el proyecto en el que desea desplegar la imagen y el nombre y la etiqueta de la imagen.

      docker tag hello-world:latest image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud/<project>/<image_name>:<tag>
      

   3. Envíe la imagen al registro interno del clúster.

      docker push image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud/<project>/<image_name>:<tag>
      

   4. Verifique que la imagen se haya añadido a la secuencia de imágenes de Red Hat OpenShift.

      oc get imagestream
      

      Salida de ejemplo

      NAME          DOCKER REPO                                                            TAGS      UPDATED
      hello-world   image-registry-openshift-image-registry.svc:5000/default/hello-world   latest    7 hours ago
      

8. Para habilitar despliegues en el proyecto para extraer imágenes del registro interno, cree un secreto de extracción de imágenes en el proyecto que contiene las credenciales para acceder al registro interno. Añada el secreto de extracción de imágenes a la cuenta de servicio predeterminada de cada proyecto.

   1. Obtenga una lista de los secretos de extracción de imágenes que utiliza la cuenta de servicio predeterminada y anote el secreto que comienza por default-dockercfg.

      oc describe sa default
      

      Salida de ejemplo

      ...
      Image pull secrets:
      all-icr-io
      default-dockercfg-mpcn4
      ...
      

   2. Obtenga la información secreta codificada del campo data del archivo de configuración.

      oc get secret <default-dockercfg-name> -o yaml
      

      Salida de ejemplo

      apiVersion: v1
      data:
        .dockercfg: ey...=
      

   3. Descodifique el valor del campo data.

      echo "<ey...=>" | base64 -D
      

      Salida de ejemplo

      {"172.21.xxx.xxx:5000":{"username":"serviceaccount","password":"eyJ...
      

   4. Cree un nuevo secreto de extracción de imágenes para el registro interno.

      • secret_name: asigne un nombre al secreto de extracción de imágenes, como por ejemplo internal-registry.
      • --namespace: especifique el proyecto en el que se va a crear el secreto de extracción de imágenes, como por ejemplo default.
      • --docker-server: en lugar de la dirección IP de servicio interno (172.21.xxx.xxx:5000), especifique el nombre de host de la ruta image-registry con el puerto (image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud:5000).
      • --docker-username: copie el valor de "username" del secreto de extracción de imágenes anterior, como por ejemplo serviceaccount.
      • --docker-password: copie el valor de "password" del secreto de extracción de imágenes anterior.
      • --docker-email: si la tiene, escriba la dirección de correo electrónico de Docker. Si no, especifique una dirección de correo ficticia como, por ejemplo, a@b.c. Este correo electrónico es necesario para crear un secreto de Kubernetes, pero no se utiliza después de la creación.

      oc create secret docker-registry internal-registry --namespace default --docker-server image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud:5000 --docker-username serviceaccount --docker-password <eyJ...> --docker-email a@b.c
      

   5. Añada el secreto de extracción de imágenes a la cuenta de servicio predeterminada del proyecto.

      oc patch -n <namespace_name> serviceaccount/default --type='json' -p='[{"op":"add","path":"/imagePullSecrets/-","value":{"name":"<image_pull_secret_name>"}}]'
      

   6. Repita estos pasos para cada proyecto del que desee extraer imágenes del registro interno.

Ahora puede configurar el registro interno con una ruta accesible, puede iniciar sesión, enviar y extraer imágenes en el registro. Para obtener más información, consulte la documentación deRed Hat OpenShift.

Importación de imágenes de IBM Cloud Container Registry en la secuencia de imágenes del registro interno.

De forma predeterminada, el clúster de Red Hat OpenShift on IBM Cloud está configurado para extraer imágenes de los dominios de IBM Cloud Container Registry icr.io privados remotos en el proyecto default. Puede importar una imagen desde IBM Cloud Container Registry al registro interno de su cluster Red Hat OpenShift etiquetando la imagen como un flujo de imágenes. Con esta configuración, puede desplegar apps desde la imagen utilizando la memoria caché local del registro interno, que puede crear más rápidamente los despliegues de apps. Asimismo, los despliegues en otros proyectos pueden hacer referencia a la secuencia de imágenes para que no sea necesario crear credenciales de extracción de imágenes a IBM Cloud Container Registry en cada proyecto.

