管理警 管理警报 报 9.1. 在 ADMINISTRATOR 和 DEVELOPER 视角中访问 ALERTING UI 9.2. 搜索和过滤警报、静默和警报规则 9.3. 获取关于警报、静默和警报规则的信息 9.4. 管理警报规则 9.5. 管理静默 9.6. 将通知发送到外部系统 9.7. 应用自定义 ALERTMANAGER 配置 9.8. 后续步骤 第 第 10 章 章 查 查看 5 Prometheus Prometheus 是 OpenShift Container Platform 监控堆 栈所依据的监控系统。Prometheus 是一个时间序列数 据库和用于指标的规则评估引擎。Prometheus 将警报 发送到 Alertmanager 进行处理。 Prometheus Adapter Prometheus Adapter（上图中的 PA）负责转换 Kubernetes Alertmanager 进行处 理。 Thanos Ruler Thanos Ruler 是 Prometheus 的一个规则评估引擎， 作为一个独立的进程来部署。在 OpenShift Container Platform 4.10 中，Thanos Ruler 为监控用户定义的项 目提供规则和警报评估。 组 组件 件 描述 描述 注意 注意 在为用户定义的项目启用监控后，会部署上表中的组件。 监控堆栈中的所有组件都由堆栈监控，并在

出口防火墙在一个项目中的工作原理 13.3.1.1. 出口防火墙的限制 13.3.1.2. 出口防火墙策略规则的匹配顺序 13.3.1.3. 域名服务器 (DNS) 解析如何工作 13.3.2. EgressNetworkPolicy 自定义资源 (CR) 对象 13.3.2.1. EgressNetworkPolicy 规则 13.3.2.2. EgressNetworkPolicy CR 对象示例 13.3 1. 先决条件 13.14.2. 接合项目 13.14.3. 隔离项目 13.14.4. 对项目禁用网络隔离 13.15. 配置 KUBE-PROXY 13.15.1. 关于 iptables 规则同步 13.15.2. kube-proxy 配置参数 13.15.3. 修改 kube-proxy 配置 第 第 14 章 章 OVN-KUBERNETES 默 默认 认 CNI 网 网络 络供 为项目配置出口防火墙 14.4.1. 出口防火墙在一个项目中的工作原理 14.4.1.1. 出口防火墙的限制 14.4.1.2. 出口防火墙策略规则的匹配顺序 14.4.2. EgressFirewall 自定义资源（CR）对象 14.4.2.1. EgressFirewall 规则 14.4.2.2. EgressFirewall CR 对象示例 14.4.3. 创建出口防火墙策略对象 14.5. 查看项目的出口防火墙

对象的值在下表中定义： 表 表 4.6. kubeProxyConfig object 字段 字段 类 类型 型 描述 描述 iptablesSyncPeriod 字符串 字符串 iptables 规则的刷新周期。默认值为 30s。有效的后 缀包括 s、m 和 h，具体参见 Go 时间 时间 包 文档。 注意 注意 由于 OpenShift Container Platform 4.3 及更高版本中引进了性能改进， 及更高版本中引进了性能改进， 不再需要调整 iptablesSyncPeriod 参数。 proxyArguments.iptables- min-sync-period array 刷新 iptables 规则前的最短持续时间。此字段确保刷 新的频率不会过于频繁。有效的后缀包括 s、m 和 h，具体参见 Go time 软件包。默认值为： 4.5.2. Cluster Network Operator 范围创建一个组。 OPENSHIFT_HA_IPTABLES_CHA IN 输入 iptables 链的名称，用于自动添加允许 VRRP 流量的 iptables 规则。如果没有设置值，则不会添加 iptables 规则。如果链不存在，则不会创建它。 OPENSHIFT_HA_CHECK_SCRIP T 定期运行的脚本的 pod 文件系统中的完整路径名称， 以验证应用是否正在运行。

