114 lines
3.5 KiB
Markdown
Executable File
114 lines
3.5 KiB
Markdown
Executable File
user: admin
|
|
password: Nexus01@
|
|
|
|
#installatie
|
|
|
|
postgres14 starten als dat nog niet is gebeurd
|
|
|
|
ingressrouteTCP-route aanmaken voor registry
|
|
|
|
ingressroutes HTTP en TLS aanmaken voor nexus (nodig voor compileren met maven)
|
|
|
|
kubectl apply -f nexus.yaml
|
|
|
|
i.v.m. permissions (zie logfile) indien nodig op sudo chmod +R /mnt/nfs_share/nexus uitvoeren
|
|
admin password staat in data-dir op de nfs-share
|
|
|
|
#Repository-routes configureren:
|
|
|
|
In nexus kun je een repository definieren van het type "Docker".
|
|
|
|
Die geef je dan een eigen poortnummer.
|
|
|
|
Bij TLS-interrupt door Traefik gewoon http-poort 5000 (https kun je leeglaten)
|
|
Bij TLS-interrupt door Nexus moet je een https-poort gebruiken (bijv 8444)
|
|
|
|
#SSL TLS Interrupt voor UI:
|
|
|
|
gewoon een ingressroute-HTTP en ingressroute-tls aanmaken voor nexus-dev.allarddcs.nl
|
|
|
|
#SSL TLS Interrupt voor Registry:
|
|
TLS-interrupt kun je het best door traefik laten doen.
|
|
Dit heeft de voorkeur want dan heb je een trusted certificaat en hoefje geen "insecure registry" te configurenren in docker-config.
|
|
|
|
#TLS-INTERRUPT DOOR TRAEFIK:
|
|
De ingressrouteTCP naar de docker registry ziet er dan alsvolgt uit:
|
|
|
|
apiVersion: traefik.io/v1alpha1
|
|
kind: IngressRouteTCP
|
|
metadata:
|
|
name: registry-tcp
|
|
namespace: nexus
|
|
spec:
|
|
entryPoints:
|
|
- websecure # Traefik HTTPS entrypoint
|
|
routes:
|
|
- match: HostSNI(`registry-dev.allarddcs.nl`)
|
|
services:
|
|
- name: nexus
|
|
port: 5000 # Nexus HTTP port for Docker registry
|
|
tls:
|
|
certResolver: letsencrypt # Traefik uses this certificate
|
|
|
|
Dit is dus een bijzondere combinatie van IngressrouteTCP en toch TLS-interrupt.
|
|
Vanaf traefik gaat het verkeer dan naar de http-poort van je docker registry.
|
|
|
|
Daarnaast heb ik ook een ingressroute-http aangemaakt :
|
|
|
|
apiVersion: traefik.io/v1alpha1
|
|
kind: IngressRoute
|
|
metadata:
|
|
name: registry-http
|
|
namespace: nexus
|
|
spec:
|
|
entryPoints:
|
|
- web
|
|
routes:
|
|
- match: Host(`registry-dev.allarddcs.nl`)
|
|
kind: Rule
|
|
services:
|
|
- name: nexus
|
|
port: 8081
|
|
|
|
Deze gaat dus naar de web-kant voor de ACME-challenge van Letsencrypt.
|
|
|
|
#TLS-INTERRUPT DOOR NEXUS:
|
|
|
|
Deze optie heeft het nadeel dat je dan bij inloggen met docker de melding krijgt dat het certificaat
|
|
self-signed is. Dan moet je insecure registry opvoeren in docker-config.
|
|
|
|
|
|
Met keytool een certificaat aanmaken.
|
|
Certificaat zet je dan op nfs-share op data-dir/etc/ssl/keystore.jks
|
|
|
|
|
|
Deze poort moet je ook als ingressrouteTCP ontsluiten met TLS passthrough (want nexus doet TLS-interrupt)
|
|
maar dan uiteraard wel op de domeinnaam "registry-dev.allarddcs.nl".
|
|
Deze tweede route heeft hetzelfde "entrypoint" als de GUI, namelijk "websecure"
|
|
|
|
nexus-properties:
|
|
|
|
nexus-args=${jetty.etc}/jetty.xml,${jetty.etc}/jetty-http.xml,${jetty.etc}/jetty-https.xml,${jetty.etc}/jetty-requestlog.xml
|
|
application-port-ssl=8443
|
|
ssl-keystore=/nexus-data/etc/ssl/keystore.jks
|
|
ssl-keystore-password=password
|
|
ssl-keystore-type=JKS
|
|
jetty.sslContext.keyStorePath=/opt/sonatype/sonatype-work/nexus3/etc/ssl/keystore.jks
|
|
jetty.sslContext.keyStorePassword=password
|
|
jetty.sslContext.keyManagerPassword=password
|
|
jetty.sslContext.trustStoreType=JKS
|
|
|
|
#vervelende foutmeldingen in log voorkomen.
|
|
|
|
Om java in een container te kunnen runnen probeert nexus blijkbaar een .java directory aan te maken in /opt/sonatype/nexus.
|
|
Maar use nexus mag dat niet.
|
|
Vandaar dat er een emptydir gemount wordt:
|
|
volumeMounts:
|
|
- name: java-prefs
|
|
mountPath: /opt/sonatype/nexus/.java
|
|
volumes:
|
|
- name: java-prefs
|
|
emptyDir: {}
|
|
|
|
Die emptydir verdwijnt weer als je de container stopt.
|