RHEL 加密库在安装过程中为 FIPS 140-2/140-3 Validation 提交给 NIST。 重要 重要 当以 FIPS 模式运行 Red Hat Enterprise Linux (RHEL) 或 Red Hat Enterprise Linux CoreOS (RHCOS)时，OpenShift Container Platform 核心组件使用 RHEL 加密库，在 x86_64、ppc64le OpenShift 创建镜像 registry。 4.1.2. 为断开连接的安装 mirror 镜像 您可以使用以下流程之一将 OpenShift Container Platform 镜像存储库镜像到您的镜像 registry： 为断开连接的安装 mirror 镜像 使用 oc-mirror 插件为断开连接的安装镜像镜像 4.2. 为 RED HAT OPENSHIFT 创建带有 MIRROR Platform 所需的容器镜像。 如果您已有容器镜像 registry（如 Red Hat Quay），您可以跳过本节并直接 镜像 OpenShift Container Platform 镜像存储库。 4.2.1. 先决条件 OpenShift Container Platform 订阅。 安装了 Podman 3.4.2 或更高版本以及 OpenSSL 的 Red Hat Enterprise

plane 机器都必须使用 RHCOS，其中包括一个 关键的首次启动置备工具，称为 Ignition。这一工具让集群能够配置机器。操作系统更新作为嵌入在容器 镜像中的 Atomic OSTree 存储库交付，该镜像由 Operator 在整个集群中推广。实际的操作系统更改通过 使用 rpm-ostree 在每台机器上作为原子操作原位进行。通过结合使用这些技术，OpenShift Container Platform 您还可以将集群机器配置为在安装过程中使用 FIPS 验证的/Modules in Process 加密库 。 重要 重要 只有在 x86_64 架构中的 OpenShift Container Platform 部署支持 FIPS 验证的/Modules in Process 加密库。 2.2. 安装后为用户准备集群 在安装集群时不需要进行一些配置，但建议在用户访问集群前进行操作。您可以通过自定义组成集群的 OpenShift 创建镜像 registry。 3.1.2. 为断开连接的安装 mirror 镜像 您可以使用以下流程之一将 OpenShift Container Platform 镜像存储库镜像到您的镜像 registry： 为断开连接的安装 mirror 镜像 使用 oc-mirror 插件为断开连接的安装 mirror 镜像 （技术预览） 3.2. 为 RED HAT OPENSHIFT

OpenShift 创建镜像 registry。 4.1.2. 为断开连接的安装 mirror 镜像 您可以使用以下流程之一将 OpenShift Container Platform 镜像存储库镜像到您的镜像 registry： 为断开连接的安装 mirror 镜像 使用 oc-mirror 插件为断开连接的安装镜像镜像 4.2. 为 RED HAT OPENSHIFT 创建带有 MIRROR Platform 所需的容器镜像。 如果您已有容器镜像 registry（如 Red Hat Quay），您可以跳过本节并直接 镜像 OpenShift Container Platform 镜像存储库。 4.2.1. 先决条件 OpenShift Container Platform 订阅。 安装了 Podman 3.4.2 或更高版本以及 OpenSSL 的 Red Hat Enterprise 命令行界面(CLI)工具安装一个较小 的 Red Hat Quay 版本及其所需的组件。mirror registry for Red Hat OpenShift 会自动部署，带有预配置 的本地存储和本地数据库。它还包括自动生成的用户凭证和访问权限，其中只有一个输入集，且不需要额 外配置选项。 mirror registry for Red Hat OpenShift 提供了一个预先确定的网络配置，并在成功时报告部署的组件凭证

