在 POD 外部创建绑定服务帐户令牌 第 第 15 章 章 管理安全性上下文 管理安全性上下文约 约束 束 15.1. 关于安全性上下文约束 15.2. 关于预分配安全性上下文约束值 15.3. 安全性上下文约束示例 15.4. 创建安全性上下文约束 15.5. 基于角色的对安全性上下文限制的访问 15.6. 安全性上下文约束命令参考 15.7. 其他资源 第 第 16 章 章 了解并管理 了解并管理 了解并管理 POD 安全准入 安全准入 16.1. 安全性上下文约束与 POD 安全标准同步 16.2. 控制 POD 安全准入同步 16.3. 关于 POD 安全准入警报 16.4. 其他资源 第 第 17 章 章 模 模拟 拟 SYSTEM:ADMIN 用 用户 户 17.1. API 模仿 17.2. 模拟 SYSTEM:ADMIN 用户 17.3. 模拟 SYSTEM:ADMIN 中的工作方式，请参阅评估授权。 您还可以通过项目和命名空间来控制对 OpenShift Container Platform 集群的访问。 除了控制用户对集群的访问外，您还可以控制 Pod 可以执行的操作，以及它可使用 安全性上下文约束 (SCC) 访问的资源。 您可以通过以下任务管理 OpenShift Container Platform 的授权： 查看 本地和集群 角色和绑定. 创建 本地角色 并将其分配给用户或组。

trademarks are the property of their respective owners. 摘要 摘要 此发行注记介绍了 OpenShift Container Platform 的新功能、功能增强、重要的技术变化、以及对以 前版本中的错误作出的主要修正。另外，还包括在此版本正式发行（GA）时存在的已知问题的信 息。 . . . . . . . . . . . . . . . . . . . PLATFORM 4.14 发 发行注 行注记 记 1.1. 关于此版本 1.2. OPENSHIFT CONTAINER PLATFORM 层次和依赖组件支持和兼容性 1.3. 新功能及功能增强 1.4. 主要的技术变化 1.5. 弃用和删除的功能 1.6. 程序错误修复 1.7. 技术预览功能 1.8. 已知问题 1.9. 异步勘误更新 3 3 3 4 29 31 35 47 Kubernetes，为当今的企业级 应用程序提供了一个更加安全、可扩展的多租户操作系统，同时提供了集成的应用程序运行时及程序库。 OpenShift Container Platform 可以满足用户对安全性、隐私、合规性及监管的要求。 1.1. 关于此版本 OpenShift Container Platform (RHSA-2023:5006)现已正式发布。此发行版本使用 Kubernetes 1

are the property of their respective owners. 摘要 摘要 此发行注记介绍了 OpenShift Container Platform 4.1 的新功能、功能增强、重要的技术变化、以及对 以前版本中的错误作出的主要修正。另外，还包括在此版本正式发行（GA）时存在的已知问题的信 息。 . . . . . . . . . . . . . . . . . . . 章 章 OPENSHIFT CONTAINER PLATFORM 4.1 发 发行注 行注记 记 1.1. 关于此版本 1.1.1. 致谢 1.1.2. 已过时的功能 1.2. 新功能及功能增强 1.2.1. Operators 1.2.1.1. Operator Lifecycle Manager (OLM) 1.2.2. 安装和升级 1.2.2.1. OperatorHub 1 (CNO) 1.2.8.2. OpenShift SDN 1.2.8.3. Multus 1.2.9. Web 控制台 1.2.9.1. 开发者目录 1.2.9.2. 新的管理界面 1.2.10. 安全性 1.3. 主要的技术变化 由 buildah 进行镜像构建 SecurityContextConstraints 服务 CA bundle 的变化 OpenShift Service Broker

