OpenShift Container Platform 4.13 认证和授权 为用户和服务配置用户身份验证和访问控制 Last Updated: 2024-02-17 OpenShift Container Platform 4.13 认证和授权 为用户和服务配置用户身份验证和访问控制 法律通告 法律通告 Copyright © 2024 Red Hat, Inc. The text 录 第 第 1 章 章 身份 身份验证 验证和授 和授权 权概述 概述 1.1. OPENSHIFT CONTAINER PLATFORM 身份验证和授权的常见术语表 1.2. 关于 OPENSHIFT CONTAINER PLATFORM 中的身份验证 1.3. 关于 OPENSHIFT CONTAINER PLATFORM 中的授权 第 第 2 章 章 了解身份 了解身份验证 验证 123 124 124 124 125 126 127 127 127 127 128 128 OpenShift Container Platform 4.13 认证 认证和授 和授权 权 2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .

尚不支持远程获取和加载 WebAssembly HTTP 过滤器 尚不支持使用 Kubernetes CSR API 的自定义 CA 集成 监控流量的请求分类是一个技术预览功能 通过授权策略的 CUSTOM 操作与外部授权系统集成是一项技术预览功能 1.2.2.12.7. 改进了 Service Mesh operator 性能 Red Hat OpenShift Service Mesh 在每个 Service Mesh 包含一个可远程利用的漏洞 CVE-2021-39156，其中 HTTP 请求带有片 段（以 # 字符开头的 URI 末尾的一个部分），您可以绕过 Istio URI 基于路径的授权策略。例如，Istio 授 权策略拒绝发送到 URI 路径 /user/profile 的请求。在存在安全漏洞的版本中，带有 URI 路径 /user/profile#section1 的请求绕过拒绝策略并路由到后端（通过规范的 全事件。 如果您使用带有 DENY 操作和 operation.paths 的授权策略，或者 ALLOW 操作和 operation.notPaths，则会受到此漏洞的影响。 在这个版本中，在授权和路由前会删除请求的 URI 片段部分。这可以防止其 URI 中带有片段的请求绕过基 于 URI 且没有片段部分的授权策略。 要从缓解措施中的新行为中选择，将保留 URI 的片段部分。您可以将 S

运行自定义构建的示例。 注意 注意 使用自定义构建策略需要普通用户默认情况下不具备的权限，因为它允许用户在集群上运 行的特权容器内执行任意代码。此级别的访问权限可被用来进行可能对集群造成损害的操 作，因此应仅授权给信任的用户。 2.6.1. 先决条件 查看如何授予自定义构建权限。 2.6.2. 创建自定义构建工件 您必须创建要用作自定义构建镜像的镜像。 流程 流程 1. 从空目录着手，使用以下内容创建名为 建， 但当前正在运行的构建和最近创建的构建除外。最新的构建接下来运行。 2.10. 在构建中使用红帽订阅 按照以下小节中的内容在 OpenShift Container Platform 上运行授权构建。 2.10.1. 为红帽通用基础镜像创建镜像流标签 要在构建中使用红帽订阅，您可以创建一个镜像流标签来引用通用基础镜像（UBI）。 要让 UBI 在集群中的每个 每个项 项目 目中都可用，您需要将镜像流标签添加到 将订阅权利添加为构建 secret 使用红帽订阅安装内容的构建需要包括做为一个构件 secret 的权利密钥。 先决条件 先决条件 您必须可通过您的订阅访问红帽权利。Insights Operator 会自动创建授权 secret。 提示 提示 使用 Red Hat Enterprise Linux(RHEL)7 执行 Entitlement Build 时，在运行任何 yum 命令前，必须在 Dockerfile

中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类基础架构上执行受限网络安 装。 操作系统的计算机上运行以下命令： 5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret 。通过此 pull secret，您可以进行所 含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容 器镜像的 Quay.io。 4.4.5. 部署集群 您可以在兼容云平台中安装 OpenShift 1 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类基础架构上执行受限网络安 装。

Platform 4.8 安装 安装 54 1 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类基础架构上执行受限网络安 装。 操作系统的计算机上运行以下命令： 5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret 。通过此 pull secret，您可以进行所 含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容 器镜像的 Quay.io。 4.4.5. 部署集群 您可以在兼容云平台中安装 OpenShift 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类基础架构上执行受限网络安 装。

OpenShift Data Foundation 高级授权 有效的 Red Hat Advanced Cluster Management for Kubernetes 订阅 任何包含 PV（包括作为源或目标）的 PV 的 Red Hat OpenShift Data Foundation 集群都需要 OpenShift Data Foundation 高级授权。此订阅应该在源和目标集群上处于活跃状态。 OpenShift Data Foundation 高级 SKU 和相关捆绑包授权。 先决条件 先决条件 Red Hat OpenShift Data Foundation 支持的灾难恢复功能需要满足以下所有先决条件，才能成功实施灾 难恢复解决方案： 有效的 Red Hat OpenShift Data Foundation 高级授权 有效的 Red Hat Advanced Cluster Management OpenShift Data Foundation 高级 SKU 和相关捆绑包授权。 先决条件 先决条件 Red Hat OpenShift Data Foundation 支持的灾难恢复功能需要满足以下所有先决条件，才能成功实施灾 难恢复解决方案： 有效的 Red Hat OpenShift Data Foundation 高级授权 有效的 Red Hat Advanced Cluster Management

manifests 目录名称。该目录在后续过程中被引用。 注意 注意 Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失 败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此 临时解决方案的更多信息，请参阅 linux/amd64、linux/ppc64le、linux/s390x 和 .* 注意 注意 Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失 败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此 临时解决方案的更多信息，请参阅 ALIBABA 上安装 上安装 71 1 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类型的基础架构上执行受限网络 安

manifests 目录名称。该目录在后续过程中被引用。 注意 注意 Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失 败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此 临时解决方案的更多信息，请参阅 linux/s390x, linux/arm64, 和 .* 注意 注意 Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失 败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此 临时解决方案的更多信息，请参阅 OpenShift Cluster Manager Hybrid Cloud Console 以下载安装程序并执行订阅管理。如果 集群可以访问互联网，并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类型的基础架构上执行受限网络 安

中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类基础架构上执行受限网络安 装。 操作系统的计算机上运行以下命令： 5. 从 Red Hat OpenShift Cluster Manager 下载安装 pull secret 。通过此 pull secret，您可以进行所 含授权机构提供的服务的身份验证，这些服务包括为 OpenShift Container Platform 组件提供容 器镜像的 Quay.io。 1.1.8. 在您的系统信任中添加 vCenter root 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类基础架构上执行受限网络安 装。

manifests 目录名称。该目录在后续过程中被引用。 注意 注意 Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失 败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此 临时解决方案的更多信息，请参阅 linux/s390x, linux/arm64, 和 .* 注意 注意 Red Hat Quay 不支持嵌套存储库。因此，运行 oc adm catalog mirror 命令会失 败，并显示 401 未授权错误。作为临时解决方案，您可以在运行 oc adm catalog mirror 命令时使用 --max-components=2 选项来禁用嵌套存储库的创建。有关此 临时解决方案的更多信息，请参阅 1 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay.io，以获取安装集群所需的软件包。 获取执行集群更新所需的软件包。 重要 重要 如果您的集群无法直接访问互联网，则可以在置备的某些类型的基础架构上执行受限网络 安