页面 面 14.1. 巨页的作用 14.2. 先决条件 14.3. 消耗大页面 第 第 15 章 章 在 在 GLUSTERFS 存 存储 储上 上进 进行 行优 优化 化 15.1. 数据库聚合模式指南 15.2. 测试的应用程序 15.3. 支持列表 15.4. 测试结果 32 32 32 33 33 33 33 34 34 34 36 36 36 36 37 及更新的版本 3.x v3 etcd 3.x 引入了重要的可伸缩性和性能改进，用于减少任意大小集群的 CPU、内存、网络和磁盘要求。 etcd 3.x 还会实施后向兼容的存储 API，促进磁盘 etcd 数据库的两个步骤迁移。出于迁移目 的，OpenShift Container Platform 3.5 中 etcd 3.x 使用的存储模式保留在 v2 模式中。自 OpenShift Container Platform Platform 版本升 级不会自动将数据从 v2 迁移到 v3。您必须使用提供的 playbook，并遵循记录的流程来迁移数据。 etcd 版本 3 实现了向后兼容的存储 API，有助于对磁盘 etcd 数据库进行两步迁移。出于迁移目 的，OpenShift Container Platform 3.5 中 etcd 3.x 使用的存储模式保留在 v2 模式中。自 OpenShift Container Platform

WINDOWS 机器集 第 第 6 章 章 调 调度 度 WINDOWS 容器工作 容器工作负载 负载 先决条件 6.1. WINDOWS POD 放置 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 6.3. WINDOWS 容器工作负载部署示例 6.4. 手动扩展机器集 第 第 7 章 章 WINDOWS 节 节点升 点升级 级 7.1. WINDOWS MACHINE CONFIG 会验证端点对象是否存在。因此，WMCO 可以启动并协调无效的或错误配置的端 点对象。(OCPBUGS-4336) 在以前的版本中，containerd 容器运行时在每个 Windows 节点上报告了一个不正确的版本，因 为存储库标签没有传播到构建系统。此配置会导致 containerd 将其 Go 构建版本报告为每个 Windows 节点的版本。在这个版本中，在构建期间将正确的版本注入二进制文件，以便 containerd pod 放置 使用节点污点控制 pod 放置 使用节点选择器将 pod 放置到特定节点 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 使用 RuntimeClass 对象简化了调度机制的使用，如污点和容限 ; 您可以部署一个运行时类来封装您的污 点和容限，然后将其应用到 pod，再将它们调度到适当的节点。在支持多个操作系统变体的集群中，还需 要创建运行时类。 第 第 6 章

CNI 集群网络供应商的配置字段。 表 表 4.4. ovnKubernetesConfig object 字段 字段 类 类型 型 描述 描述 mtu integer Geneve（通用网络虚拟化封装）覆盖网络的最大传输单元 (MTU)。这个值通常是自动配置的。 genevePort 整数 整数 Geneve 覆盖网络的 UDP 端口。 ipsecConfig 对 对象 象 如果存在该字段，则会为集群启用 表 6.1. TLS 安全配置集 安全配置集 profile 描述 描述 OpenShift Container Platform 4.9 网 网络 络 32 Old 此配置集用于旧的客户端或库。该配置集基于旧的向后兼容性建议配置。 Old 配置集要求最低 TLS 版本 1.0。 注意 注意 对于 Ingress Controller，最小 TLS 版本从 1.0 转换为 1.1。 Intermediate 1.1.5. 用于容器 用于容器应 应用程序的 用程序的 DPDK 库 库 一个可选的库 app-netutil 提供了几个 API 方法，用于从该 pod 中运行的容器内收集 pod 的网络信息。 此库可以将 SR-IOV 虚拟功能（VF）集成到 Data Plane Development Kit（DPDK）模式中。该程序库提 供 Golang API 和 C API。 当前，采用三个 API

Pipeline 构建策略来实现复杂的工作流： 持续集成 持续部署 1.1.1. Docker 构建 Docker 构建策略调用 docker build 命令，它需要一个含有 Dockerfile 的存储库并且其中包含所有必要的 工件，从而能生成可运行的镜像。 1.1.2. Source-to-Image (S2I) 构建 Source-to-Image (S2I) 是一种用于构建可重复生成的 Docker OpenShift Container Platform 启动、监控和管理，其方式与任何其他构建类型相同。 Pipeline 工作流在 Jenkinsfile 中定义，或直接嵌入在构建配置中，或者在 Git 存储库中提供并由构建配置 引用。 第 第 1 章 章 理解 理解镜 镜像 像构 构建 建 5 1 2 第 2 章 了解构建配置 以下小节定义了构建概念 BuildConfig，并概述了可用的主要构建策略。 Custom 策 略。示例中使用了 ruby-20-centos7 容器镜像，Source-To-Image 使用该镜像来进行应用程序构 建。 成功构建容器镜像后，它将被推送到 output 部分中描述的存储库。 postCommit 部分定义一个可选构建 hook。 第 第 2 章 章 了解 了解构 构建配置 建配置 7 第 3 章 创建构建输入 通过以下小节查看构建输入的概述，并了解如何使用输