Si actualiza la imagen en IBM Cloud Container Registry, la imagen no se extrae automáticamente en el registro interno del clúster de Red Hat OpenShift. En su lugar, configure la importación periódica o repita estos pasos para etiquetar la imagen. En función de la política de extracción de imágenes que utilice en el despliegue, es posible que necesite reiniciar el despliegue.

¿Desea saber más sobre cómo las compilaciones, las secuencias de imágenes y el registro interno funcionan juntos? Lea la documentación deRed Hat OpenShifto consulte este blog sobre la gestión de imágenes de contenedor.

1. Acceda al clúster de Red Hat OpenShift.

2. Cambie al proyecto default para extraer la imagen en la secuencia de imágenes. El proyecto default ya está configurado con credenciales para acceder a los registros icr.io.

   oc project default
   

3. Liste las imágenes disponibles en su IBM Cloud Container Registry. Anote el Repositorio y la Etiqueta de la imagen que desea extraer en el registro interno de su clúster de Red Hat OpenShift.

   ibmcloud cr images
   

4. Etiquete la imagen para extraerla del espacio de nombres de IBM Cloud Container Registry y colocarla en el registro interno como una secuencia de imágenes. Para más información, consulte la documentación de Red Hat OpenShift o ejecute oc tag --help.

   oc tag <region>.icr.io/<namespace>/<image>:<tag> default/<image>:<tag> --reference-policy=local [--scheduled]
   

   • <region>.icr.io/<namespace>/<image>:<tag>: Utilice la información de Repositorio y Etiqueta que recuperó anteriormente para completar la región IBM Cloud Container Registry, el espacio de nombres, la imagen y el nombre de etiqueta de la imagen que desea extraer.
   • default/<image>:<tag>: especifique la información para la secuencia de imágenes interna que crea a partir de la imagen etiquetada de IBM Cloud Container Registry. Esta secuencia de imágenes se crea en el proyecto default, que también es el proyecto donde se crea la secuencia de imágenes cuando no se especifica ningún proyecto. Los valores de <image>:<tag> normalmente coinciden con los valores que ha recuperado anteriormente.
   • --reference-policy=local: establezca este valor a local para que se importe una copia de la imagen de IBM Cloud Container Registry en la caché local del registro interno y se ponga a disposición de los proyectos del clúster como una secuencia de imágenes. Si no se incluye este valor, la secuencia de imágenes volverá a hacer referencia a IBM Cloud Container Registry cuando se use en los despliegues y, por tanto, requerirá credenciales en el proyecto.
   • --scheduled: Establezca esta opción opcional para configurar la importación periódica de la imagen desde IBM Cloud Container Registry al registro interno. La frecuencia predeterminada es de 15 minutos. Para obtener más información, consulte la documentación deRed Hat OpenShift.

5. Verifique que se ha creado la secuencia de imágenes.

   oc get imagestreams
   

6. Verifique que la secuencia de imágenes haya extraído correctamente la imagen de IBM Cloud Container Registry. En la salida, compruebe que la imagen latest tagged from coincida con su imagen de * <region>.icr.io/<namespace>/<image>@<digest>.

   oc describe is/<imagestream>
   

   Salida de ejemplo

   NAME:            <imagestream>
   Namespace:        default
   Created:        2 days ago
   Labels:            <none>
   Annotations:        openshift.io/image.dockerRepositoryCheck=2020-03-31T09:41:36Z
   Image Repository:    image-registry.openshift-image-registry.svc:5000/default/ant1
   Image Lookup:        local=false
   Unique Images:        1
   Tags:                1
   
   latest
       tagged from <region>.icr.io/<namespace>/<image>:<tag>
   
       * <region>.icr.io/<namespace>/<image>@<digest>
           2 days ago
   

Ahora los desarrolladores pueden utilizar la secuencia de imágenes en un despliegue de app. La imagen se compila correctamente a partir de la imagen extraída localmente en el registro interno. No es necesario definir un secreto de extracción de imágenes en el proyecto a IBM Cloud Container Registry, porque la secuencia de imágenes es local al clúster.

Configuración de compilaciones en el registro interno para enviar imágenes a IBM Cloud Container Registry

Cuando cree una compilación en su clúster Red Hat OpenShift on IBM Cloud, puede configurar el registro interno para enviar la imagen a su repositorio externo en IBM Cloud Container Registry. De forma predeterminada, el secreto de extracción de imágenes en el proyecto default del clúster solo tiene acceso de lectura para extraer imágenes de IBM Cloud Container Registry. Para enviar imágenes, debe añadir un secreto con acceso de escritura.

