自己的依赖项。创建容器化应用程序有很多好处。 1.1.2.1. 操作系 操作系统的好 的好处 容器使用不含内核的小型专用 Linux 操作系统。它们的文件系统、网络、cgroups、进程表和命名空间与 主机 Linux 系统分开，但容器可以在必要时与主机无缝集成。容器以 Linux 为基础，因此可以利用快速创 新的开源开发模型带来的所有优势。 因为每个容器都使用专用的操作系统，所以您能够在同 相关的红帽技术。OpenShift Container Platform 得益于红帽企业级优质软件的严格测试和认证 计划。 开源开发模型。开发以开放方式完成，源代码可从公共软件存储库中获得。这种开放协作促进了 快速创新和开发。 虽然 Kubernetes 擅长管理应用程序，但它并未指定或管理平台级要求或部署过程。强大而灵活的平台管 理工具和流程是 OpenShift Container Platform 状态，其他组件则监视 etcd 的 更改，以使其自身进入指定状态。 Controller Manager Server Controller Manager Server 监视 etcd 中对象的更改， 如复制、命名空间和服务帐户控制器对象，然后使用 API 强制执行指定的状态。多个这样的过程会创建在 某个时间点上有一个活跃群首的集群。 master 机器上的某些服务作为 systemd 服务运行，其他服务则作为静态

自己的依赖项。创建容器化应用程序有很多好处。 1.1.2.1. 操作系 操作系统的好 的好处 容器使用不含内核的小型专用 Linux 操作系统。它们的文件系统、网络、cgroups、进程表和命名空间与 主机 Linux 系统分开，但容器可以在必要时与主机无缝集成。容器以 Linux 为基础，因此可以利用快速创 新的开源开发模型带来的所有优势。 因为每个容器都使用专用的操作系统，所以您能够在同 相关的红帽技术。OpenShift Container Platform 得益于红帽企业级优质软件的严格测试和认证 计划。 开源开发模型。开发以开放方式完成，源代码可从公共软件存储库中获得。这种开放协作促进了 快速创新和开发。 虽然 Kubernetes 擅长管理应用程序，但它并未指定或管理平台级要求或部署过程。强大而灵活的平台管 理工具和流程是 OpenShift Container Platform 状态，其他组件则监视 etcd 的 更改，以使其自身进入指定状态。 Controller Manager Server Controller Manager Server 监视 etcd 中对象的更改， 如复制、命名空间和服务帐户控制器对象，然后使用 API 强制执行指定的状态。多个这样的过程会创建在 某个时间点上有一个活跃群首的集群。 master 机器上的某些服务作为 systemd 服务运行，其他服务则作为静态

自己的依赖项。创建容器化应用程序有很多好处。 2.1.2.1. 操作系 操作系统的好 的好处 容器使用不含内核的小型专用 Linux 操作系统。它们的文件系统、网络、cgroups、进程表和命名空间与 主机 Linux 系统分开，但容器可以在必要时与主机无缝集成。容器以 Linux 为基础，因此可以利用快速创 新的开源开发模型带来的所有优势。 因为每个容器都使用专用的操作系统，所以您能够在同 和相关的红帽技术。OpenShift Container Platform 得益于红帽企业级优质软件 的严格测试和认证计划。 开源开发模型。开发以开放方式完成，源代码可从公共软件存储库中获得。这种开放协作促进了 快速创新和开发。 虽然 Kubernetes 擅长管理应用程序，但它并未指定或管理平台级要求或部署过程。强大而灵活的平台管 理工具和流程是 OpenShift Container Platform worker 机器。在未来的 OpenShift Container Platform 版本中，默认情况下可能会使用不同类型的计算机器，如基础架构机器。 注意 注意 机器集是 machine-api 命名空间中机器资源的定义。机器集是设计在特定云供应商上启动 新机器的配置。相反，机器配置池（MCP）是 Machine Config Operator（MCO）命名空 间的一部分。MCP 用于将机器分组在一起，以便

