1MB。 。这 这是 是为 为了防止 了防止创 创建可能会耗尽 建可能会耗尽 apiserver 和 和 kubelet 内存的大型 内存的大型 secret。不 。不过 过， ，创 创建 建许 许多 多较 较小的 小的 secret 也可能会耗尽内存。 也可能会耗尽内存。 2.6.2.2. 创 创建不透明 建不透明 secret 作 作为 为管理 管理员 员，您可以 ，您可以创 generation-error-num- OpenShift Container Platform 4.6 节 节点 点 78 1 1 2 2.7.1. 了解配置映射 了解配置映射 许 许多 多应 应用程序需要使用配置文件、命令行参数和 用程序需要使用配置文件、命令行参数和环 环境 境变 变量的某些 量的某些组 组合来 合来进 进行配置。在 行配置。在 OpenShift Container ，会保持绑 绑定 定 5 分 分钟 钟。 。 您可以根据需要配置 您可以根据需要配置这 这些容限。例如，如果您有一个具有 些容限。例如，如果您有一个具有许 许多本地状 多本地状态 态的 的应 应用程序，您可能希望在 用程序，您可能希望在发 发 生网 生网络 络分区 分区时让 时让 pod 与 与节 节点保持 点保持绑 绑定更久一些，以等待分区恢复并避免 定更久一些，以等待分区恢复并避免

仅适用于 OpenShift Container Platform x86_64。 此发行版本只支持在 OpenShift 集群中包含所有 Service Mesh 组件的配置。它不支持在集群之外 或在多集群场景中管理微服务。 这个版本只支持没有集成外部服务的配置，比如虚拟机。 1.3.1. Red Hat OpenShift Service Mesh 支持的 Kiali 配置 Kiali 观察控制台只支持 行注记 记 5 本发行版本中的其他显著变化包括： Kubernetes Container Network Interface (CNI) 插件一直被启用。 control plane 默认配置为多租户。单租户、集群范围内的 control plane 配置功能已弃用。 通过 OperatorHub 安装 Elasticsearch 、Jaeger 、Kiali 和 Service Mesh Operators。 OpenShift 4 Beta on AWS 中，默认无法通过端口 80 之外的 ingress 网关访问 TCP 或 HTTPS 服务。AWS 负载均衡器有一个健康检查，它可验证服务端点中的端口 80 是否活 跃。如果服务没有在端口 80 中运行，负载均衡器健康检查就会失败。 MAISTRA-348 OpenShift 4 Beta on AWS 不支持端口 80 或 443 之外的 ingress 网关流量。如果

CONTAINER PLATFORM 集群 14.4. 为 OPENSHIFT CONTAINER PLATFORM 准备 PXE 资产 14.5. 为 KUBERNETES OPERATOR 的多集群引擎准备基于 AGENT 的集群 14.6. 基于代理的安装程序的安装配置参数 第 第 15 章 章 在 在单 单一 一节 节点上安装 点上安装 15.1. 准备在一个节点上安装 15.2 Platform 4。相反，您必须创建新的 OpenShift Container Platform 4 集群，并将 OpenShift Container Platform 3 工作负载迁移到它们。有关迁移的更 多信息，请参阅从 OpenShift Container Platform 3 迁移到 4 概述 。由于必须迁移到 OpenShift Container Platform 4，因此可以使用任何类型的生产环境集群安装过程来创建新集群。 Platform 版 本，以及从最低 4.11.37 版本到最大 4.12.15 版本的更新路径。 ImageSetConfiguration 文件示例 文件示例 使用案例：包含 使用案例：包含对 对于多架 于多架构 构的版本的从最低到最新版本的所有 的版本的从最低到最新版本的所有 OpenShift Container Platform 版本 版本 以下 ImageSetConfiguration 文件使用一个