etcd_mvcc_db_total_size_in_use_in_bytes，表示历史压缩后实际数据库使用量 etcd_mvcc_db_total_size_in_bytes 显示数据库大小，包括等待碎片整理的可用空间 在导致磁盘碎片的事件后（如 etcd 历史记录紧凑）对 etcd 数据进行清理以回收磁盘空间。 历史压缩将自动每五分钟执行一次，并在后端数据库中造成混乱。此碎片空间可供 etcd 使用，但主机文 件系统不可用。您必须对碎片 Prometheus 警报指示您需要手动进行碎片处理。该警报在两个情况下显示： 当 etcd 使用超过 50% 的可用空间超过了 10 分钟 当 etcd 活跃使用小于其数据库总大小的 50% 超过了 10 分钟 您还可以通过检查 etcd 数据库大小（MB）来决定是否需要进行碎片整理。通过 PromQL 表达 (etcd_mvcc_db_total_size_in_bytes - etcd_mvcc_d 缩性和性能 性和性能 20 输 输出示例 出示例 如果发生超时错误，增加 --command-timeout 的值，直到命令成功为止。 d. 验证数据库大小是否已缩小： 输 输出示例 出示例 本例显示这个 etcd 成员的数据库大小现在为 41 MB，而起始大小为 104 MB。 e. 重复这些步骤以连接到其他 etcd 成员并进行碎片处理。最后才对领导进行碎片清除。 至少要在碎片处理操作之间等待一分钟，以便

OVN-Kubernetes 网络插件的配置字段： 表 表 5.4. ovnKubernetesConfig object 字段 字段 类 类型 型 描述 描述 mtu integer Geneve（通用网络虚拟化封装）覆盖网络的最大传输单元 (MTU)。这个值通常是自动配置的。 genevePort 整数 整数 Geneve 覆盖网络的 UDP 端口。 ipsecConfig object 如果存在该字段，则会为集群启用 7.1. TLS 安全配置集 安全配置集 profile 描述 描述 OpenShift Container Platform 4.13 网 网络 络 42 Old 此配置集用于旧的客户端或库。该配置集基于旧的向后兼容性建议配置。 Old 配置集要求最低 TLS 版本 1.0。 注意 对于 Ingress Controller，最小 TLS 版本从 1.0 转换为 1.1。 Intermediate 继续提供所有路由，除非 namespaceSelector 或 routeSelector 字段包含用于排除的路由。有关如何从默认 Ingress Controller 中排除 路由的更多信息，请参阅这个 红帽知识库解决方案 和"分片默认 Ingress Controller"。 8.1.2. 重叠的分片示例 除了上例中的 finops-router 和 dev-router 外，您也具有 devops-router，它被配置为标签选择器

OpenShift Container Platform 启动、监控和管理，其方式与任何其他构建类型相同。 Pipeline 工作流在 jenkinsfile 中定义，或直接嵌入在构建配置中，或者在 Git 存储库中提供并由构建配置 引用。 2.2. 了解构建配置 以下小节定义了构建、构建配置和可用的主要构建策略的概念。 2.2.1. BuildConfig 构建配置描述单个构建定义，以及一组规定何时创 Custom 策 略。本例使用 ruby-20-centos7 容器镜像， Source-to-image（S2I）用于应用程序构建。 成功构建容器镜像后，它将被推送到 output 部分中描述的存储库。 postCommit 部分定义一个可选构建 hook。 2.3. 创建构建输入 通过以下小节查看构建输入的概述，并了解如何使用输入提供构建操作的源内容，以及如何使用构建环境 和创建 secret。 构建输入提供构建操作的源内容。您可以使用以下构建输入在 OpenShift Container Platform 中提供源， 它们按优先顺序列出： 内联 Dockerfile 定义 从现有镜像中提取内容 Git 存储库 - type: "Generic" generic: secret: "secret101" - type: "ImageChange"