kubernetes - 从 Red Hat Registry 拉取镜像的权限被拒绝

Question

我正在使用我的 Openshift 4.1 集群中的运算符(operator)安装应用程序，该应用程序需要访问以从 Red Hat 注册表中提取图像。当我从我的项目运行安装时，运算符(operator)尝试从 Red Hat 注册表中提取图像，但我得到了一个权限被拒绝。

>oc project 3scale
>oc import-image amp-apicast --from=registry.redhat.io/3scale-amp26/apicast-gateway --confirm

Unable to sync image for tag amp-apicast:2.6. Internal error occurred: Get https://registry.redhat.io/v2/3scale-amp26/apicast-gateway/manifests/latest: unauthorized: Please login to the Red Hat Registry using your Customer Portal credentials. Further instructions can be found here: https://access.redhat.com/articles/3399531

但是，当我从集群中的 Openshift 项目中手动拉取图像时，我从我的 openshift-config 项目中提取的拉取密码被提取并成功下载了图像。

>oc project openshift
>oc import-image amp-apicast --from=registry.redhat.io/3scale-amp26/apicast-gateway --confirm

让我的项目能够从 Red Hat 注册表下载图像的最佳方法是什么？据我了解，将 pull secret 复制到我的项目并不是解决问题的方法。

谢谢

Answer 1

What is the best way to make give my project access to be able to download images > from the Red Hat registry? As I understand it copying the pull secret to my project is not the way to go about it.

如果您可以在这里访问: https://access.redhat.com/articles/3399531 ，那么您最好通过 Creating Registry Service Accounts 创建注册表凭据 secret 脚步。可以在 openshift 中启用图像拉取功能因为 kubernetes.io/dockerconfigjson注册表凭证 secret 的类型。

e.g.>
# oc get secret -n openshift
NAME                       TYPE                                  DATA      AGE
imagestreamsecret          kubernetes.io/dockerconfigjson        1         25d
...

如果该类型的 secret 存在于同一命名空间中，则图像拉取凭证 secret 会自动使用该类型的 secret 。

更多信息在这里 Allowing Pods to Reference Images from Other Secured Registries用于手动配置步骤。

$ oc create secret generic <pull_secret_name> \
    --from-file=.dockerconfigjson=<path/to/.docker/config.json> \
    --type=kubernetes.io/dockerconfigjson

在命名空间中创建凭证密码后，尝试执行 oc import-image .为了测试，您也可以复制 openshift中的 secret 到您的命名空间。我希望它对你有帮助。