使用关联性和反关联性规则相对于其他 POD 放置 POD 3.3.1. 了解 pod 关联性 3.3.2. 配置 pod 关联性规则 3.3.3. 配置 pod 反关联性规则 3.3.4. pod 关联性和反关联性规则示例 3.3.4.1. Pod 关联性 3.3.4.2. Pod 反关联性 3.3.4.3. 无匹配标签的 Pod 反关联性 3.4. 使用节点关联性规则控制节点上的 POD POD 放置 3.4.1. 了解节点关联性 3.4.2. 配置节点关联性必要规则 3.4.3. 配置首选的节点关联性规则 3.4.4. 节点关联性规则示例 3.4.4.1. 具有匹配标签的节点关联性 3.4.4.2. 没有匹配标签的节点关联性 3.4.5. 其他资源 3.5. 将 POD 放置到过量使用的节点 3.5.1. 了解过量使用 3.5.2. 了解节点过量使用 3.6. 使用节点污点控制 OpenShift Container Platform 集群中的 pod。 使用 OpenShift Container Platform 中可用的高级调度功能控制 pod 调度： 节点对 pod 绑定规则，如 pod关联性、节点关联性 和反关联性。 节点标签和选择器。 污点和容限。 Pod 拓扑分布限制。 自定义调度程序. 将 descheduler 配置为根据特定策略驱除 pod，以便调度程序将

NODE FIREWALL OPERATOR 9.3. 部署 INGRESS NODE FIREWALL OPERATOR 9.4. 查看 INGRESS NODE FIREWALL OPERATOR 规则 9.5. 对 INGRESS NODE FIREWALL OPERATOR 进行故障排除 第 第 10 章 章 为 为手 手动 动 DNS MANAGEMENT 配置 配置 INGRESS CONTROLLER OPENSHIFT SDN 网络供应商 27.7. 从 KURYR 网络插件迁移到 OVN-KUBERNETES 网络插件 27.8. 转换为 IPV4/IPV6 双栈网络 27.9. 出口防火墙和网络策略规则的日志记录 27.10. 配置 IPSEC 加密 27.11. 为项目配置出口防火墙 27.12. 查看项目的出口防火墙 27.13. 为项目编辑出口防火墙 27.14. 从项目中删除出口防火墙 使用扩展的 Berkley Packet Filter (eBPF) 和 eXpress Data Path (XDP) 插件来处理节点防火墙规则，更新统计信息并为丢弃的流量生成事件。Operator 管理入口节点防火墙资 源，验证防火墙配置，不允许错误配置规则来防止集群访问，并将 ingress 节点防火墙 XDP 程序加载到规 则对象中的所选接口。如需更多信息，请参阅了解 Ingress Node

hosts 或 notHosts 字段给 出的确切字符串匹配。 如果您使用精确字符串比较的 AuthorizationPolicy 来确定 主机或非主机，则会影响您的集群。 您必须更新授权策略 规则，以使用前缀匹配而不是完全匹配。例如，在第一个 AuthorizationPolicy 示例 中，将 hosts: ["httpbin.com"] 替换为 hosts: ["httpbin.com:*"]。 的问题，则必须完成手动步骤。 1.2.2.23.1. CVE-2021-29492 和 CVE-2021-31920 所需的手动更新 Istio 包含一个可被远程利用的漏洞，当使用基于路径的授权规则时，带有多个斜杠或转义的斜杠字符 （%2F 或 %5C）的 HTTP 请求路径可能会绕过 Istio 授权策略。 例如，假设 Istio 集群管理员定义了一个授权 DENY 策略，以便在路径 /admin "nsenter": executable file not found in $PATH。容器镜像现在包含 nsenter，WASM 可 以正常工作。 MAISTRA-2534 当 istiod 试图为 JWT 规则中指定的签发者获取 JWKS 时，签发者服务会使用 502 响应。这导致代理容器就绪，并导致部署挂起。Service Mesh 2.0.7 版本中包括了对社区程 序漏洞的修复。 MAISTRA-2411

甚至流量图等功 能。Kiali 提供了从应用程序到服务以及负载等不同级别的组件的了解，并可显示与所选图形节点或边缘的 上下文信息和图表的交互。Kiali 还提供了验证 Istio 配置（如网关、目的规则、虚拟服务、网格策略等 等）的功能。Kiali 提供了详细的指标数据，并可使用基本的 Grafana 集成来进行高级查询。通过将 Jaeger 集成到 Kiali 控制台来提供分布式追踪。 默认情况下，Kiali 获取信息，如获取命名空间、服务、部署、pod 和其他实体的定 义。Kiali 还提供查询来解析不同集群实体之间的关系。另外，还可以通过查询集群 API 以获取 Istio 配置，比如虚拟服务、目的规则、路由规则、网关、配额等等。 Jaeger - Jaeger 是可选的，但会作为 Red Hat OpenShift Service Mesh 安装的一部分被默认安 装。当作为 Red Hat OpenShift istio-ingressgateway -o jsonpath='{.spec.host}') 4.3.3. 添加默认目的地规则 在使用 Bookinfo 应用程序前，您必须添加默认的目的地规则。根据您是否启用了 mutual TLS 验证，预先 配置两个 YAML 文件。 流程 流程 1. 要添加目的地规则，请运行以下命令之一： 如果没有启用 mutual TLS： 如果启用了 nutual TLS：

