Salli imagejen veto Rahti-projektista toiseen

Jokaisella Rahti-projektilla on yksityinen image-rekisteritila. Rekisteriin voidaan tallentaa mikä tahansa OCI-muodon kanssa yhteensopiva image. Rekisterin tavallisia käyttötapoja ovat Rahtissa rakennettujen imagejen tallentaminen tai upstream-imagejen välimuistitus.

Image Streams

Oletuksena mitä tahansa projektin yksityiseen rekisteriin tallennettua imagea voidaan vetää projektin sisältä. Lisäksi oletuksena vain projektin tunnistautuneet jäsenet voivat vetää tai työntää imagen projektin ulkopuolelta. Tämä tarkoittaa, että jos haluat rakentaa ja ottaa käyttöön imagen, Podit voivat käyttää sitä ilman ylimääräisiä määrityksiä. Se tarkoittaa myös, että voit vetää kyseisen imagen vain, jos olet tunnistautunut ja projektin jäsen.

Tämän ohjeen tavoitteena on selittää, miten toteutetaan yksi ylimääräinen käyttötapaus: imagejen vetäminen toisesta projektista Rahtin sisällä. Tätä tarvitaan silloin, kun samaa infrastruktuuria otetaan käyttöön useissa projekteissa ja ne jakavat samat imaget. Alla olevassa esimerkissä ensimmäinen projekti on tuotanto (bajor-prod) ja toinen testaukseen tarkoitettu (bajor-test). Molempien täytyy jakaa sama rekisteri, jotta testaus ja käyttöönotto olisivat helpompia ja yksinkertaisempia seurata.

Varmista, että sinulla on kaksi projektia, joilla voit kokeilla. Jos sinulla ei ole kahta projektia käytettävissä, voit seurata projektin luontiohjetta.
Tähän on kaksi tapaa:
1. Voit tehdä tämän käyttämällä oc-komentorivityökalua suorittamalla:
```
oc adm policy add-role-to-user system:image-puller system:serviceaccounts:bajor-test \
       -n bajor-prod
```
  Yllä oleva komento sallii ryhmän system:serviceaccounts:bajor-test vetää minkä tahansa bajor-prod-projektissa tallennetun imagen. Ryhmä sisältää projektin kaikki palvelutilit.
2. Voit käyttää selainkäyttöliittymää siirtymällä kohtaan User Management ja sitten kohtaan RoleBindings. Napsauta lopuksi Create binding -painiketta ja täytä lomake seuraavan esimerkin mukaisesti:
  
  Uuden rolebindingin Name voi olla mikä tahansa nimi, mutta on suositeltavaa, että se kuvaa tarkoitustaan. Namespace täytyy olla kohdeprojekti eli projekti, jossa imaget sijaitsevat. Role name täytyy olla system:image-puller. Lopuksi Group täytyy olla system:serviceaccounts:bajor-test, eli sitä projektia vastaava ryhmä, jonka täytyy voida vetää imaget.
Testataksesi tätä sinun tarvitsee vain ottaa käyttöön Pod bajor-test-projektissa siten, että se käyttää imagea bajor-prod-projektista (esimerkiksi image-registry.apps.2.rahti.csc.fi/bajor-prod/image-name).