1. Acceda al clúster de Red Hat OpenShift.

2. Vaya al proyecto default.

   oc project default
   

3. Siga los pasos para configurar una clave de API de IBM Cloud IAM con los roles de acceso al servicio de Reader y de Writer para extraer y enviar imágenes a los registros icr.io.

   Tenga en cuenta que cualquier usuario con acceso al proyecto puede utilizar este secreto para enviar imágenes a su registro privado. Es posible que desee configurar herramientas de registro y supervisión para poder observar quién hace qué acciones en el clúster.

4. Repita el paso anterior para cada región icr.io a la que desee enviar imágenes.

5. Añada el secreto a la cuenta de servicio de compilación y haga referencia a los secretos en el archivo de configuración de compilación. Para obtener más información, consulte la documentación deRed Hat OpenShift.

   1. Añada el secreto a la cuenta de servicio de compilación enlazando el secreto que acaba de crear con el rol de builder que utilizan todas las compilaciones del clúster.

      oc secrets link builder <secret_name>
      

   2. Obtenga una lista de las configuraciones de compilación y anote las que desea otorgar acceso de envío y de extracción sobre IBM Cloud Container Registry.

      oc get bc
      

   3. Establezca el secreto de envío de imágenes para la configuración de compilación de modo que utilice el secreto que acaba de crear con el acceso de servicio de Writer sobre IBM Cloud Container Registry.

      oc set build-secret --push bc/<build_config_name> <secret_name>
      

   4. Establezca el secreto de extracción de imágenes para la configuración de compilación para extraer del registro del que desea extraer la imagen de compilación inicial. Por ejemplo, puede utilizar el secreto que acaba de crear con el acceso de servicio de Reader sobre IBM Cloud Container Registry si la imagen de origen se encuentra en un repositorio de IBM Cloud Container Registry.

      oc set build-secret --pull bc/<build_config_name> <secret_name>
      

6. Después de actualizar la cuenta de servicio de compilación y el archivo de configuración de compilación de modo que envíen a IBM Cloud Container Registry, reinicie la compilación.

   oc start-build <build_name>
   

7. Obtenga el nombre del pod de compilación, por ejemplo, <build>-2-build.

   oc get pods
   

8. Compruebe los registros de la compilación y anote dónde se ha enviado la imagen.

   oc logs <build_pod>
   

   Ejemplo de registro de un envío de imagen satisfactorio.

   ...
   Successfully pushed <region>.icr.io/<namespace>/<build_name>@sha256:<hash>
   Push successful
   

9. Compruebe las imágenes en el registro privado para confirmar que se ha creado la imagen.

   ibmcloud cr image list
   

   Salida de ejemplo

   Repository                                Tag       Digest     Namespace     Created         Size     Security status   
   <region>.icr.io/<namespace>/<build_name>  latest    <digest>   <namespace>   2 minutes ago   182 MB   33 Issues  
   

La compilación de Red Hat OpenShift ahora extrae imágenes de, y envía imágenes a, IBM Cloud Container Registry.

Utilización de IBM Cloud Container Registry

De forma predeterminada, el clúster de Red Hat OpenShift on IBM Cloud está configurado para extraer imágenes de los dominios de IBM Cloud Container Registry icr.io privados remotos en el proyecto default. Si desea utilizar imágenes almacenadas en IBM Cloud Container Registry para otros proyectos, puede extraer la imagen en el registro interno en una secuencia de imágenes, o bien crear secretos de extracción de imágenes para cada registro global y regional en cada proyecto.

Para importar imágenes en el registro interno: consulte Importación de imágenes de IBM Cloud Container Registry en la secuencia de imágenes del registro interno.

Para extraer imágenes directamente desde el IBM Cloud Container Registry externo: consulte los temas siguientes.

• Visión general sobre cómo autorizar al clúster para extraer imágenes de un registro.
• Copia del secreto all-icr-io desde el proyecto default en el proyecto del que desea extraer imágenes.
• Creación de su propio secreto de extracción de imágenes.
• Adición del secreto de extracción de imágenes a su configuración de despliegue o a la cuenta de servicio del proyecto.

