应用程序的基本单元，它由应用程序代码与其依赖项、库和二进制 文件一起打包。容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有 云。 Linux 容器技术是一种轻量型机制，用于隔离运行中的进程，仅限制对指定的资源的访问。作为管理员， 您可以在 Linux 容器上执行各种任务，例如： 将文件复制到一个容器中或从容器中复制。 允许容器消耗 API 对象。 在容器中执行远程命令。 有些应用程序需要密码和用户名等敏感信息，但您不希望开发人员持有这些信息。 作为管理员，您可以使用 Secret 对象在不以明文方式公开的前提下提供此类信息。 2.6.1. 了解 secret Secret 对象类型提供了一种机制来保存敏感信息，如密码、OpenShift Container Platform 客户端配置文 件和私有源存储库凭证等。secret 将敏感内容与 Pod 分离。您可以使用卷插件将 secret 挂载到容器中， secret。可以通过三种方式将 secret 用于 Pod： 为容器产生环境变量。 作为挂载到一个或多个容器上的卷中的文件。 在拉取 Pod 的镜像时通过 kubelet 使用。 卷类型 secret 使用卷机制将数据作为文件写入到容器中。镜像拉取 secret 使用服务帐户，将 secret 自动 注入到命名空间中的所有 pod。 当模板包含 secret 定义时，模板使用提供的 secret 的唯一方法是确保验证

应用的基本单元，其中包含打包的应用程序代码及其依赖项、库和 二进制文件。容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有 云。 Linux 容器技术是隔离运行进程并仅限制对指定资源的访问的轻量机制。作为管理员，您可以在 Linux 容 器上执行各种任务，例如： 将文件复制到容器中或从容器中 复制。 允许容器使用 API 对象。 在容器中执行远程命令。 使用端口转发来访问容器中的应用。 对象在不以明文方式公开的前提下提供此 象在不以明文方式公开的前提下提供此类 类信息。 信息。 2.6.1. 了解 了解 secret Secret 对 对象 象类 类型提供了一种机制来保存敏感信息，如密 型提供了一种机制来保存敏感信息，如密码 码、 、OpenShift Container Platform 客 客户 户端配 端配 置文件和私有源存 置文件和私有源存储库 储库凭 凭证 证等。 等。secret 在拉取 在拉取 Pod 的 的镜 镜像 像时 时通 通过 过 kubelet 使用。 使用。 卷 卷类 类型 型 secret 使用卷机制将数据作 使用卷机制将数据作为 为文件写入到容器中。 文件写入到容器中。镜 镜像拉取 像拉取 secret 使用服 使用服务帐户 务帐户，将 ，将 secret 自 自动 动注入到命名空 注入到命名空间 间中的所有

赖于将元数据永久存储到一个日志 (WAL)，所以 etcd 对磁盘的写延迟非常敏感。减慢来自其他进程的磁 盘活动和磁盘活动可能会导致长时间的 fsync 延迟。 这些延迟可能会导致 etcd 丢失心跳，不会及时向磁盘提交新的建议，并最终遇到请求超时和临时丢失问 题。高写入延迟也会导致 OpenShift API 较慢，这会影响集群性能。由于这些原因，请避免在具有 I/O 敏 感或密集型的 control-plane 。 File 在 OS 中作为要挂载的文件系统导出 也称为网络附加存储（Network Attached Storage，NAS） 取决于不同的协议、实现、厂商及范围，其 并行性、延迟、文件锁定机制和其它功能可 能会有很大不同。 RHEL NFS、NetApp NFS [1] 和供应商 NFS 对象 通过 REST API 端点访问 可配置以在 OpenShift 镜像 registry 是虚拟页到物理页映射的小型硬件缓存。如果在硬件指令中包括的虚拟地址可以 在 TLB 中找到，则其映射信息可以被快速获得。如果没有包括在 TLN 中，则称为 TLB miss。系统将会使 用基于软件的，速度较慢的地址转换机制，从而出现性能降低的问题。因为 TLB 的大小是固定的，因此 降低 TLB miss 的唯一方法是增加页的大小。 巨页指一个大于 4Ki 的内存页。在 x86_64 构架中，有两个常见的巨页大小:

工具验证 OPERATOR 5.12. 验证 OPERATOR 捆绑包 5.13. 高可用性或单节点集群检测和支持 5.14. 使用 PROMETHEUS 配置内置监控 5.15. 配置领导选举机制 5.16. 为多平台支持配置 OPERATOR 项目 5.17. 基于 GO 的 OPERATOR 的对象修剪工具 4 4 4 5 6 6 7 23 25 64 66 68 70 79 kubectl 工具来管理您的 工具来管理您的应用程序？ 用程序？ 这些 API 功能丰富，所有平台均有对应的客户端，并可插入到集群的访问控制/审核中。Operator 会 使用 Kubernetes 的扩展机制“自定义资源定义 (CRD)”支持您的自定义对象，如 MongoDB，它类似于 内置的原生 Kubernetes 对象。 Operator 与 与 Service Broker 的比 的比较？ ？ 有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。 OpenShift Container Platform 4.12 引入了 平台 Operator 类型作为技术预览功能。平台 Operator 机制依 赖于 RukPak 组件，也包含在 OpenShift Container Platform 4.12 中，及其用于管理内容的资源。 OpenShift Container Platform 4

第 6 章 章 调 调度 度 WINDOWS 容器工作 容器工作负载 负载 先决条件 6.1. WINDOWS POD 放置 其他资源 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 6.3. WINDOWS 容器工作负载部署示例 6.4. 手动扩展机器集 第 第 7 章 章 WINDOWS 节 节点升 点升级 级 7.1. WINDOWS MACHINE CONFIG OPERATOR Windows 节点的机器后，就可以使用管理 Linux 节点相同的方法进行管理。同样，将 Windows pod 调度 到适当的 Windows 节点会以相似的方式完成，可以使用污点、容限和节点选择器等机制。 如果在一个集群中，有多个操作系统以及运行多个 Windows OS 变体，您必须使用 RuntimeClass 对象将 Windows pod 映射到基本 Windows OS 变体。例如，如果您在不同 Platform 4.6 OpenShift 的 的 Windows 容器支持 容器支持 26 1 2 3 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 使用 RuntimeClass 对象简化了调度机制的使用，如污点和容限 ; 您可以部署一个运行时类来封装您的污 点和容限，然后将其应用到 pod，再将它们调度到适当的节点。在支持多个操作系统变体的集群中，还需 要创建运行时类。

机器集 第 第 6 章 章 调 调度 度 WINDOWS 容器工作 容器工作负载 负载 先决条件 6.1. WINDOWS POD 放置 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 6.3. WINDOWS 容器工作负载部署示例 6.4. 手动扩展机器集 第 第 7 章 章 WINDOWS 节 节点升 点升级 级 7.1. WINDOWS MACHINE CONFIG OPERATOR Windows 节点的机器后，就可以使用管理 Linux 节点相同的方法进行管理。同样，将 Windows pod 调度 到适当的 Windows 节点会以相似的方式完成，可以使用污点、容限和节点选择器等机制。 如果在一个集群中，有多个操作系统以及运行多个 Windows OS 变体，您必须使用 RuntimeClass 对象将 Windows pod 映射到基本 Windows OS 变体。例如，如果您在不同 使用调度程序控制 pod 放置 使用节点污点控制 pod 放置 使用节点选择器将 pod 放置到特定节点 6.2. 创建 RUNTIMECLASS 对象来封装调度机制 使用 RuntimeClass 对象简化了调度机制的使用，如污点和容限 ; 您可以部署一个运行时类来封装您的污 点和容限，然后将其应用到 pod，再将它们调度到适当的节点。在支持多个操作系统变体的集群中，还需 要创建运行时类。

