了解容器、镜 镜像和 像和镜 镜像流 像流 3.1. 镜像 3.2. 容器 3.3. 镜像 REGISTRY 3.4. 镜像存储库 3.5. 镜像标签 3.6. 镜像 ID 3.7. 使用镜像流 3.8. 镜像流镜像 3.9. 镜像流触发器 3.10. 其它资源 第 第 4 章 章 创 创建 建镜 镜像 像 4.1. 学习容器最佳实践 4.2. 包括镜像中的元数据 4.3. 测试 S2I 镜像 在集群级别上缺少读取或列出镜像权限的用户仍可使用镜像流来检索项目中标记的镜像。 3.7.1. 镜像流标签（Imagestreamtags） 镜像流标签是指向镜像流中镜像的一个指针。镜像流标签与容器镜像标签类似。 3.8. 镜像流镜像 镜像流镜像允许您从标记了特定容器镜像的特定镜像流中检索该镜像。镜像流镜像是一个 API 资源对象， 用于收集一些有关特定镜像 SHA 标识符的元数据。 3.9. 镜像流触发器 镜像流触发器（imagestream 构建工具协同工作。S2I 是一个框架，便于编写以应 用程序源代码为输入的镜像和生成以运行汇编应用程序为输出的新镜像。 第 第 4 章 章 创 创建 建镜 镜像 像 21 例如，该 Python 镜像定义了构建各个版本的 Python 应用程序的 S2I 脚本。 支持任意用 支持任意用户 户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 来运行容器。这对因容器引擎漏洞而

Name: quay-operator.v3.8.0 Version: 3.8.0 Name: stable-3.8 Default Channel: stable-3.8 Package Name: quay-operator $ oc get packagemanifests -n Name: quay-operator.v3.8.0 Version: 3.8.0 Name: stable-3.8 Default Channel: stable-3.8 Package Name: quay-operator $ oc get packagemanifests -n Ansible 2.15.0 Ansible Runner 2.3.3+ Ansible Runner HTTP Event Emitter plugin 1.0.0+ Python 3.9+ Python Kubernetes 客户端 使用具有 cluster-admin 权限的 oc 登录到 OpenShift Container Platform 4.14 集群 要允许集群拉

构建输入 3.2. DOCKERFILE 源 3.3. 镜像源 3.4. GIT 源 3.5. 二进制（本地）来源 3.6. 输入 SECRET 和配置映射 3.7. 外部工件 (ARTIFACT) 3.8. 将 DOCKER 凭证用于私有 REGISTRY 3.9. 构建环境 3.10. 什么是 SECRET？ 3.11. 服务用（SERVICE SERVING）证书 SECRET 3.12. SECRET "basicsecret" strategy: sourceStrategy: from: kind: "ImageStreamTag" name: "python-33-centos7:latest" 第 第 3 章 章 创 创建 建构 构建 建输 输入 入 13 要在现有构建配置中设置源克隆 secret，请运行： $ oc set build-secret s2i/environment 文件（仅适用于 Source 构建策略） 在 BuildConfig 中设置 使用 oc start-build --env 明确提供（仅适用于手动触发的构建） 3.8. 将 DOCKER 凭证用于私有 REGISTRY 您可以为构建提供 .docker/config.json 文件，在文件中包含私有容器 registry 的有效凭证。这样，您可 以将输出镜像推送到私有容器镜像

AZURE 用户置备的基础架构配置 REGISTRY 3.5. 为 RHOSP 配置 REGISTRY 3.6. 为裸机配置 REGISTRY 3.7. 为 VSPHERE 配置 REGISTRY 3.8. 为 RED HAT OPENSHIFT DATA FOUNDATION 配置 REGISTRY 3.9. 为 NUTANIX 配置 REGISTRY 第 第 4 章 章 访问 访问REGISTRY 推荐的可配置存储 储技 技术 术 将 将镜 镜像 像 registry 配置 配置为 为使用 使用 OpenShift Data Foundation 3.8. 为 为 RED HAT OPENSHIFT DATA FOUNDATION 配置 配置 REGISTRY 要在裸机和 要在裸机和 vSphere 上配置 上配置 OpenShift 镜

CANARY ROLLOUT 更新 3.5. 更新包含使用 RHEL 的计算（COMPUTE）系统的集群 3.6. 在断开连接的环境中更新集群 3.7. 更新在 VSPHERE 上运行的节点上运行的硬件 3.8. 使用多架构计算机器迁移到集群。 3.9. 更新托管的 CONTROL PLANE 3.10. 使用 BOOTUPD 更新 RHCOS 节点上的引导装载程序 第 第 4 章 章 集群更新故障排除 选择了发行版本频道方案，如 stable-3.7，您应该镜像该频道中的所有发行 版本。这可让您继续使用 Operator 的补丁版本，如 3.7.1。您还可以定期调整镜像设置配置，为新产品版 本添加频道，如 stable-3.8。 修剪镜像 如果镜像不再包含在生成和镜像的最新镜像集中，则会自动从目标镜像 registry 中修剪镜像。这可让您轻 松管理和清理不需要的内容并回收存储资源。 如果不再需要 OpenShift 137 在 OpenShift Container Platform 升级前调度升级时，在 OpenShift Container Platform 升级过程中重启 节点时会进行虚拟硬件更新。 3.8. 使用多架构计算机器迁移到集群。 您可以通过升级到多架构的有效负载，使用单架构计算机器将当前集群迁移到具有多架构计算机器的集 群。这可让您在集群中添加混合架构计算节点。 有关配置多架构计算机器的详情，请参考在