Cómo autorizar al clúster para que pueda extraer imágenes de un registro privado

Para extraer imágenes de un registro, su clúster de Red Hat OpenShift on IBM Cloud utiliza un tipo especial de Kubernetes, un imagePullSecret. Este secreto de extracción de imágenes almacena las credenciales para acceder a un registro de contenedores.

El registro de contenedores puede ser:

• Un espacio de nombres privado en su propio IBM Cloud Container Registry.
• Un espacio de nombres privado en IBM Cloud Container Registry que pertenezca a otra cuenta de IBM Cloud.
• Cualquier otro registro privado, como por ejemplo Docker.

Sin embargo, de forma predeterminada, el clúster se configura para extraer imágenes solo de los espacios de nombres de su cuenta en IBM Cloud Container Registry y para desplegar contenedores de estas imágenes en el proyecto default de Red Hat OpenShift. Si tiene que extraer imágenes en otros proyectos del clúster o de otros registros de contenedor, debe configurar sus propios secretos de extracción de imágenes.

Actualización de clústeres existentes para que utilicen el secreto de obtención de imágenes de clave de API

Los nuevos clústeres de Red Hat OpenShift on IBM Cloud almacenan una clave de API en un secreto de extracción de imágenes para autorizar el acceso a IBM Cloud Container Registry. Con estos secretos de extracción de imágenes, puede desplegar contenedores desde imágenes almacenadas en los dominios de registro icr.io. Puede añadir los secretos de extracción de la imagen al clúster si el clúster no se ha creado con los secretos.

Antes de empezar

1. Acceda al clúster de Red Hat OpenShift.

2. Asegúrese de tener los siguientes permisos: rol de acceso a plataforma IBM Cloud IAM Operador o Administrador de Red Hat OpenShift on IBM Cloud. El propietario de la cuenta podrá asignarle el rol ejecutando el siguiente comando.

   ibmcloud iam user-policy-create EMAIL --service-name containers-kubernetes --roles "Administrator,Operator"
   

3. Rol de acceso a la plataforma Administrador de IBM Cloud IAM para IBM Cloud Container Registry, en todas las regiones y grupos de recursos. La política no se puede circunscribir a una región o grupo de recursos en particular. El propietario de la cuenta podrá asignarle el rol ejecutando el siguiente comando.

   Compruebe que el secreto se ha creado correctamente

   ibmcloud iam user-policy-create <your_user_email> --service-name container-registry --roles Administrator
   

4. Si su cuenta restringe la creación del ID de servicio, añada el rol de Creador de ID de servicio a Identity and Access Management en la consola (iam-identity en la API o CLI).

5. Si su cuenta restringe la creación de claves de API, añada el rol de Creador de claves de API de usuario a Identity and Access Management en la consola (iam-identity en la API o CLI).

Uso de un secreto de extracción de imágenes para acceder a imágenes en registros privados externos

Configure su propio secreto de extracción de imágenes en su clúster para desplegar contenedores en proyectos de Red Hat OpenShift que no sean default, para utilizar imágenes almacenadas en otras cuentas de IBM Cloud o para utilizar imágenes almacenadas en registros privados externos. Además, puede crear su propio secreto de extracción de imágenes para aplicar políticas de acceso de IAM que restrinjan los permisos a determinados espacios de nombres de imágenes de registro o acciones (como por ejemplo push o pull).

Después de crear el secreto de extracción de imágenes, los contenedores deben utilizar el secreto para que reciban autorización para extraer una imagen del registro. Puede añadir el secreto de extracción de imágenes a la cuenta de servicio para el proyecto, o bien puede hacer referencia al secreto en cada despliegue. Para obtener instrucciones, consulte Utilización del secreto de extracción de imágenes para desplegar contenedores.

Los secretos de extracción de imágenes solo son válidos para los proyectos de Red Hat OpenShift para los que fueron creados. Repita estos pasos para cada espacio de nombres en el que desee desplegar contenedores.

Antes de empezar:

1. Configure un espacio de nombres en IBM Cloud Container Registry y envíe imágenes a este espacio de nombres.
2. Cree un clúster.
3. Acceda al clúster de Red Hat OpenShift.

