their respective owners. 摘要 摘要 此发行注记介绍了 OpenShift Container Platform 的新功能、功能增强、重要的技术变化、以及对以 前版本中的错误作出的主要修正。另外，还包括在此版本正式发行（GA）时存在的已知问题的信 息。 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 生成一个在一个 registry 范围内有效的 ImageContentSourcePolicy 对象 1.2.16. 集群日志记录 Log Forwarding API 已正式发布 在日志消息中添加标签 新的集群日志记录仪表板 用于调整 Fluentd 的新参数 1.2.17. 监控 1.2.17.1. 用户定义项目的监控 1.2.17.2. 对规则更改的警报 1.2.17.3 的外部置备程序（技术预览） 1.4.2.4. TLS 验证返回到 Common Name 字段 1.4.2.5. 删除了对 Microsoft Azure 的 mint 凭证的支持 1.5. 程序错误修复 1.6. 技术预览功能 1.7. 已知问题 29 29 29 29 29 29 29 29 29 29 29 29 30 30 30 30 30 30 30 30

Platform 4.13 安装 安装 30 此流程解释了如何使用 upgrade 命令从本地主机更新 Red Hat OpenShift 的镜像 registry 。更新至最新版 本可确保新的功能、错误修复和安全漏洞修复。 重要 重要 更新时，镜像 registry 会发生间歇性停机时间，因为它在更新过程中重启。 先决条件 先决条件 您已在本地主机上安装了 Red Hat OpenShift OpenShift 更新 mirror registry 此流程解释了如何使用 upgrade 命令从远程主机更新 Red Hat OpenShift 的镜像 registry 。更新至最新版 本可确保程序错误修复和安全漏洞。 重要 重要 更新时，镜像 registry 会发生间歇性停机时间，因为它在更新过程中重启。 先决条件 先决条件 您已在远程主机上安装了 Red Hat OpenShift 的镜像 命令行参数的更多信息，请参阅"Mirror registry for Red Hat OpenShift 标志"。 4.2.10.11.2. 程序 程序错误 错误修复 修复 在以前的版本中，当试图卸载 mirror registry for Red Hat OpenShift 时会返回以下错误：["Error: no container with name or ID \"quay-postgres\" found:

连接的安装 接的安装镜 镜像 像 31 此流程解释了如何使用 upgrade 命令从本地主机更新 Red Hat OpenShift 的镜像 registry 。更新至最新版 本可确保新的功能、错误修复和安全漏洞修复。 重要 重要 更新时，镜像 registry 会发生间歇性停机时间，因为它在更新过程中重启。 先决条件 先决条件 您已在本地主机上安装了 Red Hat OpenShift OpenShift 更新 mirror registry 此流程解释了如何使用 upgrade 命令从远程主机更新 Red Hat OpenShift 的镜像 registry 。更新至最新版 本可确保程序错误修复和安全漏洞。 重要 重要 更新时，镜像 registry 会发生间歇性停机时间，因为它在更新过程中重启。 先决条件 先决条件 您已在远程主机上安装了 Red Hat OpenShift 的镜像 命令行参数的更多信息，请参阅"Mirror registry for Red Hat OpenShift 标志"。 4.2.10.11.2. 程序 程序错误 错误修复 修复 在以前的版本中，当试图卸载 mirror registry for Red Hat OpenShift 时会返回以下错误：["Error: no container with name or ID \"quay-postgres\" found:

