为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 1.1.1. 关于 Kubernetes 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 用户请求的实际工作负载的地方。worker 节点公告其容量，而作为 master 服务一部分的调度程序决定在哪些节点上启动容器和 Pod。重要服务在 每个 worker 节点上运行，包括 CRI-O（即容器引擎）、Kubelet（接受并履行运行和停止容器工作负载请 求的服务），以及服务代理（管理 worker 之间 Pod 的通信）。 在 OpenShift Container Platform 中，MachineSets 服务运行，其他服务则作为静态 Pod 运行。 systemd 服务适合需要始终在特定系统启动后不久出现的服务。对于 master 机器，这包括允许远程登录 的 sshd。它还包括以下服务： CRI-O 容器引擎 (crio)，用于运行和管理容器。OpenShift Container Platform 4.3 使用 CRI-O， 而不是 Docker Container Engine。 Kubelet (kubelet)，从

为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 1.1.1. 关于 Kubernetes 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 用户请求的实际工作负载的地方。worker 节点公告其容量，而作为 master 服务一部分的调度程序决定在哪些节点上启动容器和 Pod。重要服务在 每个 worker 节点上运行，包括 CRI-O（即容器引擎）、Kubelet（接受并履行运行和停止容器工作负载请 求的服务），以及服务代理（管理 worker 之间 Pod 的通信）。 在 OpenShift Container Platform 中，MachineSets 服务运行，其他服务则作为静态 Pod 运行。 systemd 服务适合需要始终在特定系统启动后不久出现的服务。对于 master 机器，这包括允许远程登录 的 sshd。它还包括以下服务： CRI-O 容器引擎 (crio)，用于运行和管理容器。OpenShift Container Platform 4.2 使用 CRI-O， 而不是 Docker Container Engine。 Kubelet (kubelet)，从

为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 2.1.1. 关于 Kubernetes 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 用户请求的实际工作负载的地方。worker 节点公告其容量，而作为 master 服务一部分的调度程序决定在哪些节点上启动容器和 pod。重要服务在 每个 worker 节点上运行，包括 CRI-O（即容器引擎）、Kubelet（接受并履行运行和停止容器工作负载请 求的服务），以及服务代理（管理 worker 之间 Pod 的通信）。 在 OpenShift Container Platform 中，机器集用来控制 服务运行，另一些则作为静态 pod 运行。 systemd 服务适合需要始终在特定系统启动后不久出现的服务。对于 control plane 机器，这包括允许远程 登录的 sshd。它还包括以下服务： CRI-O 容器引擎 (crio)，用于运行和管理容器。OpenShift Container Platform 4.7 使用 CRI-O， 而不是 Docker Container Engine。 Kubelet (kubelet)，从

在节点上配置与机器配置指定的内容不匹配的情况。 containers 包括软件及其所有依赖项的轻量级和可执行镜像。由于容器虚拟化操作系统，您可以在任何位置运行 容器，从数据中心到公共或私有云到本地主机。 容器 容器编 编配引擎 配引擎 用于实现容器部署、管理、扩展和联网的软件。 容器工作 容器工作负载 负载 在容器中打包和部署的应用程序。 控制 控制组 组 (cgroups) 将进程集合分区到组中，以管理和限制资源进程占用。 数据中心从少量机器和应用程序扩展到为数百万客户端服务的数千台机器。 OpenShift Container Platform 以 Kubernetes 为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 第 第 2 章 章 OPENSHIFT CONTAINER PLATFORM 架 架构 构 9 2.1.1 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 的 一般概念比较简单： 从一个或多个 worker 节点开始，以运行容器工作负载。 从一个或多个 control plane 节点管理这些工作负载的部署。

通过使用卷来满足所有持久性存储需求，即使容 器重启或移动，其内容也会保留下来。如果您的镜像将数据写入容器中的任意位置，则其内容可能无法保 留。 所有在容器销毁后仍需要保留的数据都必须写入卷中。容器引擎支持容器的 readonly 标记，可用于严格 执行不将数据写入容器临时存储的良好做法。现在围绕该功能设计您的镜像，将更便于以后利用。 另外，在 Dockerfile 中显式定义卷可方便镜像用户轻松了解在运行您的镜像时必须要定义的卷。 Python 应用程序的 S2I 脚本。 支持任意用 支持任意用户 户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 来运行容器。这对因容器引擎漏洞而 逸出容器的进程提供了额外的安全防护，从而避免在主机节点上出现未授权的权限升级的问题。 对于支持以任意用户身份运行的镜像，由镜像中进程写入的目录和文件应归 root 组所有，并可由该组读/ 写。待执行文件还应具有组执行权限。 的值放在模板的任意字符串字段中。 作为 json/yaml 值，将格式为 ${PARAMETER_NAME} 的值放在模板的任意字段中。 使用 ${PARAMETER_NAME} 语法时，可将多个参数引用合并到一个字段中，并可将引用嵌入到固定数 据中，如 "http://${PARAMETER_1}${PARAMETER_2}"。两个参数值均将被替换，结果值将是一个带 引号的字符串。 使用 ${{PARAMETER_NAME}}

