CONTROLLER 7.9. 其他资源 第 第 8 章 章 OPENSHIFT CONTAINER PLATFORM 中的 中的 INGRESS 分片 分片 8.1. INGRESS CONTROLLER 分片 8.2. 为 INGRESS CONTROLLER 分片创建路由 8 9 9 9 10 13 13 14 14 14 14 14 14 14 15 15 15 16 16 16 NODE FIREWALL OPERATOR 9.3. 部署 INGRESS NODE FIREWALL OPERATOR 9.4. 查看 INGRESS NODE FIREWALL OPERATOR 规则 9.5. 对 INGRESS NODE FIREWALL OPERATOR 进行故障排除 第 第 10 章 章 为 为手 手动 动 DNS MANAGEMENT 配置 配置 INGRESS CONTROLLER OPENSHIFT SDN 网络供应商 27.7. 从 KURYR 网络插件迁移到 OVN-KUBERNETES 网络插件 27.8. 转换为 IPV4/IPV6 双栈网络 27.9. 出口防火墙和网络策略规则的日志记录 27.10. 配置 IPSEC 加密 27.11. 为项目配置出口防火墙 27.12. 查看项目的出口防火墙 27.13. 为项目编辑出口防火墙 27.14. 从项目中删除出口防火墙

设置自定义默认证书 6.8.2. 删除自定义默认证书 6.8.3. 扩展 Ingress Controller 6.8.4. 配置 Ingress 访问日志 6.8.5. Ingress Controller 分片 10 10 10 10 12 12 13 13 13 13 14 14 14 15 15 15 16 17 17 18 18 19 19 20 20 20 21 23 23 . . . . . . . . . . . . . . . . 6.8.5.1. 通过路由标签（label）配置 Ingress Controller 分片 6.8.5.2. 使用命名空间标签配置 Ingress Controller 分片 6.8.6. 配置 Ingress Controller 以使用内部负载均衡器 6.8.7. 将集群的默认 Ingress Controller 配置为内部 出口防火墙在一个项目中的工作原理 13.3.1.1. 出口防火墙的限制 13.3.1.2. 出口防火墙策略规则的匹配顺序 13.3.1.3. 域名服务器 (DNS) 解析如何工作 13.3.2. EgressNetworkPolicy 自定义资源 (CR) 对象 13.3.2.1. EgressNetworkPolicy 规则 13.3.2.2. EgressNetworkPolicy CR 对象示例 13.3

管理默认日志存储的替代选择，您可以使用 Loki Operator。 1.6.2. 程序错误修复 在此次更新之前，OpenShift Logging 仪表板会显示活跃主分片的数量，而不是所有活跃分片。 在这个版本中，仪表板显示所有活跃分片。(LOG-2781) 在此次更新之前，elasticsearch-operator 使用的库中的有一个程序错误，它包含一个拒绝服务 攻击的安全漏洞。在这个版本中， 部署在特定环境中失败。在这个版本中，使用 referencePolicy 解决了这个问题，Operator 可以成功部署 Kibana。(LOG-2791) 在此次更新之前，ClusterLogForwarder 自定义资源的警报规则不会考虑多个转发输出。这个版 本解决了这个问题。(LOG-2640) 在此次更新之前，配置为将日志转发到 Amazon CloudWatch 的集群会将拒绝的日志文件写入到 临时存储，从而导致集群 更新前对配置进行规范化和格式化的逻辑，以便使用 oc edit 轻松编辑配 置。(LOG-2319) 在此次更新之前，FluentdNodeDown 警报无法正确在 message 部分中提供实例标签。在这个版 本中，通过修复警报规则来在部分实例失败时提供实例标签，从而解决了这个问题。(LOG- 2607) 在此次更新之前，在文档中声明支持的几个日志级别（如`critical`）实际并不支持。在这个版本 中，相关的日志级别已被支持。(LOG-2033)

