创建构建输入

构建输入为构建提供操作的源内容。您可以使用以下构建输入在 OpenShift Dedicated 中提供源，按优先级顺序排列：

您可以在单个构建中组合多个输入。但是，由于内联 Dockerfile 优先，它可以覆盖另一个输入提供的任何其他名为 Dockerfile 的文件。二进制（本地）输入和 Git 仓库是互斥的输入。

当您不希望构建过程中使用的某些资源或凭据在构建生成的最终应用程序镜像中可用，或者想要使用密钥资源中定义的值时，可以使用输入密钥。外部工件可用于提取作为其他构建输入类型之一不可用的其他文件。

运行构建时

以下源定义示例包含多种输入类型以及如何组合它们的说明。有关如何定义每种输入类型的更多详细信息，请参阅每种输入类型的特定部分。

提供 dockerfile 值时，此字段的内容将作为名为 dockerfile 的文件写入磁盘。这在处理其他输入源之后完成，因此如果输入源存储库在根目录中包含 Dockerfile，则它将被此内容覆盖。

源定义是 BuildConfig 中 spec 部分的一部分。

您可以使用镜像向构建流程添加附加文件。输入镜像的引用方式与From和To镜像目标的定义方式相同。这意味着可以引用容器镜像和镜像流标签。结合镜像，您必须提供一个或多个路径对，以指示要复制到镜像的文件或目录的路径以及在构建上下文中放置它们的目标位置。

源路径可以是指定镜像内的任何绝对路径。目标必须是相对目录路径。在构建时，将加载镜像，并将指示的文件和目录复制到构建流程的上下文目录中。这与克隆源代码库内容的目录相同。如果源路径以/.结尾，则会复制目录的内容，但不会在目标位置创建目录本身。

镜像输入在BuildConfig的source定义中指定。

当使用需要拉取密钥的输入镜像时，您可以将拉取密钥链接到构建使用的服务帐户。默认情况下，构建使用builder服务帐户。如果密钥包含与托管输入镜像的存储库匹配的凭据，则会自动将拉取密钥添加到构建中。要将拉取密钥链接到构建使用的服务帐户，请运行

当使用来自镜像注册表的输入镜像时，如果收到build error: failed to pull image消息，您可以使用以下任一方法解决此错误

指定后，将从提供的地址获取源代码。

如果提供内联 Dockerfile，它将覆盖 Git 存储库的contextDir中的 Dockerfile。

源定义是 BuildConfig 中 spec 部分的一部分。

如果ref字段表示拉取请求，则系统将使用git fetch操作，然后检出FETCH_HEAD。

如果未提供ref值，OpenShift Dedicated 将执行浅克隆（--depth=1）。在这种情况下，只下载与默认分支（通常为master）上的最新提交关联的文件。这将导致存储库下载速度更快，但没有完整的提交历史记录。要执行指定存储库默认分支的完整git clone，请将ref设置为默认分支的名称（例如main）。

从本地文件系统流式传输内容到构建器称为Binary类型构建。对于这些构建，BuildConfig.spec.source.type 的对应值为Binary。

此源类型是独一无二的，因为它仅基于您对oc start-build的使用而被利用。

要使用二进制构建，请使用以下选项之一调用oc start-build：

在前面列出的每种情况下：

您可以使用HTTP或HTTPS模式的URL代替文件名传递给--from-file和--from-archive。当使用URL与--from-file时，构建器镜像中文件的名称由Web服务器发送的Content-Disposition标头确定，如果标头不存在，则由URL路径的最后一个组件确定。不支持任何形式的身份验证，并且无法使用自定义TLS证书或禁用证书验证。

当使用oc new-build --binary=true时，该命令确保执行与二进制构建相关的限制。生成的BuildConfig具有Binary的源类型，这意味着运行此BuildConfig构建的唯一有效方法是使用oc start-build以及其中一个--from选项来提供必要的二进制数据。

Dockerfile和contextDir源选项对二进制构建具有特殊意义。

Dockerfile可以与任何二进制构建源一起使用。如果使用Dockerfile并且二进制流是存档，则其内容将替换存档中任何Dockerfile。如果将Dockerfile与--from-file参数一起使用，并且文件参数命名为Dockerfile，则来自Dockerfile的值将替换来自二进制流的值。