项目为主机上的 Linux 容器开发了便捷的管理接 口。最近，开放容器计划还为容器格式和容器运行时制定了开放标准。OpenShift Container Platform 和 Kubernetes 增加了在多主机安装之间编排 OCI 和 Docker 格式容器的功能。 尽管在使用 OpenShift Container Platorm 时，您不会直接与容器运行时交互，但了解这些容器运行时的 功能和术语非常重要，有助于了解它们在 否升级到新版本，而不会因为不兼容的新镜像造成问题。下游用户如果使用 image:latest，则可能要承担 引入不兼容更改的风险。 避免多 避免多进 进程 程 不要在同一容器中启动多个服务，如数据库和 SSHD。因为容器是轻量级的，可轻松链接到一起以编排多 个进程，所以没有在同一个容器中启动多个服务的必要。您可以利用 OpenShift Container Platform 将相 关镜像分组到一个 因此，不需要更改权限。 此外，/etc/passwd 文件不应存在于任何容器镜像中。如果这样做，CRI-O 容器运行 时将无法将随机 UID 注入 /etc/passwd 文件。在这种情况下，容器可能会在解决活 跃 UID 时面临挑战。无法满足这些要求可能会影响某些容器化应用的功能。 此外，容器中运行的进程不是以特权用户身份运行，因此不得监听特权端口（低于 1024 的端口）。 重要 重要 如果您的 S2I

PHP。 OpenShift Container Platform 基于 Red Hat Enterprise Linux 和 Kubernetes，为当今的企业级应用程序 提供了一个更加安全、可扩展的多租户操作系统，同时提供了集成的应用程序运行时及程序库。 OpenShift Container Platform 可以满足用户对安全性、隐私、合规性及监管的要求。 1.1. 关于此版本 Red Hat 现已发布。此功能允许使用 OpenSCAP 工具检查部署是否满足安全标准，并提供 补救选项。如需更多信息，请参阅了解 Compliance Operator。 1.2.3.2. 配置 配置 OAuth 令牌不活 令牌不活跃 跃超 超时 时 现在，您可以在 OAuth 令牌已停用一定时间后将其配置为过期。默认情况下，没有设置令牌不活跃超 时。您可以为内部 OAuth 服务器和 OAuth 客户端配置超时。 expiration 周期值，且没有其他 Report 或 ReportQuery CR 依赖于过期的 Report CR，Metering Operator 会在保留期结束后从集群中删除 Report CR。如需更 多信息，请参阅 metering Report CR 过期。 1.2.15. 节点 1.2.15.1. 配置 配置节 节点 点审计 审计日志策略 日志策略 现在，您可以通过选择要使用的审计日志策略

LowNodeUtilization 此配置集尝试在节点间平均分配 pod，以获得每个节点的资源用量较低。这个配置集提供默认的调度 程序行为。 HighNodeUtilization 此配置集会尝试将尽量多的 pod 放置到尽量少的节点。这样可最小化节点数，并且每个节点的资源使 用率很高。 NoScoring 这是一个低延迟配置集，通过禁用所有分数插件来实现最快的调度周期。这可能会为更快的调度决策 提供更好的要求。 绝条目，但它并不会拒绝任何操作。虽然不建议在生产环境系统中使用 permissive 模式，但 permissive 模式会有助于调试。 nosmt：在内核中禁用对称多线程 (SMT)。多线程允许每个 CPU 有多个逻辑线程。您可以在多租 户环境中考虑使用 nosmt，以减少潜在的跨线程攻击风险。禁用 SMT 在本质上相当于选择安全 性而非性能。 如需内核参数的列表和描述，请参阅 Kernel.org 内核参数。 在以下流程中，您要创建一个用于标识以下内容的 例如： 例如： 输 输出示例 出示例 验证 验证 1. 输 输入以下命令 入以下命令验证垃圾 验证垃圾回收是否活 回收是否活跃 跃。您在自定 。您在自定义资 义资源中指定的 源中指定的 Machine Config Pool 会将 会将 UPDATING 显 显示 示为 为“true”，直到更改完全 ，直到更改完全实

MachineHealthCheck 资源可检测机器何时处于不健康状态并将其删除，然后在支持的平台上生成新 的机器。 在 OpenShift Container Platform 版本 3.11 中，您无法轻松地推出多区架构，因为集群不负责管理机器置 备。自 OpenShift Container Platform 版本 4.1 起，此过程变得更加容易。每个计算机器集限定在一个 区，因此安装程序可以代表您的可用区向 CONTAINER PLATFORM 集群中添加 集群中添加 RHEL 计 计算机器 算机器 181 第 10 章 在 OPENSHIFT CONTAINER PLATFORM 集群中添加更 多 RHEL 计算机器 如果 OpenShift Container Platform 集群中已经包含 Red Hat Enterprise Linux (RHEL) 计算机器（也称为 worker），您可以向其中添加更多 机器集入门的过程取决于集群中的 ControlPlaneMachineSet 自定义资源 (CR) 的状态。 生成的具有活 生成的具有活跃 跃状 状态 态的 的 CR 的集群 的集群 生成的具有活跃状态的 CR 的集群默认使用 control plane 机器集。不需要管理员操作。 具有生成的不活 具有生成的不活跃 跃 CR 的集群 的集群 对于包含具有生成的不活跃 CR 的集群，您必须检查 CR 配置并激活