io/inject 注解，如“自动 sidecar 注入”部分所示。 2.1.6. Istio 基于角色的访问控制功能 Istio 基于角色的访问控制 (RBAC) 提供了可用来控制对某个服务的访问控制机制。您可以根据用户名或者 指定一组属性来识别对象，并相应地应用访问控制。 上游 Istio 社区安装提供的选项包括：标头精确匹配、匹配标头中的通配符，或匹配标头中包括的特定前 缀或后缀。 Red Hat span，并将其放入内部队列 以便进行处理。这允许收集器立即返回到客户端/代理，而不需要等待 span 进入存储。 Storage (Data Store) - 收集器需要一个持久的存储后端。Jaeger 带有一个可插入的机制用于 span 存储。请注意：在这个发行本中，唯一支持的存储是 Elasticsearch。 Query (Query Service) - Query 是一个从存储中检索 trace 的服务。 基于角色的访问控制功能 Istio 基于角色的访问控制 (RBAC) 提供了可用来控制对某个服务的访问控制机制。您可以根据用户名或者 第 第 2 章 章 SERVICE MESH 架 架构 构 15 Istio 基于角色的访问控制 (RBAC) 提供了可用来控制对某个服务的访问控制机制。您可以根据用户名或者 指定一组属性来识别对象，并相应地应用访问控制。 上游 Istio 社区安装提供的选

通讯来提高性能。 添加对 Envoy 的 Secret Discovery Service（SDS）的支持。SDS 是一个更加安全有效地向 Envoy side car proxies 发送 secret 的机制。 match: context: GATEWAY listener: filterChain: filter: 已弃用的功能 已弃用的功能 Mixer 组件在版本 2.0 中已弃用，并将在版本 2.1 中删除。虽然在版本 2.0 中仍支持使用 Mixer 来实现扩 展，但扩展应该已迁移到新的 WebAsembly 机制。 Red Hat OpenShift Service Mesh 2.0 不再支持以下资源类型： Policy（策略） （authentication.istio.io/v1alpha1）不再被支持。根据策略资源中的具体配置， Storage (Data Store) - 收集器需要一个持久的存储后端。Red Hat OpenShift distributed tracing Platform 提供了用于 span 存储的可插拔机制。请注意：在这个发行本中，唯一支持 的存储是 Elasticsearch。 Query (Query Service) - Query 是一个从存储中检索 trace 的服务。 Ingester

版本和应用程序版本。您还可以在 表单和 YAML 编辑器间切换，同时保留输入的值。 Knative 事件工作流已进行了改进： 添加了对 Knative Eventing Channels 的支持，以构建可靠的事件交付机制。 现在，您可以使用相关的代理过滤器为频道和触发器创建订阅，并选择 Knative 服务作为订阅 者。 现在，在创建事件源时，可以从该命名空间中指定 sink 作为任何 Knative 资源，如 时，在部署自动扩展 器时不会注册。现在，在部署集群自动扩展器时这些值会被正确读取。(BZ#1854907) 很少可以部署重复的机器 API 控制器实例。因此，集群可能会泄漏无法访问的机器。现在，领导 选举机制添加到所有机器 API 组件中，以确保不会创建重复的实例。机器 API 控制器仅运行指定 数量的实例。(BZ#1861896) 在 Red Hat Virtualization（RHV）集群上，手动机器扩展可能会失败。从 降级到 4.5 可能会成功。(BZ#1868376) 在以前的版本中，Cloud Credential Operator 领导选举机制使用来自 controller-runtime 的默认 值，因此每 2 秒写入一次 etcd。此发行版本实施了自定义的领导选举机制，该选举机制现在每 90 秒写一次，并在正常关闭时立即释放锁定。(BZ#1858403) Cluster Version Operator

配置 basic-authentication 身份提供程序，以便用户使用针对远程身份提供程序验证 的凭证来登录 OpenShift Container Platform。基本身份验证是一种通用后端集成机制。 请求标头 （Request header） 配置 request-header 身份提供程序，标识请求标头值中的用户，例如 X-Remote- User。它通常与设定请求标头值的身份验证代理一起使用。 配置 basic-authentication 身份提供程序，以便用户使用针对远程身份提供程序验证的凭证来登录 OpenShift Container Platform。基本身份验证是一种通用后端集成机制。 7.4.1. 关于 OpenShift Container Platform 中的身份提供程序 默认情况下，集群中只有 kubeadmin 用户。要指定身份提供程序，您必须创建一个自定义资源（CR） 来描述该身份提供程序并把它添加到集群中。 注意 注意 OpenShift Container Platform 用户名不能包括 /、: 和 %。 7.4.2. 关于基本身份验证 基本身份验证是一种通用后端集成机制，用户可以使用针对远程身份提供程序验证的凭证来登录 OpenShift Container Platform。 由于基本身份验证是通用的，因此您可以在高级身份验证配置中使用此身份提供程序。 $ oc