Para utilizar su propio secreto de extracción de imágenes, elija una de las opciones siguientes:

• Copie el secreto de extracción de imágenes del proyecto predeterminado de Red Hat OpenShift a otros proyectos de su clúster.
• Cree nuevas credenciales de API de IAM y almacénelas en un secreto de obtención de imágenes para acceder a las imágenes de otras cuentas de IBM Cloud o para aplicar políticas IAM que restrinjan el acceso a determinados dominios de registro o espacios de nombres.
• Crear un secreto de extracción de imágenes para acceder a imágenes en registros privados externos.

Si ya ha creado un secreto de extracción de imágenes en el proyecto que desea utilizar en el despliegue, consulte Despliegue de contenedores mediante el imagePullSecret creado.

Utilización del secreto de extracción de imágenes para desplegar contenedores

Puede definir un secreto de extracción de imágenes en el despliegue del pod o almacenar el secreto de extracción de imágenes en su cuenta de servicio de Kubernetes, para que esté disponible para todos los despliegues que no especifiquen una cuenta de servicio de Kubernetes en el proyecto.

Para planificar cómo se usan los secretos de extracción en el clúster, elija una de las opciones siguientes.

• En referencia al secreto de extracción de imágenes en el despliegue del pod: utilice esta opción si no desea otorgar acceso a su registro para todos los pods del proyecto de forma predeterminada. Los desarrolladores pueden incluir el secreto de extracción de imágenes en cada despliegue de pod que deba acceder al registro.
• Almacenar el secreto de extracción de imágenes en la cuenta de servicio de Kubernetes: utilice esta opción para otorgar acceso a las imágenes en su registro para todos los despliegues en los proyectos de Red Hat OpenShift seleccionados. Para almacenar un secreto de extracción de imágenes en la cuenta de servicio de Kubernetes, siga los pasos siguientes.

Configuración de un clúster para extraer software autorizado

Puede configurar su clúster de Red Hat OpenShift on IBM Cloud de modo que extraiga software autorizado, que es una colección de imágenes de contenedor protegidas empaquetadas en diagramas de Helm y cuya licencia de uso proporciona IBM. El software autorizado se almacena en un dominio cp.icr.io de IBM Cloud Container Registry especial. Para acceder a este dominio, debe crear un secreto de extracción de imágenes con una clave de titularidad para el clúster y añadir este secreto de extracción de imágenes a la cuenta de servicio de Kubernetes de cada proyecto en el que desee desplegar este software autorizado.

Antes de empezar: acceda al clúster de Red Hat OpenShift.

1. Obtenga la clave de autorización para la biblioteca de software autorizado.

   1. Inicie sesión en MyIBM.com y desplácese hasta la sección Biblioteca de software de contenedores. Pulse Ver biblioteca.
   2. En la página Acceder al software de contenedor > Claves de titularidad, pulse Copiar clave. Esta clave autoriza el acceso a todo el software autorizado de la biblioteca de software del contenedor.

2. En el proyecto en el que desea desplegar los contenedores autorizados, cree un secreto de extracción de imágenes para poder acceder al registro de titularidad cp.icr.io. Utilice la clave de titularidad que ha recuperado anteriormente como el valor de --docker-password. Para obtener más información, consulte Acceso a imágenes almacenadas en otros registros privados.

   oc create secret docker-registry entitled-cp-icr-io --docker-server=cp.icr.io --docker-username=cp --docker-password=<entitlement_key> --docker-email=<docker_email> -n <project>
   

3. Añada el secreto de extracción de imágenes a la cuenta de servicio del proyecto para que cualquier contenedor del espacio de nombres pueda utilizar la clave de titularidad para extraer imágenes autorizadas. Para obtener más información, consulte Utilización del secreto de extracción de imágenes para desplegar contenedores.

   oc patch -n <project> serviceaccount/default --type='json' -p='[{"op":"add","path":"/imagePullSecrets/-","value":{"name":"entitled-cp-icr-io"}}]'
   

4. Cree un pod en el proyecto que cree un contenedor a partir de una imagen del registro autorizado.

   oc run <pod_name> --image=cp.icr.io/<image_name> -n <project> --generator=run-pod/v1
   

5. Compruebe que el contenedor ha podido crear correctamente desde la imagen autorizada verificando que el pod se encuentra en el estado Running.

   oc get pod <pod_name> -n <project>
   

¿Se pregunta qué hacer a continuación? Puede configurar el repositorio de diagramas de Helm entitled, donde se guardan los diagramas de Helm que incorporan software autorizado. Si ya tiene Helm instalado en el clúster, ejecute helm repo add entitled https://raw.githubusercontent.com/IBM/charts/master/repo/entitled.