使用机器集添加污点和容限 3.7.2.2. 使用污点和容限将用户绑定到节点 3.7.2.3. 使用节点选择器和容限创建项目 3.7.2.4. 使用污点和容限控制具有特殊硬件的节点 3.7.3. 删除污点和容限 3.8. 使用节点选择器将 POD 放置到特定节点 3.8.1. 关于节点选择器 3.8.2. 使用节点选择器控制 pod 放置 3.8.3. 创建默认的集群范围节点选择器 3.8.4. 创建项目范围节点选择器 effect: "NoExecute" tolerationSeconds: 3600 第 第 3 章 章 控制 控制节 节点上的 点上的 POD 放置（ 放置（调 调度） 度） 127 3.8. 使用节点选择器将 POD 放置到特定节点 节点选择器指定一个键/值对映射，该映射使用 pod 中指定的自定义标签和选择器定义。 要使 pod 有资格在节点上运行，pod 必须具有与节点上标签相同的键值节点选择器。 镜像中的 像中的设 设置的 置的实 实用程序或自定 用程序或自定义 义代 代码 码。例如，不需要 。例如，不需要仅仅为 仅仅为了在 了在设 设 置 置过 过程中使用 程中使用 sed、 、awk、 、python 或 或 dig 等工具而使用 等工具而使用 FROM 从其他 从其他镜 镜像生成一个 像生成一个镜 镜像。 像。 使用 使用 Linux 命名空 命名空间 间，以便使用与

使用节点选择器将 POD 放置到特定节点 3.7.1. 关于节点选择器 3.7.2. 使用节点选择器控制 pod 放置 3.7.3. 创建默认的集群范围节点选择器 3.7.4. 创建项目范围节点选择器 3.8. 使用 POD 拓扑分布限制控制 POD 放置 3.8.1. 关于 pod 拓扑分布限制 3.8.2. 配置 pod 拓扑分布限制 3.8.3. pod 拓扑分布限制示例 3.8.3.1. 单个 Node 对 对象中： 象中： 例如： 例如： 输 输出示例 出示例 3.8. 使用 使用 POD 拓扑分布限制控制 拓扑分布限制控制 POD 放置 放置 您可以使用 您可以使用 pod 拓扑分布 拓扑分布约 约束来控制 束来控制 pod 在 在节 节点、区、区域或其他用 镜像中的 像中的设 设置的 置的实 实用程序或自定 用程序或自定义 义代 代码 码。例如，不需要 。例如，不需要仅仅为 仅仅为了在 了在设 设 置 置过 过程中使用 程中使用 sed、 、awk、 、python 或 或 dig 等工具而使用 等工具而使用 FROM 从其他 从其他镜 镜像生成一个 像生成一个镜 镜像。 像。 使用 使用 Linux 命名空 命名空间 间，以便使用与

registry 3.6.2. Red Hat OpenShift 标记的镜像(mirror)registry 3.7. 镜像 OPENSHIFT CONTAINER PLATFORM 镜像存储库 3.8. 在断开连接的环境中的 CLUSTER SAMPLES OPERATOR 3.8.1. 协助镜像的 Cluster Samples Operator 3.9. 后续步骤 3.10. 其他资源 您必须在有活跃互联网连接的机器上执行这个步骤。 如果您位于断开连接的环境中,请使用 --image 标志作为 must-gather 的一部 分，指向有效负载镜像。 5. 对于使用安装程序置备的基础架构的集群，运行以下命令： 3.8. 在断开连接的环境中的 CLUSTER SAMPLES OPERATOR 在断开连接的环境中，在安装集群后执行额外的步骤来配置 Cluster Samples Operator。在准备过程中查 阅以下信息： event['ResourceProperties']['TargetArn']+event['ResourceProperties']['TargetIp']) Runtime: "python3.7" Timeout: 120 RegisterSubnetTagsLambdaIamRole: Type: AWS::IAM::Role Properties:

选择了发行版本频道方案，如 stable-3.7，您应该镜像该频道中的所有发行 版本。这可让您继续使用 Operator 的补丁版本，如 3.7.1。您还可以定期调整镜像设置配置，为新产品版 本添加频道，如 stable-3.8。 修剪 修剪镜 镜像 像 如果镜像不再包含在生成和镜像的最新镜像集中，则会自动从目标镜像 registry 中修剪镜像。这可让您轻 松管理和清理不需要的内容并回收存储资源。 如果不再需要 OpenShift event['ResourceProperties']['TargetArn']+event['ResourceProperties']['TargetIp']) Runtime: "python3.8" Timeout: 120 RegisterSubnetTagsLambdaIamRole: Type: AWS::IAM::Role Properties: event['ResourceProperties']['InfrastructureName']+event['ResourceProperties']['Subnets'][0]) Runtime: "python3.8" Timeout: 120 RegisterPublicSubnetTags: Type: Custom::SubnetRegister Properties:

服务器选项 3.4. 配置内部 OAUTH 服务器的令牌期间 3.5. 为内部 OAUTH 服务器配置令牌不活跃超时 3.6. 自定义内部 OAUTH 服务器 URL 3.7. OAUTH 服务器元数据 3.8. OAUTH API 事件故障排除 第 第 4 章 章 配置 配置 OAUTH 客 客户 户端 端 4.1. 默认 OAUTH 客户端 4.2. 注册其他 OAUTH 客户端 4.3. 为 OAUTH 参数中使用的代码质询方法值在 RFC 7636 第 4.3 节 中定义。有效的 代码质询方法值是在 IANA PKCE Code Challenge Methods 注册表中注册的值。请参阅 IANA OAuth 参数。 3.8. OAUTH API 事件故障排除 在有些情况下，API 服务器会返回一个 unexpected condition 错误消息；若不直接访问 API 主日志，很 难对此消息进行调试。该错误的基本