Risoluzione dei problemi relativi ai segreti per il recupero delle immagini che utilizzano chiavi API

Se la tua configurazione dl pod ha un segreto di pull dell'immagine che utilizza una chiave API, controlla che le credenziali di chiave API siano configurate correttamente.

La seguente procedura presume che la chiave API memorizzi le credenziali di un ID servizio. Se configuri il tuo segreto di pull dell'immagine per utilizzare una chiave API di un singolo utente, devi verificare le credenziali e le autorizzazioni IBM Cloud IAM di tale utente.

1. Trova l'ID servizio utilizzato dalla chiave API per il segreto di pull dell'immagine esaminando la descrizione (Description). L'ID del servizio creato con il cluster si chiama " cluster-<cluster_ID> " e viene utilizzato nel progetto " default " Red Hat OpenShift. Se hai creato un altro ID di servizio, ad esempio per accedere a un altro progetto Red Hat OpenShift o per modificare le autorizzazioni IAM di IBM Cloud, hai personalizzato la descrizione.

   ibmcloud iam service-ids
   

   Output di esempio

   UUID                Name               Created At              Last Updated            Description                                                                                                                                                                                         Locked
   ServiceId-aa11...   <service_ID_name>  2019-02-01T19:01+0000   2019-02-01T19:01+0000   ID for <cluster_name>                                                                                                                                         false
   ServiceId-bb22...   <service_ID_name>  2019-02-01T19:01+0000   2019-02-01T19:01+0000   Service ID for IBM Cloud Container Registry in Kubernetes cluster <cluster_name> namespace <project>                                                                                                                                         false
   

2. Verifica che all'ID servizio sia assegnato almeno una politica di ruolo di accesso al servizio per IBM Cloud di Lettore di IBM Cloud Container Registry IAM. Se l'ID del servizio non dispone del ruolo di accesso al servizio Reader, modificare le politiche IAM. Se le politiche sono corrette, continua con il passo successivo per appurare se le credenziali sono valide.

   ibmcloud iam service-policies <service_ID_name>
   

   Output di esempio

   Policy ID:   a111a111-b22b-333c-d4dd-e555555555e5
   Roles:       Reader
   Resources:
                 Service Name       container-registry
                 Service Instance
                 Region
                 Resource Type      namespace
                 Resource           <registry_namespace>
   

3. Controlla se le credenziali del segreto di pull dell'immagine sono valide.

   1. Ottieni la configurazione del segreto di pull dell'immagine. Se il pod non si trova nel progetto default, includere l'opzione -n.

      oc get secret <image_pull_secret_name> -o yaml [-n <project>]
      

   2. Nell'output, copia il valore con codifica base64 del campo .dockerconfigjson.

      apiVersion: v1
      kind: Secret
      data:
        .dockerconfigjson: eyJyZWdp...==
      ...
      

   3. Decodifica la stringa base64. Ad esempio, su OS X puoi eseguire il seguente comando.

      echo -n "<base64_string>" | base64 --decode
      

      Output di esempio

      {"auths":{"<region>.icr.io":{"username":"iamapikey","password":"<password_string>","email":"<name@abc.com>","auth":"<auth_string>"}}}
      

   4. Confronta il nome dominio del registro regionale del segreto di pull dell'immagine con il nome dominio che hai specificato nell'immagine del contenitore. Per impostazione predefinita, i nuovi cluster dispongono di secret per il download delle immagini per ciascun nome di dominio del registro regionale per i container in esecuzione nel progetto default Red Hat OpenShift. Tuttavia, se hai modificato le impostazioni predefinite o stai utilizzando un progetto " Red Hat OpenShift " diverso, potresti non disporre di un segreto per il download delle immagini dal registro regionale. Copia un segreto di pull dell'immagine per il nome dominio del registro regionale.

   5. Esegui l'accesso al registro dalla tua macchina locale utilizzando username e password dal tuo segreto di pull dell'immagine. Se non riesci ad accedere, potrebbe essere necessario correggere l'ID del servizio.

      docker login -u iamapikey -p <password_string> <region>.icr.io
      

      1. Ricrea l'ID del servizio cluster, IBM Cloud le politiche IAM, la chiave API e i segreti per il download delle immagini per i container in esecuzione nel progetto default Red Hat OpenShift.

         ibmcloud oc cluster pull-secret apply --cluster <cluster_name_or_ID>
         

      2. Ricrea la tua distribuzione nel progetto " default " Red Hat OpenShift. Se continui a vedere un messaggio di errore di autorizzazione, ripeti i passi da 1 a 5 con i nuovi segreti di pull dell'immagine. Se ancora non riesci ad accedere, apri un caso di supporto IBM Cloud.

   6. Se l'accesso riesce, esegui il pull di un'immagine localmente. Se il comando non riesce con un errore access denied, l'account del registro si trova in un account IBM Cloud differente da quello in cui si trova il tuo cluster. Crea un segreto di pull dell'immagine per accedere alle immagini nell'altro account. Se riesci a scaricare un'immagine sul tuo computer locale, significa che la tua chiave API dispone delle autorizzazioni corrette, ma la configurazione dell'API nel tuo cluster non è corretta.

      docker pull <region>icr.io/<namespace>/<image>:<tag>
      

   7. Verifica che al segreto di pull si faccia riferimento direttamente dalla distribuzione o dall'account di servizi utilizzato dalla distribuzione. Se ancora non riesci a risolvere il problema, contatta il supporto.