OpenShift 文档正在迁移，不久后将仅在 docs.redhat.com（所有 Red Hat 产品文档的中心）提供。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

为构建设置额外的受信任证书颁发机构

使用以下部分设置其他证书颁发机构 (CA)，以便在从镜像注册表提取镜像时，构建过程可以信任这些 CA。

此过程需要集群管理员创建一个 `ConfigMap` 并将其他 CA 添加为 `ConfigMap` 中的键。

  • `ConfigMap` 必须在 `openshift-config` 命名空间中创建。

  • `domain` 是 `ConfigMap` 中的键，`value` 是 PEM 编码的证书。

    • 每个 CA 必须与一个域关联。域格式为 `hostname[..port]`。

  • `ConfigMap` 名称必须设置在 `image.config.openshift.io/cluster` 集群范围配置资源的 `spec.additionalTrustedCA` 字段中。

向集群添加证书颁发机构

您可以按照以下步骤向集群添加证书颁发机构 (CA)，以便在推送和提取镜像时使用。

先决条件

  • 您必须能够访问注册表的公共证书，通常是位于 `/etc/docker/certs.d/` 目录中的 `hostname/ca.crt` 文件。

步骤

  1. 在 `openshift-config` 命名空间中创建一个 `ConfigMap`，其中包含使用自签名证书的注册表的受信任证书。对于每个 CA 文件，请确保 `ConfigMap` 中的键是注册表的 `hostname[..port]` 格式的主机名。

    $ oc create configmap registry-cas -n openshift-config \
--from-file=myregistry.corp.com..5000=/etc/docker/certs.d/myregistry.corp.com:5000/ca.crt \
--from-file=otherregistry.com=/etc/docker/certs.d/otherregistry.com/ca.crt

  2. 更新集群镜像配置

    $ oc patch image.config.openshift.io/cluster --patch '{"spec":{"additionalTrustedCA":{"name":"registry-cas"}}}' --type=merge

其他资源