Kubernetes

# Registry anlegen — Speicherklasse und Region wie beim Objektspeicher
entronyx registry create prod \
  --region fra1 --class standard --quota 250
 
# Roboterkonto nur mit Lesezugriff, für die Knoten des Clusters
entronyx registry robot create ci-pull \
  --registry prod --scope "repo:*:pull" --ttl 90d
 
# Prüfregel: Abbilder mit kritischer Schwachstelle werden nicht ausgeliefert
entronyx registry policy set prod \
  --scan-on-push --block-severity critical --block-unscanned
 
# Aufbewahrung: die letzten 10 Versionen je Repository bleiben,
# ungetaggte Manifeste fallen nach 7 Tagen weg
entronyx registry retention set prod \
  --keep-latest 10 --keep-tagged "v*,release-*" \
  --purge-untagged-after 7d --archive-after 180d
 
# Spiegel für ein öffentliches Register — Abrufe laufen danach über uns
entronyx registry mirror add prod \
  --upstream docker.io --cache-ttl 24h
 
# Zugangsdaten des Roboterkontos als imagePullSecret im Cluster hinterlegen
entronyx registry robot token ci-pull --registry prod --format docker \
  | kubectl create secret generic entronyx-registry \
      --namespace produktion --type kubernetes.io/dockerconfigjson \
      --from-file=.dockerconfigjson=/dev/stdin

apiVersion: v1
kind: Secret
metadata:
  name: entronyx-registry
  namespace: produktion
type: kubernetes.io/dockerconfigjson
stringData:
  # Erzeugt mit: entronyx registry robot token ci-pull --format docker
  .dockerconfigjson: |
    { "auths": { "prod.registry.entronyx.cloud": { "auth": "<base64>" } } }
---
apiVersion: v1
kind: ServiceAccount
metadata:
  name: default
  namespace: produktion
# Das Dienstkonto zieht das Secret für alle Pods des Namensraums,
# damit es nicht in jedem Deployment wiederholt werden muss
imagePullSecrets:
  - name: entronyx-registry
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: web
  namespace: produktion
spec:
  template:
    spec:
      containers:
        - name: web
          image: prod.registry.entronyx.cloud/team/web:1.8.2
        # Der Spiegel ersetzt das öffentliche Register: dieselbe Zeile,
        # anderer Ursprung, keine Ratenbegrenzung im Rollout
        - name: cache
          image: prod.registry.entronyx.cloud/mirror/library/valkey:8