Salli imagejen veto Rahdin projektista toiseen

Jokaisella Rahdin projektilla on yksityinen image-rekisteritila. Rekisteriin voidaan tallentaa mikä tahansa OCI-muodon kanssa yhteensopiva image. Rekisterin tavallisia käyttötapoja ovat Rahdissa rakennettujen imagejen tallentaminen tai upstream-imagejen välimuistitus.

Image Streams

Oletuksena mitä tahansa projektin yksityiseen rekisteriin tallennettua imagea voidaan vetää projektin sisältä. Lisäksi oletuksena vain projektin todennetut jäsenet voivat vetää tai työntää imagen projektin ulkopuolelta. Tämä tarkoittaa, että jos haluat rakentaa ja ottaa käyttöön imagen, Podit voivat käyttää sitä ilman ylimääräisiä asetuksia. Se tarkoittaa myös, että voit vetää kyseisen imagen vain, jos olet todennettu ja projektin jäsen.

Tämän ohjeen tavoitteena on selittää, miten toteutetaan yksi ylimääräinen käyttötapaus: imagejen vetäminen Rahdin toisesta projektista Rahdin sisällä. Tämän käyttötapauksen tarve syntyy silloin, kun samaa infrastruktuuria otetaan käyttöön useissa projekteissa ja näin jaetaan samat imaget. Alla olevassa esimerkissä ensimmäinen projekti on tuotanto (bajor-prod) ja toinen testaukseen tarkoitettu (bajor-test). Molempien täytyy jakaa sama rekisteri, jotta testaus ja käyttöönotto olisivat helpompia ja yksinkertaisempia seurata.

Varmista, että sinulla on kaksi projektia, joilla voit kokeilla. Jos sinulla ei ole kahta projektia käytettävissä, voit seurata projektin luontiohjetta.
Tähän on kaksi tapaa:
1. Voit tehdä tämän käyttämällä oc-komentorivityökalua suorittamalla:
```
oc adm policy add-role-to-user system:image-puller system:serviceaccounts:bajor-test \
       -n bajor-prod
```
  Yllä oleva komento sallii ryhmän system:serviceaccounts:bajor-test vetää minkä tahansa bajor-prod-projektissa tallennetun imagen. Ryhmä sisältää projektin kaikki palvelutilit.
2. Voit käyttää selainkäyttöliittymää siirtymällä kohtaan User Management ja sitten kohtaan RoleBindings. Napsauta lopuksi Create binding -painiketta ja täytä lomake kuvan mukaisesti:
  
  Uuden rolebindingin Name voi olla mikä tahansa nimi; on suositeltavaa, että se kuvaa tarkoitustaan. Namespace täytyy olla kohdeprojekti eli projekti, jossa imaget sijaitsevat. Role name täytyy olla system:image-puller. Lopuksi Group täytyy olla system:serviceaccounts:bajor-test, eli sitä projektia vastaava ryhmä, jonka täytyy voida vetää imaget.
Testataksesi tätä sinun tarvitsee vain ottaa käyttöön Pod bajor-test-projektissa siten, että se käyttää imagea bajor-prod-projektista (esimerkiksi image-registry.apps.2.rahti.csc.fi/bajor-prod/image-name).