11. 服务用（SERVICE SERVING）证书 SECRET 3.12. SECRET 限制 第 第 4 章 章 管理 管理构 构建 建输 输出 出 4.1. 构建输出 4.2. 输出镜像环境变量 4.3. 输出镜像标签 第 第 5 章 章 使用 使用构 构建策略 建策略 5.1. DOCKER 构建 5.2. SOURCE-TO-IMAGE (S2I) 构建 5.3. CUSTOM 构建 的方式加以 使用，具体取决于您的构建用例。 输入 secret 始终挂载到 /var/run/secrets/openshift.io/build 目录中，或您的构建器可以解析 $BUILD 环境变量（包含完整构建对象）。 3.7. 外部工件 (ARTIFACT) 建议不要将二进制文件存储在源存储库中。因此，您可能会发现有必要定义一个构建，在构建过程中拉取 其他文件（如 Java .jar 8080 CMD [ "java", "-jar", "app.jar" ] 在实践中，您可能希望将环境变量用于文件位置，以便要下载的具体文件能够使用 BuildConfig 中定义的 环境变量来自定义，而不必更新 Dockerfile 或 assemble 脚本。 您可以选择不同方法来定义环境变量： 使用 .s2i/environment 文件（仅适用于 Source 构建策略） 在 BuildConfig

secret，然后创建依赖于此 secret 的 Pod。 在创建 secret 时： 使用 secret 数据创建 secret 对象。 更新 pod 的服务帐户以允许引用该 secret。 创建以环境变量或文件（使用 secret 卷）形式消耗 secret 的 pod。 流程 流程 使用创建命令从 JSON 或 YAML 文件创建 secret 对象： 例如，您可以从本地的 .docker/config 使用 secret 数据填充卷中的文件 数据填充卷中的文件 pod 的 的 YAML 使用 使用 secret 数据填充 数据填充环 环境 境变 变量 量 一个 一个 Build Config 的 的 YAML 定 定义 义，在 ，在环 环境 境变 变量中使用 量中使用 secret 数据 数据 apiVersion: v1 kind: Pod metadata: name: secret-example-pod 方式加以 使用，具体取决于您的构建用例。 输入 secret 始终挂载到 /var/run/secrets/openshift.io/build 目录中，或您的构建器可以解析 $BUILD 环 境变量（包含完整构建对象）。 重要 重要 如果命名空间和节点上存在 registry 的 pull secret，构建会默认使用命名空间中的 pull secret。 2.3.7. 外部工件 (artifact)

在堡垒主机上完成以下步骤： 1. 查看 OpenShift Container Platform 下载页面，以确定您要安装的 OpenShift Container Platform 版本。 2. 设置所需的环境变量： $ export OCP_RELEASE= 1 $ export LOCAL_REGISTRY=':变量 量 设置环境变量的最佳做法是使用 ENV 指令设置环境变量。一个例子是设置项目版本。这让人可以无需通 过查看 Dockerfile 便可轻松找到版本。另一示例是在系统上公告可供其他进程使用的路径，如 JAVA_HOME。 避免默 最好避免设置默认密码。很多人扩展镜像时会忘记删除或更改默认密码。如果在生产环境中的用户被分配 了众所周知的密码，则这可能引发安全问题。应该使用环境变量来使密码可以被配置。 如果您的确要选择设置默认密码，请确保在容器启动时显示适当的警告消息。消息中应告知用户默认密码 的值并说明如何修改密码，例如要设置什么环境变量。 避免 避免 sshd 最好避免在您的镜像中运行 sshd。您可使用 podman exec 或 docker exec

. . . . . . . . . 标记重要端口 设置环境变量 避免默认密码 避免 sshd 对持久性数据使用卷 4.1.2. OpenShift Container Platform 特定准则 启用 Source-to-Image (S2I) 的镜像 支持任意用户 id 使用服务进行镜像间通信 提供通用库 使用环境变量进行配置 设置镜像元数据 集群 日志记录 存活 (liveness) 配置和自定义 12.2.1.1. OpenShift Container Platform OAuth 身份验证 12.2.1.2. Jenkins 身份验证 12.2.2. Jenkins 环境变量 12.2.3. 向 Jenkins 提供跨项目访问权限 12.2.4. Jenkins 跨卷挂载点 12.2.5. 通过 Source-to-image 自定义 Jenkins 镜像 12.2 插件 12.2.10. Jenkins 内存要求 12.2.11. 其他资源 12.3. JENKINS 代理 12.3.1. Jenkins 代理镜像 12.3.2. Jenkins 代理环境变量 12.3.3. Jenkins 代理内存要求 12.3.4. Jenkins 代理 Gradle 构建 12.3.5. Jenkins 代理 pod 保留 12.4. SOURCE-TO-IMAGE