OpenShift Container Platform 生命周期政策 概述了发行版本兼 容性。 1.1. 日志记录 5.4.9 此发行版本包括 OpenShift Logging 程序错误修复 5.4.9 。 1.1.1. 程序错误修复 在此次更新之前，Fluentd 收集器会警告未使用的配置参数。在这个版本中，删除了这些配置参 数及其警告信息。(LOG-3074) 在此次更新之前，Kibana 有一个固定的 有一个固定的 24h OAuth cookie 过期时间，当 accessTokenInactivityTimeout 字段被设置为小于 24h 的值时，会导致 Kibana 中的 401 错误。 在这个版本中，Kibana 的 OAuth cookie 过期时间与 accessTokenInactivityTimeout 同步，默 认值为 24h。(LOG-3306) 1.1.2. CVE CVE-2016-3709 CVE-2022-37434 CVE-2022-39399 1.2. LOGGING 5.4.8 此发行版本包括 RHSA-2022:7435-OpenShift Logging 程序错误修复 5.4.8。 1.2.1. 程序错误修复 第 第 1 章 章 LOGGING 发 发行注 行注记 记 7 无。 1.2.2. CVE CVE-2016-3709 CVE-2020-35525 CVE-2020-35527

方法转发日志已被弃用 1.2.1.3. 程序错误修复 1.2.2. OpenShift Logging 5.0.9 1.2.2.1. 程序错误修复 1.2.2.2. CVE 1.2.3. OpenShift Logging 5.0.8 1.2.3.1. 程序错误修复 1.2.4. OpenShift Logging 5.0.7 1.2.4.1. 程序错误修复 1.2.4.2. CVE 1.2 5.1. 程序错误修复 1.2.5.2. CVE 1.2.6. OpenShift Logging 5.0.5 1.2.6.1. 安全修复 1.2.7. OpenShift Logging 5.0.4 1.2.7.1. 安全修复 1.2.7.2. 程序错误修复 1.2.8. OpenShift Logging 5.0.3 1.2.8.1. 安全修复 1.2.8.2. 程序错误修复 1.2 2.9. OpenShift Logging 5.0.2 1.2.9.1. 程序错误修复 1.2.10. OpenShift Logging 5.0.1 1.2.10.1. 程序错误修复 1.2.11. OpenShift Logging 5.0.0 1.2.11.1. 新功能及功能增强 Cluster Logging 变为 Red Hat OpenShift Logging 每个索引最多五个主分片

their respective owners. 摘要 摘要 此发行注记介绍了 OpenShift Container Platform 的新功能、功能增强、重要的技术变化、以及对以 前版本中的错误作出的主要修正。另外，还包括在此版本正式发行（GA）时存在的已知问题的信 息。 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1.2. OPENSHIFT CONTAINER PLATFORM 层次和依赖组件支持和兼容性 1.3. 新功能及功能增强 1.4. 主要的技术变化 1.5. 弃用和删除的功能 1.6. 程序错误修复 1.7. 技术预览功能 1.8. 已知问题 1.9. 异步勘误更新 3 3 3 4 29 31 35 47 53 60 目 目录 录 1 OpenShift Container Bare Metal Host 自定义资源 (CR) 现在包含 ValidatingWebhooks 参数。使用这个参数，Bare Metal Operator 会在接受 CR 前捕获任何配置错误，并将配置错误返回给用户。 1.3.2.20. 在 在 AWS 本地区中快速安装集群 本地区中快速安装集群 对于 OpenShift Container Platform 4.14，您可以在 Amazon

OpenShift Container Platform 集群和容器时，这些连接会 被正确加密。 OpenShift Container Platform 组件以 Go 编写，并使用红帽的 golang 编译器构建。当您为集群启用 FIPS 模式时，所有需要加密签名的 OpenShift Container Platform 组件调用 RHEL 和 RHCOS 加密程序 库。 表 表 2.1. OpenShift FIPS。 FIPS 验证的/Modules in Process 的加密模块和算法， 它们从 RHEL 7 和 RHCOS 二进制文件和镜像中获 得。 使用 FIPS 兼容 golang 编译器。 对 TLS FIPS 的支持当前还不完整，但计划在将来的 OpenShift Container Platform 版本中被完全支持。 2.2. 集群使用的组件支持 FIPS 尽管 OpenShift 钥。对于这两种方式，simple-kmod 服务示例都会创建一个 systemd 单元文件，它需要一个 kmods-via- containers@simple-kmod.service 注意 注意 systemd 单元是 上游程序错误的一个临时解决方案。确保 kmods-via- containers@simple-kmod.service 在引导时启动： 1. 获取 RHEL 8 系统，然后注册并订阅它： OpenShift

