Quay コンテナーレジストリ

Quay は Red Hat のコンテナーイメージレジストリ製品です。OCI および Docker 互換イメージを 保存・配布し、組織およびリポジトリのアクセス制御、ロボットアカウント、脆弱性スキャン統合、 任意のリポジトリミラーリングを提供します。レジストリはソース管理システムではありません。 イメージタグは公開済み成果物を識別しますが、ソースとビルド定義はバージョン管理に保持 してください。

イメージの公開 #

組織とリポジトリを作成し、個人パスワードではなく、スコープを限定したロボットアカウント トークンで認証します。

docker login quay.io
docker build -t quay.io/example-org/web:1.4.0 .
docker push quay.io/example-org/web:1.4.0

デプロイでは、不変のバージョンタグまたはダイジェストを使用してください。

docker pull quay.io/example-org/web@sha256:REPLACE_WITH_IMAGE_DIGEST

latest のようなタグは変更可能なポインターです。開発には便利ですが、デプロイで使用 されたイメージを証明するものではありません。

プライベートレジストリの運用 #

セルフホスト型 Quay には、永続的なオブジェクトストレージまたはファイルシステム ストレージ、データベース、TLS 終端、バックアップ、認証統合が必要です。本番環境で使用 する前に、保持ポリシーを定義し、リストアをテストし、ストレージの増加を監視してください。 ガベージコレクションとクリーンアップポリシーでは、デプロイやリリース記録から参照されて いるイメージを保持する必要があります。

最小権限のチームとロボットアカウントを使用します。CI パブリッシャーは通常、自身の リポジトリへの書き込みアクセスだけを必要とし、実行時のプルシークレットは読み取り アクセスだけを必要とします。利用可能であればイメージスキャンを有効にしますが、スキャン 結果はパッチ適用とアドミッション判断における一つの入力として扱い、イメージが安全である 証明とはみなさないでください。