构建配置和部署 建配置和部署 点 Build Configuration 和 Deployment Configuration 链接来查看对应的配置选项。一些选项会被默 认选中；您可以通过添加必要的触发器和环境变量来进一步自定义。 对于无服务器应用程序，Deployment 选项不会显示，因为 Knative 配置资源为您的部署维护所需的状 态，而不是由 DeploymentConfig 资源来维护。 扩 扩展 4.1. 指定 指定环 环境 境变 变量 量 从模板、源或镜像生成应用程序时，您可以在运行时使用 -e|--env 参数将环境变量传递给应用程序容器： 这些变量可使用 --env-file 参数从文件中读取。以下是一个名为 postgresql.env 的示例文件： 从文件中读取变量： 另外，也可使用 --env-file=- 在标准输入上给定环境变量： 注意 注意 在 new-app 处理过程中创建的任何 BuildConfig 对象，都不能使用通过 -e|--env 或 -- env-file 参数传递的环境变量进行更新。 3.3.4.2. 指定 指定构 构建 建环 环境 境变 变量 量 从模板、源或镜像生成应用程序时，您可以在运行时使用 --build-env 参数将环境变量传递给构建容器： $ oc new-app openshift/postgresql-92-centos7 \

构建配置和部署 点 Build Configuration 和 Deployment Configuration 链接来查看对应的配置选项。一些选项会被默 认选中；您可以通过添加必要的触发器和环境变量来进一步自定义。 对于无服务器应用程序，Deployment 选项不会显示，因为 Knative 配置资源为您的部署维护所需的状 态，而不是由 DeploymentConfig 资源来维护。 扩展 4.1. 指定 指定环 环境 境变 变量 量 从模板、源或镜像生成应用程序时，您可以在运行时使用 -e|--env 参数将环境变量传递给应用程序容器： 这些变量可使用 --env-file 参数从文件中读取。以下是一个名为 postgresql.env 的示例文件： 从文件中读取变量： 另外，也可使用 --env-file=- 在标准输入上给定环境变量： 注意 注意 在 new-app 处理过程中创建的任何 BuildConfig 对象，都不能使用通过 -e|--env 或 -- env-file 参数传递的环境变量进行更新。 3.3.4.2. 指定 指定构 构建 建环 环境 境变 变量 量 从模板、源或镜像生成应用程序时，您可以在运行时使用 --build-env 参数将环境变量传递给构建容器： $ oc new-app openshift/postgresql-92-centos7 \

Platform 下载页面，以确定您要安装的 OpenShift Container Platform 版本，并决定 Repository Tags 页中的相应标签（tag）。 2. 设置所需的环境变量： a. 导出发行版本信息： 对于 ，请指定与 OpenShift Container Platform 版本对应的标签，用于 您的架构，如 4.5.4。 b OpenShift Container Platform 4.14 镜 镜像 像 26 当将一个容器链接到另一容器时，公开端口也会链接到一起 设 设置 置环 环境 境变 变量 量 设置环境变量的最佳做法是使用 ENV 指令设置环境变量。一个例子是设置项目版本。这让人可以无需通 过查看 Dockerfile 便可轻松找到版本。另一示例是在系统上公告可供其他进程使用的路径，如 JAVA_HOME。 避免默 避免设置默认密码。许多人扩展镜像时会忘记删除或更改默认密码。如果在生产环境中的用户被分配了众 所周知的密码，则这可能引发安全问题。可以使用环境变量来配置密码。 如果您的确要选择设置默认密码，请确保在容器启动时显示适当的警告消息。消息中应告知用户默认密码 的值并说明如何修改密码，例如要设置什么环境变量。 避免 避免 sshd 最好避免在您的镜像中运行 sshd。您可使用 podman exec 或 docker exec