Platform 镜像的 mirror registry。 单 单体式 体式应 应用程序 用程序 自我包含、构建并打包为单个组件的应用程序。 命名空 命名空间 间 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 OpenShift Container Platform 4.10 架 架构 构 4 networking OpenShift 赖项。创建容器化应用程序有很多好处。 2.1.2.1. 操作系 操作系统 统的好 的好处 处 容器使用不含内核的小型专用 Linux 操作系统。它们的文件系统、网络、cgroups、进程表和命名空间与 主机 Linux 系统分开，但容器可以在必要时与主机无缝集成。容器以 Linux 为基础，因此可以利用快速创 新的开源开发模型带来的所有优势。 因为每个容器都使用专用的操作系统，所以您能够在同 和相关的红帽技术。OpenShift Container Platform 得益于红帽企业级优质软件 的严格测试和认证计划。 开源开发模型。开发以开放方式完成，源代码可从公共软件存储库中获得。这种开放协作促进了 快速创新和开发。 虽然 Kubernetes 擅长管理应用程序，但它并未指定或管理平台级要求或部署过程。强大而灵活的平台管 理工具和流程是 OpenShift Container Platform

7.9. 配置 OPENID CONNECT 身份提供程序 第 第 8 章 章 使用 使用 RBAC 定 定义 义和 和应 应用 用权 权限 限 8.1. RBAC 概述 8.2. 项目和命名空间 8.3. 默认项目 5 5 6 7 8 8 8 9 11 11 11 11 12 13 14 16 17 19 19 19 20 21 22 22 22 23 25 25 Operator（CCO）的默认和推荐的最佳实践设置，用于支持它的平台。 在这个模式下，CCO 使用提供的管理员级云凭证为集群中组件创建新凭证，且只具有所需的特定权 限。 namespace 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 node 节点是 OpenShift Container Platform 集群中的 worker 机器。节点是虚拟机 (VM) 或物理计算机。 管理员可以定义权限，并使用 RBAC 对象（如规则、角色和绑定）将它们分配给用户。要了解授权在 OpenShift Container Platform 中的工作方式，请参阅评估授权。 您还可以通过项目和命名空间来控制对 OpenShift Container Platform 集群的访问。 除了控制用户对集群的访问外，您还可以控制 Pod 可以执行的操作，以及它可使用 安全性上下文约束 (SCC) 访问的资源。

OPERATOR 目录 2.7. 多租户集群中的 OPERATOR 2.8. CRD 第 第 3 章 章 用 用户 户任 任务 务 3.1. 从已安装的 OPERATOR 创建应用程序 3.2. 在命名空间中安装 OPERATOR 第 第 4 章 章 管理 管理员 员任 任务 务 4.1. 在集群中添加 OPERATOR 4.2. 更新安装的 OPERATOR 4.3. 从集群中删除 OPERATOR Java-based Operators, 和 Helm-based Operators。 使用 Operator SDK 来构建、测试并部署 Operator。 安装 Operator 并订阅命名空间。 通过 Web 控制台 从已安装的 Operator 创建应用程序。 其他 其他资源 源 Operator 开发人员的机器删除生命周期 hook 示例 1.2. 对于管理员 作为集群管理员，您可以执行以下 是为一组部署的工作负载（通常由命名空间或项目表示）共享共 同访问权限和特权的用户或组。您可以使用租户在不同的组或团队之间提供一定程度的隔离。 当集群由多个用户或组共享时，它被视为 多租户 集群。 2.3.1.11. operator 组 Operator 组将部署在同一命名空间中的所有 Operator 配置为 OperatorGroup 对象，以便在一系列命名 空间或集群范围内监视其 CR。 2

加到集群中时，MetalLB 可为该服务添加外部 IP 地址。 multicast 通过使用 IP 多播，数据可同时广播到许多 IP 地址。 命名空 命名空间 间 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 networking OpenShift Container Platform 集群的网络信息。 node OpenShift Container Platform 内置的 OAuth 服务器集成。 namespaceSelector namespaceSelector 用来过滤由 Ingress 控制器提供服务的一组命名空间。这 对实现分片（shard）非常有用。 routeSelector routeSelector 用于由 Ingress Controller 提供服务的一组 Routes。这对实现分 片（shard）非常有用。 ClientCA。 ClientCertificatePolicy 子字段接受以下两个值之一：Required 或 Optional。ClientCA 子字段指定 openshift-config 命名空间中的配置映射。配 置映射应包含 CA 证书捆绑包。 AllowedSubjectPatterns 是一个可选值，用于指定正则表达式列表，该列表 与有效客户端证书上的可分辨名称匹配以过滤请求。正则表达式必须使用