对于封装已解压缩存档内容的二进制流，contextDir字段的值将被解释为存档内的子目录，如果有效，则构建器会在执行构建之前进入该子目录。

在某些情况下，构建操作需要凭据或其他配置数据才能访问依赖资源，但将这些信息放入源代码控制中是不希望的。为此，您可以定义输入密钥和输入配置映射。

例如，当使用Maven构建Java应用程序时，您可以设置Maven Central或JCenter的私有镜像，该镜像由私钥访问。要从该私有镜像下载库，您必须提供以下内容：

出于安全原因，您不希望在应用程序镜像中公开您的凭据。

此示例描述了一个Java应用程序，但您可以使用相同的方法将SSL证书添加到/etc/ssl/certs目录、API密钥或令牌、许可证文件等等。

不建议在源代码仓库中存储二进制文件。因此，您必须定义一个构建过程，在构建过程中拉取其他文件，例如 Java .jar 依赖项。如何实现取决于您使用的构建策略。

对于源代码构建策略，您必须将相应的 shell 命令放入 assemble 脚本中

对于 Docker 构建策略，您必须修改 Dockerfile 并使用 RUN 指令 调用 shell 命令

实际上，您可能希望使用环境变量来指定文件位置，以便可以使用在 BuildConfig 中定义的环境变量来自定义要下载的特定文件，而无需更新 Dockerfile 或 assemble 脚本。

您可以选择不同的方法来定义环境变量

您可以为构建提供一个包含私有容器注册表有效凭据的 .docker/config.json 文件。这允许您将输出镜像推送到私有容器镜像注册表，或从需要身份验证的私有容器镜像注册表拉取构建器镜像。

您可以在同一个注册表中为多个仓库提供凭据，每个仓库都使用特定于该注册表路径的凭据。

.docker/config.json 文件默认位于您的主目录中，其格式如下：

您可以定义多个容器镜像注册表，或在同一个注册表中定义多个仓库。或者，您也可以通过运行 docker login 命令向此文件添加身份验证条目。如果文件不存在，它将被创建。

Kubernetes 提供 Secret 对象，可用于存储配置和密码。

与 Pod 环境变量一样，构建环境变量也可以根据对其他资源或变量的引用来定义，可以使用向下 API。有一些例外情况，已注明。

您还可以使用 oc set env 命令管理在 BuildConfig 中定义的环境变量。

服务服务证书密钥旨在支持需要开箱即用证书的复杂中间件应用程序。它与管理员工具为节点和主节点生成的服务器证书具有相同的设置。

要保护与您的服务的通信，请让集群在您的命名空间中将签名的服务证书/密钥对生成到密钥中。

其他 Pod 可以通过使用自动挂载在其 Pod 中的 /var/run/secrets/kubernetes.io/serviceaccount/service-ca.crt 文件中的证书颁发机构 (CA) 捆绑包来信任集群创建的证书，这些证书仅针对内部 DNS 名称签名。

此功能的签名算法为 x509.SHA256WithRSA。要手动旋转，请删除生成的密钥。将创建一个新的证书。

要使用密钥，Pod 需要引用该密钥。密钥可以通过三种方式与 Pod 一起使用

卷类型为 secrets 的会使用卷机制将数据写入容器作为文件。imagePullSecrets 使用服务账户将密钥自动注入到命名空间中的所有 Pod 中。

当模板包含密钥定义时，模板使用提供的密钥的唯一方法是确保密钥卷源已验证，并且指定的對象引用实际上指向 Secret 类型的对象。因此，在任何依赖它的 Pod 之前都需要创建密钥。确保这一点最有效的方法是通过使用服务账户自动注入它。

Secret API 对象驻留在命名空间中。它们只能被同一命名空间中的 Pod 引用。

单个密钥大小限制为 1MB。这是为了避免创建大型密钥耗尽 apiserver 和 kubelet 内存。但是，创建大量较小的密钥也可能会耗尽内存。