垃圾 垃圾回收 回收 垃圾回收是清理集群资源的过程，如终止的容器和没有被任何正在运行的 pod 引用的镜像。 Elasticsearch Elasticsearch 是一个分布式搜索和分析引擎。OpenShift Container Platform 使用 ELasticsearch 作为 OpenShift Container Platform Logging 的默认日志存储。 Elasticsearch Container Platform 节点。系统及基 础架构日志由来自操作系统、容器运行时和 OpenShift Container Platform 的日志消息生成。应用程序日 志由 CRI-O 容器引擎生成。Fluentd 从这些源收集日志，并在内部或外部转发 OpenShift Container Platform 中配置的日志。 容器运行时提供少许信息来标识日志消息的来源，如项目、容器名称和容器 Fluentd 将 systemd journal 和 /var/log/containers/ 的所有日志都传输到 Elasticsearch。 Elasticsearch 需要足够内存来执行大型合并操作。如果没有足够的内存，它将会变得无响应。要避免这个 问题，请评估应用程序日志数据的数量，并分配大约两倍的可用存储容量。 默认情况下，当存储容量为 85% 满时，Elasticsearch 会停止向节点分配新数据。90%

了解断开连接的安装镜像 14.3. 使用基于代理的安装程序安装 OPENSHIFT CONTAINER PLATFORM 集群 14.4. 为 KUBERNETES OPERATOR 的多集群引擎准备基于 AGENT 的集群 第 第 15 章 章 在 在单 单一 一节 节点上安装 点上安装 15.1. 准备在一个节点上安装 15.2. 在单一节点上安装 OPENSHIFT 第 第 16 5 OpenShift Container Platform 4.13 安装 安装 122 5 CoreOS（RHCOS）信任捆绑包合并， Proxy 对象的 trustedCA 字段中也会引用此配置映 射。additionalTrustBundle 字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑 包的颁发机构签名。 证书。然后，Cluster Network Operator 会创建 trusted-ca-bundle 配置映射，将这些内容与 Red Hat Enterprise Linux CoreOS（RHCOS）信任捆绑包合并， Proxy 对象的 trustedCA 字段中也会引用此配置映 射。additionalTrustBundle 字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑 包的颁发机构签名。

如需更多信息，请参阅了解 OpenShift Pipelines。 1.3. OPENSHIFT GITOPS OpenShift GitOps 是一个使用 Argo CD 作为声明性 GitOps 引擎的 Operator。它启用了多集群 OpenShift 和 Kubernetes 基础架构的 GitOps 工作流。使用 OpenShift GitOps，管理员可以在集群和开 发生命周期中一致地配置和部署基于 \ 1 --type=kubernetes.io/ssh-auth  第 第 2 章 章 构 构建（ 建（BUILD） ） 15 1 1. 如果您的 CA 使用中间证书颁发机构，请合并 ca.crt 文件中所有 CA 的证书。使用以下命令： a. 创建 secret： 您必须使用密钥名称 ca.crt。 2.3.4.2.8. 源 源 secret 组 组合 合 您可以组合使用不同的源克隆 Squash 层 层 通常，Docker 构建会为 Dockerfile 中的每条指令都创建一个层。将 imageOptimizationPolicy 设置为 SkipLayers，可将所有指令合并到基础镜像顶部的单个层中。 流程 流程 将 imageOptimizationPolicy 设置为 SkipLayers： dockerStrategy: ... env: - name:

通过使用卷来满足所有持久性存储需求，即使容 器重启或移动，其内容也会保留下来。如果您的镜像将数据写入容器中的任意位置，则其内容可能无法保 留。 所有在容器销毁后仍需要保留的数据都必须写入卷中。容器引擎支持容器的 readonly 标记，可用于严格 执行不将数据写入容器临时存储的良好做法。现在围绕该功能设计您的镜像，将更便于以后利用。 在 Dockerfile 中显式定义卷可方便镜像用户轻松了解在运行您的镜像时必须要定义的卷。 用程序源代码为输入的镜像和生成以运行汇编应用程序为输出的新镜像。 支持任意用户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 来运行容器。这对因容器引擎漏洞而 逸出容器的进程提供了额外的安全防护，从而避免在主机节点上出现未授权的权限升级的问题。 对于支持以任意用户身份运行的镜像，由镜像中进程写入的目录和文件应归 root 组所有，并可由该组读/ 写。待执行文件还应具有组执行权限。 registry 的默认列表。没有办法回退到非全 限定搜索 registry 的默认列表。 containerRuntimeSearchRegistries 参数只适用于 Podman 和 CRI-O 容器引擎。列表中的 registry 只 能用于 pod 规格，不能用于构建和镜像流。 流程 1. 编辑 image.config.openshift.io/cluster 自定义资源： 以下是 image

CONTAINER PLATFORM 集群 14.4. 为 OPENSHIFT CONTAINER PLATFORM 准备 PXE 资产 14.5. 为 KUBERNETES OPERATOR 的多集群引擎准备基于 AGENT 的集群 14.6. 基于代理的安装程序的安装配置参数 第 第 15 章 章 在 在单 单一 一节 节点上安装 点上安装 15.1. 准备在一个节点上安装 15.2. 在单一节点上安装 证书。然后，Cluster Network Operator 会创建 trusted-ca-bundle 配置映射，将这些内容与 Red Hat Enterprise Linux CoreOS（RHCOS）信任捆绑包合并， Proxy 对象的 trustedCA 字段中也会引用此配置映 射。additionalTrustBundle 字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑 包的颁发机构签名。 证书。然后，Cluster Network Operator 会创建 trusted-ca-bundle 配置映射，将这些内容与 Red Hat Enterprise Linux CoreOS（RHCOS）信任捆绑包合并， Proxy 对象的 trustedCA 字段中也会引用此配置映 射。additionalTrustBundle 字段是必需的，除非代理的身份证书由来自 RHCOS 信任捆绑 包的颁发机构签名。