使用关联性和反关联性规则相对于其他 POD 放置 POD 3.4.1. 了解 pod 关联性 3.4.2. 配置 pod 关联性规则 3.4.3. 配置 pod 反关联性规则 3.4.4. pod 关联性和反关联性规则示例 3.4.4.1. Pod 关联性 3.4.4.2. Pod 反关联性 3.4.4.3. 无匹配标签的 Pod 反关联性 3.5. 使用节点关联性规则控制节点上的 POD POD 放置 3.5.1. 了解节点关联性 3.5.2. 配置节点关联性必要规则 3.5.3. 配置首选的节点关联性规则 3.5.4. 节点关联性规则示例 3.5.4.1. 具有匹配标签的节点关联性 3.5.4.2. 没有匹配标签的节点关联性 3.5.5. 其他资源 3.6. 将 POD 放置到过量使用的节点 3.6.1. 了解过量使用 3.6.2. 了解节点过量使用 3.7. 使用节点污点控制 OpenShift Container Platform 集群中管理 pod。 使用 OpenShift Container Platform 中可用的高级调度功能控制 pod 调度： 节点到 pod 的绑定规则，如 pod 关联性、节点关联性 和 反关联性。 节点标签和选择器。 污点和容限。 Pod 拓扑分布约束。 自定义调度程序。 配置 descheduler 以根据特定策略驱除 pod，以便调度程序将

新的集群日志记录仪表板 用于调整 Fluentd 的新参数 1.2.17. 监控 1.2.17.1. 用户定义项目的监控 1.2.17.2. 对规则更改的警报 1.2.17.3. Prometheus 规则验证 1.2.17.4. 为 Thanos Querier 添加了指标和警报规则 1.2.17.5. 虚拟机的 Pending Changes 警报已更新 1.2.18. Insights Operator Kiali 链接导航到右侧命名空间中配置的 Kiali 仪表板。 Monitoring 视图现在可以过滤 Monitoring 仪表板中特定于资源的指标。您也可以查看触发警 报、静默并查看为项目配置的警报规则。 1.2.6. 扩展 1.2.6.1. 集群最大限制 集群最大限制 针对 OpenShift Container Platform 4.6 的集群最大限制指导信息已更新。 使用 OpenShift 主机网络 络 Ingress Controller 当使用 OVN-Kubernetes 集群网络供应商时，您可以在网络策略规则中选择 Ingress Controller 的流量， 无论 Ingress Controller 在集群网络还是主机网络上运行。在网络策略规则中，policy - group.network.openshift.io/ingress="" 命名空间选择器标签与 Ingress

Operator。它是 Operator 容器镜像附带的元数据，用于在用户界面填充徽标、描 述和版本等信息。 此外，CSV 还是运行 Operator 所需的技术信息来源，类似于其需要的 RBAC 规则及其管理或依赖的自定 义资源 (CR)。 2.3.1.7. 依 依赖项 Operator 可能会依赖于集群中存在的另一个 Operator。例如，Vault Operator 依赖于 etcd Operator 束示例 CEL 语法支持广泛的逻辑运算符，如 AND 和 OR。因此，单个 CEL 表达式可以具有多个规则，这些条件 由这些逻辑运算符链接在一起。这些规则针对来自捆绑包或任何给定源的多个不同属性的数据评估，输出 可以解决单一约束内满足所有这些规则的捆绑包或 Operator。 使用多个 使用多个规则的 的 cel 约束示例 束示例 dependencies: - type: olm.package restricted 权限 运行，建议您手动将此字段设置为 legacy。 CatalogSource 有一个 priority 字段，解析器使用它来知道如何为依赖关系设置首选选项。 目录首选项有两个规则： 优先级较高目录中的选项优先于较低优先级目录的选项。 name: blue versionRange: '>=1.0.0'