加到集群中时，MetalLB 可为该服务添加外部 IP 地址。 multicast 通过使用 IP 多播，数据可同时广播到许多 IP 地址。 命名空 命名空间 间 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 networking OpenShift Container Platform 集群的网络信息。 node OpenShift Container Platform 内置的 OAuth 服务器集成。 namespaceSelector namespaceSelector 用来过滤由 Ingress 控制器提供服务的一组命名空间。这 对实现分片（shard）非常有用。 routeSelector routeSelector 用于由 Ingress Controller 提供服务的一组 Routes。这对实现分 片（shard）非常有用。 ClientCA。 ClientCertificatePolicy 子字段接受以下两个值之一：Required 或 Optional。ClientCA 子字段指定 openshift-config 命名空间中的配置映射。配 置映射应包含 CA 证书捆绑包。AllowedSubjectPatterns 是一个可选值，用 于指定正则表达式列表，该列表与有效客户端证书上的可分辨名称匹配以过滤请 求。正则表达式必须使用

. . . . . . . . . . . . . . . . . . 6.8.5.1. 通过路由标签（label）配置 Ingress Controller 分片 6.8.5.2. 使用命名空间标签配置 Ingress Controller 分片 6.8.6. 配置 Ingress Controller 以使用内部负载均衡器 6.8.7. 将集群的默认 Ingress Controller IP 地址分配 13.2.1.1. 使用自动分配的出口 IP 地址时的注意事项 13.2.1.2. 使用手动分配出口 IP 地址时的注意事项 13.2.2. 为一个命名空间启用自动分配出口 IP 地址 13.2.3. 为一个命名空间配置手动分配出口 IP 地址 13.3. 为项目配置出口防火墙 13.3.1. 出口防火墙在一个项目中的工作原理 13.3.1.1. 出口防火墙的限制 13.3 OPENSHIFT SDN 集群网络供应商迁移 14.2.1. 迁移到 OVN-Kubernetes 网络供应商 14.2.1.1. 迁移到 OVN-Kubernetes 网络供应商时的注意事项 命名空间隔离 出口 IP 地址 出口网络策略 出口路由器 pod 多播 网络策略 14.2.1.2. 迁移过程如何工作 14.2.2. 迁移至 OVN-Kubernetes 默认 CNI 网络供应商 14

19. 虚拟机磁盘 第 第 9 章 章 虚 虚拟 拟机模板 机模板 9.1. 创建虚拟机模板 9.2. 编辑虚拟机模板 9.3. 为虚拟机模板启用专用资源 9.4. 将虚拟机模板部署到自定义命名空间 9.5. 删除虚拟机模板 第 第 10 章 章 实时 实时迁移 迁移 10.1. 虚拟机实时迁移 10.2. 实时迁移限制和超时 10.3. 迁移虚拟机实例到另一节点 10.4. 在专用额外网络中迁移虚拟机 原因、诊断问题来源的故障排除过程以及解决每个警报的步骤。 集群管理员现在可以使用 OpenShift API 进行 OpenShift Virtualization 插件的数据保护 来备份包 含虚拟机的命名空间。 管理员现在可以通过编辑 HyperConverged CR 来声明性 创建和公开介质设备，如虚拟图形处理 单元(vGPU)。然后，虚拟机所有者可将这些设备分配给虚拟机。 您可以通过将单个 N 1) 作为临时解决方案，请手动添加 RBAC 规则来允许特定用户添加磁盘。 web 控制台不显示部署到自定义命名空间的虚拟机模板。仅部署到 default 命名空间的模板才会 显示在 web 控制台中。(BZ#2054650) 作为临时解决方案，请避免将模板部署到自定义命名空间中。 在单节点 OpenShift(SNO)集群中，如果 VMI 的 spec.evictionStrategy 字段设置为