OpenShift Logging 5.0.0 1.2.11.1. 新功能及功能增强 Cluster Logging 变为 Red Hat OpenShift Logging 每个索引最多五个主分片 更新了 OpenShift Elasticsearch Operator 名称和成熟度等级 OpenShift Elasticsearch Operator 报告 CSV 成功 减少 Elasticsearch 12.3. 了解 OPENSHIFT LOGGING 警报 12.3.1. 查看日志记录收集器警报 12.3.2. 关于日志记录收集器警报 12.3.3. 关于 Elasticsearch 警报规则 12.4. 为红帽支持收集日志记录数据 12.4.1. 关于 must-gather 工具 12.4.2. 先决条件 12.4.3. 收集 OpenShift Logging 数据 12.5 每个索引最多五个主分片 每个索引最多五个主分片 在这个版本中，OpenShift Elasticsearch Operator（EO）会根据为集群定义的数据节点数量来设置一个 或多个索引的主分片数量。 在以前的版本中，EO 会将索引的分片数量设置为数据节点的数量。当 Elasticsearch 中的索引被配置为带 有多个副本时，它会为每个主分片创建多个副本，而不是每个索引。因此，因为索引分片，集群中存在更

对象的值在下表中定义： 表 表 4.6. kubeProxyConfig object 字段 字段 类 类型 型 描述 描述 iptablesSyncPeriod 字符串 字符串 iptables 规则的刷新周期。默认值为 30s。有效的后 缀包括 s、m 和 h，具体参见 Go 时间 时间 包 文档。 注意 注意 由于 OpenShift Container Platform 4.3 及更高版本中引进了性能改进， 及更高版本中引进了性能改进， 不再需要调整 iptablesSyncPeriod 参数。 proxyArguments.iptables- min-sync-period array 刷新 iptables 规则前的最短持续时间。此字段确保刷 新的频率不会过于频繁。有效的后缀包括 s、m 和 h，具体参见 Go time 软件包。默认值为： 4.5.2. Cluster Network Operator Container Platform 内置的 OAuth 服务器集成。 namespaceSelector namespaceSelector 用来过滤由 Ingress 控制器提供服务的一组命名空间。这 对实现分片（shard）非常有用。 routeSelector routeSelector 用于由 Ingress Controller 提供服务的一组 Routes。这对实现分 片（shard）非常有用。

作负载的数据平面并提供支持服务。Service Binding Controller 读取由后备服务的 control plane 提供的数 据。然后，它会根据通过 ServiceBinding 资源指定的规则将这些数据到工作负载。 使用 Service Binding Operator，您可以： 将工作负载与 Operator 管理的后备服务绑定。 自动配置绑定数据。 为服务提供商提供低接触管理经验，以调配和管理对服务的访问。 定成功。在这个版本中，Service Binding Operator 会为任何经过身份验证的主体（包括 Developer Sandbox 用户）包含适当的基于角色的访问控制(RBAC)规则。这些 RBAC 规则允许 Service Binding Operator get, list, 和 watch Developer Sandbox 用户的 ClusterWorkloadResourceMapping 6.1.3.2. 已知 已知问题 问题 在单一命名空间安装模式中安装 Service Binding Operator 当前存在一个已知问题。因为缺少一 些命名空间范围的访问控制 (RBAC) 规则，应用程序可能无法成功绑定到 Service Binding Operator 可自动探测和绑定到的、几个已知的 Operator 支持的服务。当发生这种情况时，它会 生成类似以下示例的错误消息：

作负载的数据平面并提供支持服务。Service Binding Controller 读取由后备服务的 control plane 提供的数 据。然后，它会根据通过 ServiceBinding 资源指定的规则将这些数据到工作负载。 使用 Service Binding Operator，您可以： 将工作负载与 Operator 管理的后备服务绑定。 自动配置绑定数据。 为服务提供商提供低接触管理经验，以调配和管理对服务的访问。 -1073 5.1.2.3. 已知 已知问题 问题 目前，当您在单一命名空间安装模式下安装 Service Binding Operator 时，因为缺少一些命名空 间范围的访问控制(RBAC)规则，所以应用程序可能无法成功绑定到 Service Binding Operator 可 自动探测和绑定到的、几个已知的 Operator 支持的服务。另外，还会生成以下出错信息： 错误 错误信息示例 namespace "my-petclinic"` 临时解决方案 1：在 all namespaces 安装模式中安装 Service Binding Operator。这样，会存在 适当的集群范围的 RBAC 规则，绑定会成功。 临时解决方案 2：如果无法在 all namespaces 安装模式下安装 Service Binding Operator，在安 第 第 5 章 章 将 将应 应用程序 用程序连

