扩展节点服务端口范围 1.2.8.3. SR-IOV Network Operator InfiniBand 设备支持 1.2.8.4. 增加了置备网络的 DHCP 范围 1.2.8.5. Pod 网络连接检查 1.2.8.6. 辅助设备指标可与网络附加关联 1.2.8.7. CNF 测试可以在发现模式下运行 1.2.8.8. HAProxy 版本升级 1.2.8.9. Control over 记 10 1.2.2.4. 在 在 Azure 上 上运 运行的集群的用 行的集群的用户 户定 定义 义的出站路由 的出站路由 现在，您可以为在 Azure 上运行的集群选择自己的出站路由，以连接到互联网。这可让您跳过创建公共 IP 地址和公共负载均衡器。 如需更多信息，请参阅 用户定义的出站路由。 1.2.2.5. 将集群安装到 将集群安装到 vSphere 版本 版本 7.0 现在，您可以将集群部署到 存储域动态置备存储到 OpenShift Container Platform 集群。 您可以使用 RHV 虚拟机 worker 节点的自动扩展额外功能来更好地控制工作负载和资源。 您可以使用本地镜像执行断开连接或受限安装。这个能力对金融、公共机构和安全环境很有帮 助。 您可以使用 用户置备的基础架构（如外部负载均衡器）在 RHV 上安装 OpenShift Container Platform。此过程使用一系列

. . . . . . . . . . 目 目录 录 第 第 1 章 章 收集安装日志 收集安装日志 1.1. 从失败安装中收集日志 1.2. 通过到主机的 SSH 连接手动收集日志 1.3. 在不使用 SSH 连接到主机的情况下手动收集日志 第 第 2 章 章 支持 支持 FIPS 加密 加密 2.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 "/log-bundle- .tar.gz" 如果需要创建关安装失败的红帽支持问题单，请在问题单中附上压缩日志。 1.2. 通过到主机的 SSH 连接手动收集日志 在 must-gather 或自动收集方法无法正常工作的情况下手动收集日志。 先决条件 先决条件 必须有到主机的 SSH 访问权限。 流程 流程 1. 运行以下命令，使用 journalctl 主机容器日志： $ sudo tail -f /var/log/containers/* OpenShift Container Platform 4.4 安装 安装 4 1.3. 在不使用 SSH 连接到主机的情况下手动收集日志 在 must-gather 或自动收集方法无法正常工作的情况下手动收集日志。 如果您无法对节点进行 SSH 访问，则可以通过访问系统日志来调查主机上发生的情况。 先决条件

1.3.3. 程序 程序错误 错误修复 修复 在这个版本中，为分布式追踪平台(Jaeger)引入了以下程序错误修复： 修复了在使用 oc adm catalog mirror CLI 命令时对断开连接的环境的支持。(TRACING-3546) 1.1.3.4. 已知 已知问题 问题 目前，不支持 Apache Spark。 目前，IBM Z 和 IBM Power Systems 架构不支持通过 2. 程序 程序错误 错误修复 修复 在这个版本中，为分布式追踪平台(Tempo)引入了以下程序错误修复： 修复了连接到对象存储的自定义 TLS CA 选项支持。(TRACING-3462) 修复了在使用 oc adm catalog mirror CLI 命令时对断开连接的环境的支持。(TRACING-3523) 修复了没有部署网关时的 mTLS。(TRACING-3510) 1.1.4 产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶 段提供反馈意见。 有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围。 1.2.5.1. 已知 已知问题 问题 目前，没有为连接对象存储而实施自定义 TLS CA 选项。(TRACING-3462) 目前，当与 Tempo Operator 一起使用时，Jaeger UI 只显示在最后 15 分钟内发送了 trace 的服

