背景
像大家担心的那样，Openshift私有仓库磁盘爆了，使用率100%!!!
使用oc adm prune来作对openshift集群的清理，你敢吗？
会不会把需要的镜像也一并删了呢，要是如此，就只能像DBA一样走人了。
今天就来探讨下oc adm prune的用法。
先给出答案
如你所料，我们最终的清理镜像的办法是oc adm prune images
oc login -u admin -p admin
oc adm prune images --keep-younger-than=400m --confirm
注意以上oc adm prune images命令只能在普通用户下执行，无法在system:admin用户下执行，所以必须先登录普通用户，同时用户拥有system:image-pruner权限。
精减镜像命令oc adm prune images的用法
为了让镜像不占用过多的磁盘空间，需要对它全精减。很多时候，比如重复地构建镜像，会留下很多不必要的镜像层，而这些镜像层会占用非常多的空间。
oc adm prune images [<options>]
options说明
| 参数 | 说明 |
|---|---|
| --all | 默认:true，删除除了私有镜像仓库中的多余的镜像外，也删除ImageStream中连接外部镜像的ImageStream。如果只删除私有镜像仓库中的镜像则设置--all=false |
| --certificate-authority | 访问私有镜像仓库的证书，openshift中的路径在master节点中的/etc/origin/master/registry.crt。如果是在集群中的master节点执行命令，这个参数不需要添加 |
| --confirm | 确认执行，如果不加只是进行检查演练 |
| --force-insecure | 强制使用不安全的连接，不作证书检查 |
| --keep-tag-revisions=<N> | 默认:3，为每个ImageStream中的每个Tag保留N个镜像 |
| --keep-younger-than=<duration> | 默认:60m，不清理创建时间低于duration时间内的镜像，也不清理任何创建时间低于duration时间的对象引用的镜像 |
| --prune-over-size-limit | 清理同一个项目下超过指定LimitRanges的镜像，该先项不能与--keep-tag-revisions和--keep-younger-than同时使用 |
| --registry-url | 私有镜像链接，如果是在集群中的master节点执行命令，这个参数不需要添加 |
使用
--keep-tag-revisions与--keep-younger-than来清理镜像，以下情况对应的镜像不会被清理
- 创建时间在
--keep-younger-than指定的时间以内的所有Pod - 创建时间在
--keep-younger-than指定的时间以内的所有ImageStream - 所有正在运行的Pod
- 所有状态为pending状态的Pod
- 所有的replication controllers
- 所有的build configurations
- 所有的builds
- ImageStream的状态items下最近的
--keep-tag-revisions镜像
使用
--prune-over-size-limit清理超过指定Limit的镜像，以下情况下指向的镜像不会清理
- 所有正在运行的Pod
- 所有状态为pending状态的Pod
- 所有的replication controllers
- 所有的build configurations
- 所有的builds
注意：以下情况并不会真正删除镜像
- 手动删除image，这只会删除etcd中的数据，不会删除私有仓库中的镜像
oc delete image <sha256:image-id>
oc adm prune用来清理deployments与builds
当然oc adm prune并不仅仅只是用于清理镜像，它还用来清理deployments与builds
oc adm prune deployments/builds [<options>]
options说明
| 参数 | 说明 |
|---|---|
| --confirm | 确认执行，如果不加只是进行检查演练 |
| --orphans | 清理所有的deploymentconfig/buildconfig不存在的deployment/build |
| --keep-complete=<N> | 默认:5，保留最近N个成功的deployment/build |
| --keep-failed=<N> | 默认：1，保留最近N个出错的deployment/build |
| --keep-younger-than=<duration> | 默认:60m，不清理创建时间低于duration时间内的deployment/build |
实例：清理deployments/builds
oc adm prune deployments --orphans --keep-complete=5 --keep-failed=1 --keep-younger-than=60m --confirm
oc adm prune builds --orphans --keep-complete=5 --keep-failed=1 --keep-younger-than=60m --confirm
定时清理，做到永无后患
$ cat cleanregistry.sh
#!/bin/bash
date
oc login -u admin -p password
oc adm prune builds --orphans --keep-complete=25 --keep-failed=5 --keep-younger-than=60m --confirm
oc adm prune deployments --orphans --keep-complete=25 --keep-failed=10 --keep-younger-than=60m --confirm
oc adm prune images --keep-younger-than=400m --confirm
$ crontab -l
0 0 * * * /usr/bin/cleanregistry.sh >> /var/log/cleanregistry.log 2>&1