trademarks are the property of their respective owners. 摘要 摘要 此发行注记介绍了 OpenShift Container Platform 的新功能、功能增强、重要的技术变化、以及对以 前版本中的错误作出的主要修正。另外，还包括在此版本正式发行（GA）时存在的已知问题的信 息。 . . . . . . . . . . . . . . . . . . . . . . . . 目 目录 录 第 第 1 章 章 OPENSHIFT CONTAINER PLATFORM 4.6 发 发行注 行注记 记 1.1. 关于此版本 1.2. 新功能及功能增强 1.2.1. Red Hat Enterprise Linux CoreOS (RHCOS) 1.2.1.1. RHCOS PXE 和 ISO 现在为 live 环境 1.2.1.2. coreos-installer 支持的功能 1.2.2.20. Red Hat Virtualization（RHV）全堆栈安装程序的改进 1.2.2.21. 使用安装程序置备的基础架构为裸机部署改进修复失败的节点 1.2.3. 安全性与合规性 1.2.3.1. Compliance Operator 1.2.3.2. 配置 OAuth 令牌不活跃超时 1.2.3.3. 安全 OAuth 令牌存储格式 1.2.3.4. File

SERVICEMESHCONTROLPLANE 1.9. 在服务网格中添加服务 1.10. 启用 SIDECAR 注入 1.11. 升级 SERVICE MESH 1.12. 管理用户和配置集 1.13. 安全性 1.14. 管理服务网格中的流量 1.15. 指标、日志和追踪 1.16. 性能和可扩展性 1.17. 为生产环境配置 SERVICE MESH 1.18. 连接服务网格 1.19. 扩展 1.20 3. SERVICE MESH 和 ISTIO 的不同 2.4. 准备安装 SERVICE MESH 2.5. 安装 SERVICE MESH 2.6. 在 SERVICE MESH 中自定义安全性 2.7. 流量管理 2.8. 在 SERVICE MESH 上部署应用程序 2.9. 数据可视化和可观察性 2.10. 自定义资源 2.11. 使用 3SCALE ISTIO 适配器 2.12 OpenShift Service Mesh 在服务网络间提供了实现关键功能的统一方式： 流量管理 - 控制服务间的流量和 API 调用，提高调用的可靠性，并使网络在条件不好的情况保持 稳定。 服务标识和安全性 - 在网格中提供可验证身份的服务，并提供保护服务流量的能力，以便可以通 过信任度不同的网络进行传输。 策略强制 - 对服务间的交互应用机构策略，确保实施访问策略，并在用户间分配资源。通过配置 网

1.23. OPENSHIFT LOGGING 5.3.0 此发行版本包括 RHSA-2021:4627 OpenShift Logging 程序错误修复 5.3.0 1.23.1. 新功能及功能增强 在这个版本中，Log Forwarding 的授权选项已被扩展。输出现在可以配置 SASL、用户名/密码或 TLS。 OpenShift Container Platform 4.8 日志 日志记录 Logging 5.3 中，将日志转发到 Syslog 和 Fluentd 的传统方法已被删除。错误修复和支持在 OpenShift Logging 5.2 生命周期结束时提供。之后，不会进行新的功能增强。 反之，使用以下非传统方法： 使用 Fluentd 转发协议转发日志 使用 syslog 协议转发日志 1.23.4.2. 已 已删 删除旧 除旧转发 转发方法的配置机制 方法的配置机制 1.37. OPENSHIFT LOGGING 5.2.0 此发行版本包括 RHBA-2021:3393 OpenShift Logging 程序错误修复 5.2.0 1.37.1. 新功能及功能增强 在这个版本中，您可以将日志数据转发到 Amazon CloudWatch，它提供应用程序和基础架构监 控。如需更多信息，请参阅将日志转发到 Amazon CloudWatch。(LOG-1173)

OPENSHIFT LOGGING 发 发行注 行注记 记 1.1. 使开源包含更多 1.2. 支持的版本 1.2.1. OpenShift Logging 5.1.0 1.2.1.1. 新功能及功能增强 1.2.1.2. 弃用和删除的功能 1.2.1.2.1. Elasticsearch Curator 已被删除 1.2.1.2.2. 使用旧的 Fluentd 和旧 syslog 方法转发日志已被弃用 1.2.10. OpenShift Logging 5.0.1 1.2.10.1. 程序错误修复 1.2.11. OpenShift Logging 5.0.0 1.2.11.1. 新功能及功能增强 Cluster Logging 变为 Red Hat OpenShift Logging 每个索引最多五个主分片 更新了 OpenShift Elasticsearch Operator 名称和成熟度等级 OpenShift Logging 5.1.0 此发行版本包括 RHSA-2021:2112 OpenShift Logging 程序错误修复 5.1.0 。 1.2.1.1. 新功能及功能增 新功能及功能增强 强 OpenShift Logging 5.1 现在支持 OpenShift Container Platform 4.7 及之后的版本运行： IBM Power 系统 IBM Z 和 LinuxONE