（builder）镜像，这有助于通过将您的代码或配置添加到现有镜像来创建新镜像。 由于应用程序会随时间发展，因此单个镜像名称实际上可以指代同一镜像的许多不同版本。每个不同的镜 像都会有一个代表它的唯一哈希值（一个较长的十六进制值，如 fd44297e2ddb050ec4f…​），它通常会 被缩短为一个 12 位长的值（如 fd44297e2ddb）。 您可以创建，管理，并使用容器镜像。 1.3. Container Platform 提供 oc tag 命令，该命令类似于 docker tag 命令，但是在镜像流上运 行，而非直接在镜像上运行。 1.6. 镜像 ID 镜像 ID 是 SHA（安全哈希算法）代码，可用于拉取（pull）镜像。SHA 镜像 ID 不能更改。特定 SHA 标 识符会始终引用完全相同的容器镜像内容。例如： 1.7. 容器 OpenShift Container Platform 并尝试安装示例镜像流时，它会在安装失败时在初始安装 后 2 小时启动警报。 2.1.1.2. 使用初始网 使用初始网络访问受限网 受限网络安装 安装 当一个集群旨在作为受限网络或断开连接而安装的集群，如果其存在网络连接，则 Cluster Samples Operator 会从 registry.redhat.io 中安装内容，因为可以访问它。如果您希望 Cluster Samples Operator

（builder）镜像，这有助于通过将您的代码或配置添加到现有镜像来创建新镜像。 由于应用程序会随时间发展，因此单个镜像名称实际上可以指代同一镜像的许多不同版本。每个不同的镜 像都会有一个代表它的唯一哈希值（一个较长的十六进制值，如 fd44297e2ddb050ec4f…​），它通常会 被缩短为一个 12 位长的值（如 fd44297e2ddb）。 您可以创建、管理和使用 https://access Container Platform 提供 oc tag 命令，该命令类似于 docker tag 命令，但是在镜像流上运 行，而非直接在镜像上运行。 1.6. 镜像 ID 镜像 ID 是 SHA（安全哈希算法）代码，可用于拉取（pull）镜像。SHA 镜像 ID 不能更改。特定 SHA 标 识符会始终引用完全相同的容器镜像内容。例如： 1.7. 容器 OpenShift Container Platform 并尝试安装示例镜像流时，它会在安装失败时在初始安装 后 2 小时启动警报。 2.1.1.2. 使用初始网 使用初始网络访问受限网 受限网络安装 安装 当一个集群旨在作为受限网络或断开连接而安装的集群，如果其存在网络连接，则 Cluster Samples Operator 会从 registry.redhat.io 中安装内容，因为可以访问它。如果您希望 Cluster Samples Operator

OCP_RELEASE}" 重要 重要 要确保将正确的镜像用于您选择的 OpenShift Container Platform 版本，您必须从 镜像内容中提取安装程序。 您必须在有活跃互联网连接的机器上执行这个步骤。 2.5. 使用带有备用或经过镜像的 REGISTRY 的 SAMPLES OPERATOR 镜像 流 OpenShift 命名空间中大多数由 Samples Operator （builder）镜像，这有助于通过将您的代码或配置添加到现有镜像来创建新镜像。 由于应用程序会随时间发展，因此单个镜像名称实际上可以指代同一镜像的许多不同版本。每个不同的镜 像都可以通过其唯一的哈希值识别（很长的十六进制数，如fd44297e2ddb050ec4f…），通常可缩短为 12 个字符（如：fd44297e2ddb）。 3.2. 容器 OpenShift Container Platform Container Platform 提供 oc tag 命令，该命令类似于 docker tag 命令，但是在镜像流上运 行，而非直接在镜像上运行。 3.6. 镜像 ID 镜像 ID 是 SHA（安全哈希算法）代码，可用于拉取（pull）镜像。SHA 镜像 ID 不能更改。特定 SHA 标 识符会始终引用完全相同的容器镜像内容。例如： docker.io/openshift/jenkins-2-c

/var/log/pods 解决了这个问题。(LOG-2442) 在此次更新之前，收集器会被阻断，因为它在将日志转发到 fluentd 转发接收器时不断尝试使用 过时的连接。在这个版本中，keepalive_timeout 值被设置为 30 秒(30s)，以便收集器回收连接 并重新尝试在合理的时间内发送失败消息。(LOG-2534) 在此次更新之前，网关组件强制租期中的错误，用于读取带有 Kubernetes 命名空间的日志的有限 子系统的当前默认收集器。 以下输出受支持： elasticsearch.一个外部 Elasticsearch 实例。elasticsearch 输出可以使用 TLS 连接。 kafka.Kafka 代理。kafka 输出可以使用不安全的或 TLS 连接。 loki。Loki，一个可横向扩展的、高可用性、多租户日志聚合系统。 1.9.2.1. 启 启用向量 用向量 默认不启用向量。使用以下步骤在 OpenShift 在此次更新之前，对 metrics 仪表板的更改还没有部署，因为 cluster-logging-operator 没有正确 地比较包含仪表板的现有和所需 configmaps。在这个版本中，通过将仪表板唯一的哈希值添加到 对象标签来修复逻辑。(LOG-2066) 在这个版本中，log4j 依赖项改为 2.17.1 以解决 CVE-2021-44832.(LOG-2102) 1.20.2. CVE 例 例