捆绑包可作为条目包含在多个 olm.channel blob 中，但它每个频道只能有一个条目。 它对条目的 replaces 值有效，以引用无法在此目录或其他目录中找到的另一捆绑包名称。但是，所有其他 频道变量都必须为 true，比如频道没有多个磁头。 例 例 2.2. olm.channel schema // The package's default channel defaultChannel: 以启用自动更改 Operator 目录的索引镜像版本作为集群升级的一部分。 将 olm.catalogImageTemplate 注解设置为索引镜像名称，并使用一个或多个 Kubernetes 集群 版本变量，如为镜像标签构建模板时所示。该注解会在运行时覆盖 spec.image 字段。如需了解 更多详细信息，请参阅"用于自定义目录源的镜像模板"。 在 Web 控制台和 CLI 中显示目录的名称。 目录的索引镜像。在使用 Operator。如果某个频道的头满足依赖关系， 它将会被首先尝试。 2.4.4.5.4. 其他限制 其他限制 除了软件包依赖关系的限制外，OLM 还添加了其他限制来代表所需用户状态和强制实施解析变量。 2.4.4.5.4.1. 订阅约束 束 一个订阅（Subscription）约束会过滤可满足订阅的 Operator 集合。订阅是对依赖项解析程序用户提供的 限制。它们会声明安装一个新的 O

从目录创建配置映射 2.7.3.2. 从文件创建配置映射 2.7.3.3. 从字面值创建配置映射 2.7.4. 用例： 在 pod 中使用配置映射 2.7.4.1. 使用配置映射在容器中填充环境变量 2.7.4.2. 使用配置映射为容器命令设置命令行参数 2.7.4.3. 使用配置映射将内容注入卷 2.8. 使用设备插件通过 POD 访问外部资源 2.8.1. 了解设备插件 设备插件示例 1. 使用环境变量消耗容器值 6.5.2.2. 使用卷插件消耗容器值 6.5.3. 了解如何使用 Downward API 消耗容器资源 6.5.3.1. 使用环境变量消耗容器资源 6.5.3.2. 使用卷插件消耗容器资源 6.5.4. 使用 Downward API 消耗 secret 6.5.5. 使用 Downward API 消耗配置映射 6.5.6. 引用环境变量 6.5.7. 转义环境变量引用 转义环境变量引用 6.6. 将文件复制到 OPENSHIFT CONTAINER PLATFORM 容器或从中复制 6.6.1. 了解如何复制文件 6.6.1.1. 要求 6.6.2. 将文件复制到容器或从容器中复制 6.6.3. 使用高级 rsync 功能 6.7. 在 OPENSHIFT CONTAINER PLATFORM 容器中执行远程命令 6.7.1. 在容器中执行远程命令 6

从目录创建配置映射 2.7.3.2. 从文件创建配置映射 2.7.3.3. 从字面值创建配置映射 2.7.4. 使用案例： 在 pod 中使用配置映射 2.7.4.1. 使用配置映射在容器中填充环境变量 2.7.4.2. 使用配置映射为容器命令设置命令行参数 2.7.4.3. 使用配置映射将内容注入卷 2.8. 使用设备插件来利用 POD 访问外部资源 2.8.1. 了解设备插件 设备插件示例 1. 使用环境变量消耗容器值 6.5.2.2. 使用卷插件消耗容器值 6.5.3. 了解如何使用 Downward API 消耗容器资源 6.5.3.1. 使用环境变量消耗容器资源 6.5.3.2. 使用卷插件消耗容器资源 6.5.4. 使用 Downward API 消耗 secret 6.5.5. 使用 Downward API 消耗配置映射 6.5.6. 引用环境变量 6.5.7. 转义环境变量引用 6.6. 将文件复制到 OPENSHIFT CONTAINER PLATFORM 容器或从中复制 6.6.1. 了解如何复制文件 6.6.1.1. 要求 6.6.2. 将文件复制到容器或从容器中复制 6.6.3. 使用高级 rsync 功能 6.7. 在 OPENSHIFT CONTAINER PLATFORM 容器中执行远程命令 264 265 266 267 271