Subject Alternative Name 的自签名证书，则必须在这个过程中使用 GODEBUG=x509ignoreCN=0 前执行 oc 命令。如果没有设置此变量，oc 命令会失败并显示以 下错误： 流程 流程 在镜像主机上完成以下步骤： 1. 查看 OpenShift Container Platform 下载页面，以确定您要安装的 OpenShift Container Platform Operators 列表中的 cloud-credential。 c. 如果 Conditions 部分中的 Upgradeable 状态为 False，请验证 upgradeable-to 注解没有拼 写错误。 当 Conditions 部分中的 Upgradeable 状态为 True 时，您可以开始 OpenShift Container Platform 升 级。 4.3.4. Mint 模式 install-config.yaml 文件中的这些参数。 重要 重要 openshift-install 命令不验证参数的字段名称。如果指定了不正确的名称，则不会创建相 关的文件或对象，且不会报告错误。确保所有指定的参数的字段名称都正确。 4.5.6.1.1. 所需的配置参数 所需的配置参数 下表描述了所需的安装配置参数： 表 表 4.1. 所需的参数 所需的参数 参数 参数 描述 描述

未设置，则 使用默认的审计日志设置。 表 表 4.5. policyAuditConfig object 字段 字段 类 类型 型 描述 描述 rateLimit 整数 每个节点每秒生成一次的消息数量上限。默认值为每秒 20 条消 息。 maxFileSize 整数 审计日志的最大大小，以字节为单位。默认值为 50000000 或 50 MB。 目的地 目的地 字符串 以下附加审计日志目标之一： 定义了有关在哪里记录什么内容的参数。如果此字段为空，则会启用运 行日志，但禁用访问日志。 access 描述了客户端请求的日志记录方式。如果此字段为空，则禁用 访问日志。 destination 描述日志消息的目的地。 type 是日志的目的地类型： Container 指定日志应该进入 sidecar 容器。Ingress Operator 在 Ingress Controller pod 上配置名为 以接收 Syslog 消息的端点。管理员应该已经配置了一个 自定义 Syslog 实例。 container 描述了 Container 日志记录目的地类型的参数。 目前没有容器日志记录参数，因此此字段必须为空。 syslog 描述了 Syslog 日志记录目的地类型的参数： address 是接收日志消息的 syslog 端点的 IP 地址。 port 是接收日志消息的 syslog 端点的

第 第 11 章 章 使用 使用 BARE METAL EVENT RELAY 监 监控裸机事件 控裸机事件 11.1. 关于裸机事件 11.2. 裸机事件的工作方式 11.3. 安装 AMQ 消息传递总线 11.4. 订阅集群节点的 REDFISH BMC 裸机事件 11.5. 将应用程序订阅到裸机事件 REST API 参考 第 第 12 章 章 访问 访问第三方 第三方监 监控 控 UI 则组件的 pod 仅调度到包含所有 指定标签的节点上。 注意 注意 如果在配置 nodeSelector 约束后监控组件仍然处于 Pending 状态，请检 查 Pod 事件中与污点和容限相关的错误。 要移 要移动 动用于 用于监 监控用 控用户 户定 定义 义的 的项 项目的 目的组 组件 件： a. 在 openshift-user-workload-monitoring 项目中编辑 则组件的 pod 仅调度到包含所有 指定标签的节点上。 注意 注意 如果在配置 nodeSelector 约束后监控组件仍然处于 Pending 状态，请检 查 Pod 事件中与污点和容限相关的错误。 3. 保存文件以使改变生效。新配置中指定的组件会自动移到新节点上。 注意 注意 除非集群管理员为用户定义的项目启用了监控，否则应用到 user-workload- monitoring-config