Adición de un registro privado al secreto de extracción global

Nodos trabajadores RHEL

En los clústeres que sólo utilizan nodos trabajadores RHEL, puede configurar un secreto de extracción de imágenes global que cada nodo trabajador del clúster puede utilizar para extraer imágenes de un registro privado.

De forma predeterminada, el clúster de Red Hat OpenShift on IBM Cloud tiene un secreto de extracción de imágenes global para los siguientes registros, de modo que se puedan desplegar los componentes predeterminados de Red Hat OpenShift.

• cloud.openshift.com
• quay.io
• registry.connect.redhat.com
• registry.redhat.io

No sustituya el secreto de extracción global por un secreto de extracción que no tenga credenciales en los registros de Red Hat predeterminados. Si lo hace, los componentes de Red Hat OpenShift predeterminados que están instalados en el clúster como, por ejemplo, OperatorHub, pueden fallar porque no pueden extraer imágenes de estos registros.

Antes de empezar:

• Descargue el paquete de línea de comandos del procesador JSON jq. Puede utilizar jq para combinar el valor de JSON del secreto de extracción global predeterminado con el secreto de extracción de registro privado que desea añadir.
• Acceda al clúster de Red Hat OpenShift.

Para añadir registros privados, edite el pull-secret global en el proyecto openshift-config.

1. Cree un valor de secreto que tenga las credenciales para acceder al registro privado y almacene el valor de secreto decodificado en un archivo JSON. Cuando se crea el valor de secreto, las credenciales se codifican automáticamente en base64. Mediante la opción --dry-run, solo se crea el valor de secreto y no se crea ningún objeto secreto en el clúster. A continuación, el valor de secreto decodificado se almacena en un archivo JSON para utilizarlo más adelante en el secreto de extracción global.

   oc create secret docker-registry <secret_name> --docker-server=<registry_URL> --docker-username=<docker_username> --docker-password=<docker_password> --docker-email=<docker_email> --dry-run=true --output="jsonpath={.data.\.dockerconfigjson}" | base64 --decode > myregistryconfigjson
   

   --namespace <project>

   Obligatorio. El proyecto de Red Hat OpenShift del clúster en el que desea utilizar el secreto y desplegar los contenedores. Para obtener una lista de los proyectos disponibles del clúster, ejecute el mandato oc get ns.

   <secret_name>

   Obligatorio. El nombre que desea utilizar para su secreto de extracción de imágenes.

   --docker-server <registry_URL>

   Obligatorio. El URL al registro en el que se están almacenadas sus imágenes privadas.

   --docker-username <docker_username>

   Obligatorio. El nombre de usuario para iniciar sesión en el registro privado.

   --docker-password <token_value>

   Obligatorio. La contraseña para iniciar una sesión en su registro privado, como por ejemplo un valor de clave.

   --docker-email <docker-email>

   Obligatorio. Si tiene una, especifique la dirección de correo electrónico de Docker. Si no tiene ninguna, escriba una dirección de correo electrónico ficticia, como por ejemplo a@b.c. Este correo electrónico es necesario para crear un secreto de Kubernetes, pero no se utiliza después de la creación.

   --dry-run=true

   Incluya esta opción para crear sólo el valor secreto, y no crear y almacenar el objeto secreto en su cluster.

   --output="jsonpath={.data.\.dockerconfigjson}"

   Obtenga solo el valor de .dockerconfigjson de la sección de datos del secreto de Kubernetes.

   | base64 --decode > myregistryconfigjson

   Descargue los datos secretos decodificados en un archivo myregistryconfigjson local.