OPENSHIFT SERVICE MESH Red Hat OpenShift Service Mesh 是一个提供对服务网格（service mesh）的行为信息和操作控制的平 台，它为用户提供了一个连接、管理和监控微服务应用程序的统一方法。 术语 服务网格（service mesh）代表在分布式微服务架构中组成应用程序的微服务网络，以及这些微服务 间的交互。当服务网格的规模和复杂性增大时，了解和管理它就会变得非常困难。 发行版本解决了一个安全漏洞问题。 1.3.5. Red Hat OpenShift Service Mesh 1.1.1 的新功能 此 Red Hat OpenShift Service Mesh 发行版本增加了对断开连接的安装的支持。 1.3.6. Red Hat OpenShift Service Mesh 1.1.0 的新功能 OpenShift Container Platform 4.2 Service 无法根据两个或者更多名称进行过滤。 OSSM-92 在 VS/DR YAML 编辑页面中取消未保存的更改不会取消更改。 OSSM-90 trace 没有包括在服务详情页中。 MAISTRA-1001 关闭 HTTP/2 连接可能会导致 istio-proxy 中的分段错误。 MAISTRA-932 添加了 requires 元数据，以添加 Jaeger operator 和 Elasticsearch operator

INGRESS CONTROLLER 6.9. 其他资源 第 第 7 章 章 验证 验证到端点的 到端点的连 连接 接 7.1. 执行连接健康检查 7.2. 连接健康检查实现 7.3. PODNETWORKCONNECTIVITYCHECK 对象字段 7.4. 验证端点的网络连接 第 第 8 章 章 配置 配置节 节点端口服 点端口服务 务范 范围 围 8.1. 先决条件 8.2. 扩展节点端口范围 OpenShift Container Platform 4.9 网 网络 络 4 目 目录 录 5 第 1 章 了解网络 集群管理员有几个选项用于公开集群内的应用程序到外部流量并确保网络连接： 服务类型，如节点端口或负载均衡器 API 资源，如 Ingress 和 Route 默认情况下，Kubernetes 为 pod 内运行的应用分配内部 IP 地址。Pod 及其容器可以网络，但集群外的客 和迁移方面可被视为物理主机或虚拟机。 注意 注意 一些云平台提供侦听 169.254.169.254 IP 地址的元数据 API，它是 IPv4 169.254.0.0/16 CIDR 块中的 连接内部 IP 地址。 此 CIDR 块无法从 pod 网络访问。需要访问这些 IP 地址的 Pod 必须通过将 pod spec 中的 spec.hostnetwork 字段设置为 true 来获得主机网络访问。

login 命令并传递用户名： 2. 提示时，请输入所需信息： 输 输出示例 出示例 输入 OpenShift Container Platform 服务器的 URL。 输入是否使用不安全的连接。 输入用户密码。 注意 注意 如果登录到 web 控制台，您可以生成包含令牌和服务器信息的 oc login 命令。您可以使用 命令来登录 OpenShift Container Platform 更轻松地管理 CLI 配置。第一次使 用 CLI 登录后，OpenShift Container Platform 会创建一个 ~/.kube/config 文件（如果不存在）。随着更 多身份验证和连接详情被提供给 CLI，可以在 oc login 操作或手动配置 CLI 配置集过程中自动提供，更新 的信息会存储在配置文件中： CLI 配置文件 配置文件 $ cat >>~/.zshrc<连接详情，包括其 master 服务器的地址。 在本例中，一个集群的别名为 openshift1.example.com:8443，另一个别名是 openshift2.example.com:8443。