OpenShift Docker构建策略下集群CA证书配置错误排查求助

为什么Docker构建策略会执行git-clone初始化步骤？ #

OpenShift的BuildConfig只要配置了source.git.uri指定代码仓库，不管用哪种构建策略（Docker/Source/Binary等），都会自动启动git-clone初始化容器拉取源码——这是平台默认行为，哪怕你的Dockerfile不需要直接用拉取的源码，只要配置了git源，这一步就会执行。

解决ca.crt缺失的报错 #

针对Error setting up cluster CA cert: open /var/run/secrets/kubernetes.io/serviceaccount/ca.crt: no such file or directory报错，按以下步骤排查修复：

• 检查构建使用的ServiceAccount权限
  默认情况下，OpenShift的builder ServiceAccount会自动挂载包含ca.crt的secret。如果自定义了构建用的ServiceAccount，需要确保它关联了对应secret：

  oc get serviceaccount <你的构建SA名称> -o yaml
  

  查看输出中secrets字段是否包含类似builder-token-xxxx的条目，若没有，需为该SA添加对应secret权限。

• 为私有Git仓库配置CA证书
  如果Git仓库用自签名证书或内部CA颁发的证书，需将CA证书导入构建配置：

  1. 创建包含ca.crt的Secret：

     oc create secret generic git-ca-secret --from-file=ca.crt=/path/to/your/ca.crt
     

  2. 修改BuildConfig，指定Git源的CA Secret：

     apiVersion: build.openshift.io/v1
     kind: BuildConfig
     metadata:
       name: your-nodejs-build
     spec:
       source:
         git:
           uri: https://your-private-git-repo.com/repo.git
           caSecret:
             name: git-ca-secret
         type: Git
       strategy:
         type: Docker
         dockerStrategy:
           dockerfilePath: Dockerfile
     

• 手动挂载CA证书到git-clone容器
  若上述方法无效，可修改BuildConfig的initContainers字段，手动将CA证书挂载到git-clone容器的信任目录：

  apiVersion: build.openshift.io/v1
  kind: BuildConfig
  metadata:
    name: your-nodejs-build
  spec:
    source:
      git:
        uri: https://your-private-git-repo.com/repo.git
      type: Git
    strategy:
      type: Docker
      dockerStrategy:
        dockerfilePath: Dockerfile
    initContainers:
    - name: git-clone
      volumeMounts:
      - name: git-ca
        mountPath: /etc/pki/ca-trust/extracted/pem/
        readOnly: true
    volumes:
    - name: git-ca
      secret:
        secretName: git-ca-secret
  

内容的提问来源于stack exchange，提问作者Victor Van Doom