2. Recupere el valor de secreto decodificado del secreto de extracción global predeterminado y almacene el valor en un archivo dockerconfigjson.

   oc get secret pull-secret -n openshift-config --output="jsonpath={.data.\.dockerconfigjson}" | base64 --decode > dockerconfigjson
   

3. Combine el archivo myregistryconfigjson del secreto de extracción de registro privado descargado con el archivo dockerconfigjson del secreto de extracción global predeterminado.

   jq -s '.[0] * .[1]' dockerconfigjson myregistryconfigjson > dockerconfigjson-merged
   

4. Actualice el secreto de extracción global con el archivo combinado dockerconfigjson-merged.

   oc set data secret/pull-secret -n openshift-config --from-file=.dockerconfigjson=dockerconfigjson-merged
   

5. Verifique que el secreto de extracción global se ha actualizado. Compruebe que el registro privado y cada uno de los registros de Red Hat predeterminados estén en la salida del mandato siguiente.

   oc get secret pull-secret -n openshift-config --output="jsonpath={.data.\.dockerconfigjson}" | base64 --decode
   

   Salida de ejemplo

   {
       "auths": {
           "cloud.openshift.com": {
               "auth": "<encoded_string>",
               "email": "email@example.com"
           },
           "quay.io": {
               "auth": "<encoded_string>",
               "email": "email@example.com"
           },
           "registry.connect.redhat.com": {
               "auth": "<encoded_string>",
               "email": "email@example.com"
           },
           "registry.redhat.io": {
               "auth": "<encoded_string>",
               "email": "email@example.com"
           },
           "<private_registry>": {
               "username": "iamapikey",
               "password": "<encoded_string>",
               "email": "email@example.com",
               "auth": "<encoded_string>"
           }
       }
   }
   

6. Para seleccionar los cambios de configuración globales, vuelva a cargar todos los nodos de trabajador del clúster.

   1. Anote el ID de los nodos trabajadores del clúster.

      ibmcloud oc worker ls -c <cluster_name_or_ID>
      

   2. Para clústeres clásicos Vuelva a cargar cada nodo trabajador. Puedes recargar varios nodos trabajadores incluyendo varias opciones -w, pero asegúrate de dejar suficientes nodos trabajadores funcionando al mismo tiempo para que tus aplicaciones eviten una interrupción.

      ibmcloud oc worker reload -c <cluster_name_or_ID> -w <workerID_1> -w <workerID_2>
      

   3. Para clústeres de VPC Sustituya cada nodo trabajador. Antes de empezar, asegúrese de que el clúster tenga suficientes otros nodos trabajadores para que sus pods puedan reprogramarse y continuar ejecutándose.

      ibmcloud oc worker replace --cluster <cluster_name_or_ID> --worker <worker_node_ID>
      

7. Cuando los nodos trabajadores vuelvan a estar en buen estado, verifique que el secreto de extracción global se actualiza en un nodo trabajador.

   1. Inicie un pod de depuración para iniciar la sesión en un nodo trabajador. Utilice la IP privada que ha recuperado anteriormente para <node_name>.

      oc debug node/<node_name>
      

   2. Cambie el directorio raíz por el host para poder ver los archivos en el nodo trabajador.

      chroot /host
      

   3. Verifique que el archivo de configuración de Docker tiene unas credenciales de registro que coinciden con el secreto de extracción global que ha definido.

      vi /.docker/config.json
      

Actualización del pull secret global

Nodos trabajadores RHCOS Nodos trabajadores RHEL

En los clústeres que utilizan trabajadores RHCOS o una combinación de trabajadores RHCOS y RHEL, puede realizar los siguientes pasos para actualizar el pull secret global en su clúster Red Hat OpenShift on IBM Cloud.

De forma predeterminada, el clúster de Red Hat OpenShift on IBM Cloud tiene un secreto de extracción de imágenes global para los siguientes registros, de modo que se puedan desplegar los componentes predeterminados de Red Hat OpenShift.

• cloud.openshift.com
• quay.io
• registry.connect.redhat.com
• registry.redhat.io

No sustituya el secreto de extracción global por un secreto de extracción que no tenga credenciales en los registros de Red Hat predeterminados. Si lo hace, los componentes de Red Hat OpenShift predeterminados que están instalados en el clúster como, por ejemplo, OperatorHub, pueden fallar porque no pueden extraer imágenes de estos registros.