4.8 存 存储 储 14 1. ReadWriteOnce（RWO）卷不能挂载到多个节点上。如果节点失败，系统不允许将附加的 RWO 卷挂载到新节点上，因为它已经分配给了故障节点。如果因此遇到多附件错误消息，请强制在关 闭或崩溃的节点上删除 pod，以避免关键工作负载中的数据丢失，例如在附加动态持久性卷时。 2. 为依赖 AWS EBS 的 pod 使用重新创建的部署策略。 3.3.4. persistent-volume-binder 服 务帐户需要相应的权限，以创建并 获取 Secret 来存储 Azure 存储帐 户和密钥。 GCE 持久性磁盘 (gcePD) kubernetes.io/gce-pd 在多区（multi-zone）配置中，建 议在每个 GCE 项目中运行一个 OpenShift Container Platform 集 群，以避免在当前集群没有节点的 区域中创建 PV。 OpenShift Platform 4.8 存 存储 储 108 2 3 1 2 3 4 5 可用区。如果没有指定可用区，则通常会在所有 OpenShift Container Platform 集群有节点的所有活 跃区域间轮换选择。 在动态部署卷中创建的文件系统。这个值被复制到动态配置的持久性卷的 fstype 字段中，并在第一 个挂载卷时创建文件系统。默认值为 ext4。 7.3.4. RHOSP Manila

14.2. 了解断开连接的安装镜像 14.3. 使用基于代理的安装程序安装 OPENSHIFT CONTAINER PLATFORM 集群 14.4. 为 KUBERNETES OPERATOR 的多集群引擎准备基于 AGENT 的集群 第 第 15 章 章 在 在单 单一 一节 节点上安装 点上安装 15.1. 准备在一个节点上安装 15.2. 在单一节点上安装 OPENSHIFT 第 第 Platform 4。相反，您必须创建新的 OpenShift Container Platform 4 集群，并将 OpenShift Container Platform 3 工作负载迁移到它们。有关迁移的更 多信息，请参阅从 OpenShift Container Platform 3 迁移到 4 概述 。由于必须迁移到 OpenShift Container Platform 4，因此可以使用任何类型的生产环境集群安装过程来创建新集群。 Manager Hybrid Cloud Console 清单正确后，可以由 Telemetry 自动维护，也可 以使用 OpenShift Cluster Manager 手动维护，使用订阅监控来跟踪帐户或多集群级别的 OpenShift Container Platform 订阅。 其他 其他资 资源 源 如需有关 访问和了解 OpenShift Container Platform Web 控制台的更多详情，请参阅

22.1. 关于网络策略 22.2. 创建网络策略 22.3. 查看网络策略 22.4. 编辑网络策略 22.5. 删除网络策略 22.6. 为项目定义默认网络策略 22.7. 使用网络策略配置多租户隔离 第 第 23 章 章 CIDR 范 范围 围定 定义 义 23.1. MACHINE CIDR 23.2. SERVICE CIDR 23.3. POD CIDR 23.4. 主机前缀 . . . . . . . . . . . . . . . . . . . . . . . . . . . . 第 第 25 章 章 多网 多网络 络 25.1. 了解多网络 25.2. 配置额外网络 25.3. 关于虚拟路由和转发 25.4. 配置多网络策略 25.5. 将 POD 附加到额外网络 25.6. 从额外网络中删除 POD 25.7. 编辑额外网络 25.8. 删除额外网络 26.6. 配置 SR-IOV INFINIBAND 网络附加 26.7. 将 POD 添加到额外网络 26.8. 为 SR-IOV 网络配置接口级别网络 SYSCTL 设置 26.9. 配置高性能多播 26.10. 使用 DPDK 和 RDMA 26.11. 使用 POD 级别绑定 26.12. 配置硬件卸载 (OFFLOADING) 26.13. 将 BLUEFIELD-2 从 DPU 切换到