您有效地了解 OpenShift Container Platform 架构。 访问 访问策略 策略 组角色，用于指明集群内的用户、应用程序和实体如何与另一个角色进行交互。访问策略会增加集群 安全性。 准入插件 准入插件 准入插件强制执行安全策略、资源限制或配置要求。 身份 身份验证 验证 为了控制对 OpenShift Container Platform 集群的访问，集群管理员可以配置用户身份验证，并确保 架 架构 构 10 2.1.3. OpenShift Container Platform 概述 OpenShift Container Platform 为 Kubernetes 带来企业级增强，具体包括以下所列： 混合云部署。您可以将 OpenShift Container Platform 集群部署到各种公共云平台或数据中心。 集成了红帽技术。OpenShift Container Operator。Quay.io 是 Red Hat Quay 的一个公共 registry 版本，可存储数百万镜 像和标签。 OpenShift Container Platform 中的其他 Kubernetes 增强功能包括软件定义网络 (SDN)、身份验证、日 志聚合、监视和路由方面的改进。OpenShift Container Platform 还提供功能齐全的 web 控制台和自定义 OpenShift CLI

用最少资源的前提下满足应用程序需求。 1.1.3. OpenShift Container Platform 概述 OpenShift Container Platform 为 Kubernetes 带来企业级增强，具体包括以下所列： 混合云部署。您可以将 OpenShift Container Platform 集群部署到各种公有云平台或数据中心 中。 集成了红帽技术。OpenShift Container Operator。Quay.io 是 Red Hat Quay 的一个公共 registry 版本，可存储数百万镜 像和标签。 OpenShift Container Platform 中的其他 Kubernetes 增强功能包括软件定义网络 (SDN)、身份验证、日 志聚合、监视和路由方面的改进。OpenShift Container Platform 还提供功能齐全的 web 控制台和自定义 OpenShift CLI 选择用来构建应用程序的基础镜像包含一组软件，这些软件为应用程序提供一个 Linux 系统。在您构建自 己的镜像时，您的软件将放置到该文件系统中，可以像对待操作系统一样看待该文件系统。基础镜像的选 择会对容器未来的安全性、效率和可升级性产生重大影响。 红帽提供了一组新的基础镜像，称为红帽通用基础镜像 (UBI)。这些镜像基于 Red Hat Enterprise Linux， 与红帽过去提供的基础镜像相似，但有一

Foundation。 5.3. 数据加密选项 加密可让您对数据进行编码，使其在没有所需的加密密钥的情况下无法读取。通过这种机制，当物理性安 全被破坏的情况下，您的数据所在的物理介质丢失时，可以保护您的数据的安全性。每个PV 加密也提供 同一 OpenShift Container Platform 集群内其他命名空间的访问保护。当数据写入到磁盘时，数据会被加 密，并在从磁盘读取数据时对其进行解密。使用加密的数据可能会对性能产生较小的影响。 Data Foundation 集群网络流量 但是，OpenShift Data Foundation 4.8 及更新的版本支持作为技术预览使用 Multus 通过隔离不同类型的 网络流量来提高安全性和性能。 重要 重要 Red Hat OpenShift Data Foundation 4.12 规 规划部署 划部署 24 重要 重要 Multus 支持是一个技术预览功能，它只受支持并在裸机和 额 额外网 外网络 络使用 使用场 场景 景 您可以在需要网络隔离的情况下使用额外网络，包括分离数据平面与控制平面。隔离网络流量对以下性能 和安全性原因很有用： 性能 性能 您可以在两个不同的平面上发送流量，以管理每个平面上流量的多少。 安全性 安全性 您可以将敏感的流量发送到专为安全考虑而管理的网络平面，也可隔离不能在租户或客户间共享的私 密数据。 集群中的所有 pod 仍然使用集群范