1. Cree un secreto que contenga las credenciales del registro que desea utilizar.

   oc create secret docker-registry docker-auth-secret \
   --docker-server=REGISTRY \
   --docker-username=USERNAME \
   --docker-password=PASSWORD \
   --namespace kube-system
   

   Mandato create secret de ejemplo.

   oc create secret docker-registry docker-auth-secret \
   --docker-server=REGISTRY \
   --docker-username=cp \
   --docker-password=ENTITLEMENT-KEY \
   --namespace kube-system
   

2. Crea un DaemonSet para aplicar el secreto en todos los nodos trabajadores.

   cat << EOF | oc create -f -
   apiVersion: apps/v1
   kind: DaemonSet
   metadata:
     name: update-docker-config
     namespace: kube-system
     labels:
       app: update-docker-config
   spec:
     selector:
       matchLabels:
         name: update-docker-config
     template:
       metadata:
         labels:
           name: update-docker-config
       spec:
         initContainers:
           - command: ["/bin/sh", "-c"]
             args:
               - >
                 echo "Checking if RHEL or RHCOS host";
                 [[ -s /docker-config/.docker/config.json  ]] && CONFIG_PATH=/docker-config/.docker || CONFIG_PATH=/docker-config/root/.docker;
                 echo "Backing up or restoring config.json";
                 [[ -s \$CONFIG_PATH/config.json ]] && cp \$CONFIG_PATH/config.json \$CONFIG_PATH/config.json.bak || cp \$CONFIG_PATH/config.json.bak \$CONFIG_PATH/config.json;
                 echo "Merging secret with config.json";
                 /host/usr/bin/jq -s '.[0] * .[1]' \$CONFIG_PATH/config.json /auth/.dockerconfigjson > \$CONFIG_PATH/config.tmp;
                 mv \$CONFIG_PATH/config.tmp \$CONFIG_PATH/config.json;
                 echo "Sending signal to reload crio config";
                 pidof crio;
                 kill -1 \$(pidof crio)
             image: icr.io/ibm/alpine:latest
             imagePullPolicy: IfNotPresent
             name: updater
             resources: {}
             securityContext:
               privileged: true
             volumeMounts:
               - name: docker-auth-secret
                 mountPath: /auth
               - name: docker
                 mountPath: /docker-config
               - name: bin
                 mountPath: /host/usr/bin
               - name: lib64
                 mountPath: /lib64
         containers:
           - resources:
               requests:
                 cpu: 0.01
             image: icr.io/ibm/alpine:latest
             name: sleepforever
             command: ["/bin/sh", "-c"]
             args:
               - >
                 while true; do
                   sleep 100000;
                 done
         hostPID: true
         volumes:
           - name: docker-auth-secret
             secret:
               secretName: docker-auth-secret
           - name: docker
             hostPath:
               path: /
           - name: bin
             hostPath:
               path: /usr/bin
           - name: lib64
             hostPath:
               path: /lib64
               hostPathType: Directory
   EOF
   

3. Compruebe que los pods se están ejecutando.

   oc get daemonset -n kube-system update-docker-config
   

Actualización de una configuración de registro personalizado de containerd de IBM Cloud Kubernetes Service

Con Kubernetes versión 1.22 o posterior, puede utilizar archivos de configuración de containerd en nodos de trabajador para configurar la extracción de un registro de contenedor. Puede utilizar un daemonset para actualizar las configuraciones en todos los nodos de un clúster, y así evitar que las configuraciones se borren cuando se vuelvan a cargar los nodos de trabajador o cuando se añadan nuevos trabajadores.

server = "https://docker.io"
[host."https://registry-1.docker.io"]
capabilities = ["pull", "resolve"]

apiVersion: apps/v1
kind: DaemonSet
metadata:
labels:
    name: containerd-dockerhub-registry-config
name: containerd-dockerhub-registry-config
namespace: kube-system
spec:
selector:
    matchLabels:
    name: containerd-dockerhub-registry-config
template:
    metadata:
    labels:
        name: containerd-dockerhub-registry-config
    spec:
    initContainers:
    - image: alpine:3.13.6
        name: containerd-dockerhub-registry-config
        command:
        - /bin/sh
        - -c
        - |
            #!/bin/sh
            set -uo pipefail
            cat << EOF > /etc/containerd/certs.d/docker.io/hosts.toml
            server = "https://docker.io"
            [host."https://registry-1.docker.io"]
            capabilities = ["pull", "resolve"]
            EOF
        volumeMounts:
        - mountPath: /etc/containerd/certs.d/docker.io/
        name: dockerhub-registry-config
    containers:
    - name: pause
        image: "us.icr.io/armada-master/pause:3.5"
        imagePullPolicy: IfNotPresent
    volumes:
    - name: dockerhub-registry-config
        hostPath:
        path: /etc/containerd/certs.d/docker.io/