Ingester 将 trace 批处理到块中，创建 bloom 过滤器和索引，然后将其全部刷新 到后端。 Query Frontend - Query Frontend 负责为传入的查询对搜索空间进行分片。然后，搜索查 询会发送到 Queriers。Query Frontend 部署通过 Tempo Query sidecar 公开 Jaeger UI。 Querier - Querier 负责在 4.14 分布式追踪 分布式追踪 54 elasticsearch: redundancyPolicy: 数据复制策略定义如何在 集群中的数据节点之间复 制 Elasticsearch 分片： 如果没有指定，Red Hat OpenShift distributed tracing Platform (Jaeger) Operator 会自 动根据节点数量决定最合 适的复制。 ZeroRedundancy（无 默认值 认值 es: num-replicas: Elasticsearch 中每个索 引的副本数。 1 es: num-shards: Elasticsearch 中每个索 引的分片数量。 5 表 表 3.10. ES 索引配置参数 索引配置参数 参数 参数 描述 描述 值 值 默 默认值 认值 es: create-index- templates: 设置为

新的集群日志记录仪表板 用于调整 Fluentd 的新参数 1.2.17. 监控 1.2.17.1. 用户定义项目的监控 1.2.17.2. 对规则更改的警报 1.2.17.3. Prometheus 规则验证 1.2.17.4. 为 Thanos Querier 添加了指标和警报规则 1.2.17.5. 虚拟机的 Pending Changes 警报已更新 1.2.18. Insights Operator Kiali 链接导航到右侧命名空间中配置的 Kiali 仪表板。 Monitoring 视图现在可以过滤 Monitoring 仪表板中特定于资源的指标。您也可以查看触发警 报、静默并查看为项目配置的警报规则。 1.2.6. 扩展 1.2.6.1. 集群最大限制 集群最大限制 针对 OpenShift Container Platform 4.6 的集群最大限制指导信息已更新。 使用 OpenShift 主机网络 络 Ingress Controller 当使用 OVN-Kubernetes 集群网络供应商时，您可以在网络策略规则中选择 Ingress Controller 的流量， 无论 Ingress Controller 在集群网络还是主机网络上运行。在网络策略规则中，policy - group.network.openshift.io/ingress="" 命名空间选择器标签与 Ingress

hosts 或 notHosts 字段给 出的确切字符串匹配。 如果您使用精确字符串比较的 AuthorizationPolicy 来确定 主机或非主机，则会影响您的集群。 您必须更新授权策略 规则，以使用前缀匹配而不是完全匹配。例如，在第一个 AuthorizationPolicy 示例 中，将 hosts: ["httpbin.com"] 替换为 hosts: ["httpbin.com:*"]。 的问题，则必须完成手动步骤。 1.2.2.23.1. CVE-2021-29492 和 CVE-2021-31920 所需的手动更新 Istio 包含一个可被远程利用的漏洞，当使用基于路径的授权规则时，带有多个斜杠或转义的斜杠字符 （%2F 或 %5C）的 HTTP 请求路径可能会绕过 Istio 授权策略。 例如，假设 Istio 集群管理员定义了一个授权 DENY 策略，以便在路径 /admin "nsenter": executable file not found in $PATH。容器镜像现在包含 nsenter，WASM 可 以正常工作。 MAISTRA-2534 当 istiod 试图为 JWT 规则中指定的签发者获取 JWKS 时，签发者服务会使用 502 响应。这导致代理容器就绪，并导致部署挂起。Service Mesh 2.0.7 版本中包括了对社区程 序漏洞的修复。 MAISTRA-2411