配置功能已弃用。 通过 OperatorHub 安装 Elasticsearch 、Jaeger 、Kiali 和 Service Mesh Operators。 您可以创建并指定 control plane 模板。 这个版本删除了自动路由创建功能。 1.4. 已知问题 Red Hat OpenShift Service Mesh 中存在以下限制： Red Hat OpenShift Service Mesh sidecar 注入。在创建 pod OpenShift Container Platform 4.2 Service Mesh 6 MAISTRA-453 如果创建新项目并立即部署 pod，则不会进行 sidecar 注入。在创建 pod 前，operator 无法添加 maistra.io/member-of ，因此必须删除 pod 并重新创建它以执行 sidecar 注入操作。 MAISTRA-193 Service Mesh 10 2.1.5. 自动注入 上游 Istio 社区安装会在您标记的项目中自动将 sidecar 注入 pod。 Red Hat OpenShift Service Mesh 不会自动将 sidecar 注入任何 pod，而要求您指定 sidecar.istio.io/inject 注解，如“自动 sidecar 注入”部分所示。 2.1.6. Istio 基于角色的访问控制功能

准备安装 SERVICE MESH 1.7. 安装 OPERATOR 1.8. 创建 SERVICEMESHCONTROLPLANE 1.9. 在服务网格中添加服务 1.10. 启用 SIDECAR 注入 1.11. 升级 SERVICE MESH 1.12. 管理用户和配置集 1.13. 安全性 1.14. 管理服务网格中的流量 1.15. 指标、日志和追踪 1.16. 性能和可扩展性 1.17 Proxyless Service Mesh 是一个技术预览功能。 Telemetry API 是一个技术预览功能。 发现选择器功能不受支持。 外部 control plane 不受支持。 网关注入不受支持。 1.2.2.4.8. Kubernetes Gateway API Kubernetes Gateway API 是一个技术预览功能，默认为禁用。 要启用这个功能，请在 ServiceMeshControlPlane Mesh 尚不支持 IPv6。 MAISTRA-453 如果创建新项目并立即部署 pod，则不会进行 sidecar 注入。在创建 pod 前，operator 无法添加 maistra.io/member-of ，因此必须删除 pod 并重新创建它以执行 sidecar 注入操作。 MAISTRA-158 应用指向同一主机名的多个网关时，会导致所有网关停止工作。 1.2.5.2. Kiali

授予或撤销对项目的访问权限，并为用户管理集群角色。您 还可以在创建用于自动置备新项目的项目模板时编辑项目配置资源。 使用 CLI，您可以通过模拟对 OpenShift Container Platform API 的请求来以不同的用户创建项目。当您 请求创建新项目时，OpenShift Container Platform 会使用一个端点来根据自定义模板来置备项目。作为 集群管理员，您可以选择阻止经过身份验证的用户组自助置备新项目。 Container Platform CLI 来创建一个应用程序。您可 以从 Git、JAR 文件、devfile 或开发人员目录中提供要添加到项目的应用程序。 您还可以使用包含源或二进制代码、镜像和模板的组件，通过 OpenShift Container Platform CLI 创建应 用程序。使用 OpenShift Container Platform Web 控制台，您可以从集群管理员安装的 在 OpenShift Container Platform 中，项目用于对相关对象进行分组和隔离。使用 Web 控制台或 oc new-project 命令请求创建新项目时，系统会根据可自定义的模板来使用 OpenShift Container Platform 中的端点置备项目。 作为集群管理员，您可以允许开发人员和服务帐户创建或自助置备其自己的项目，并且配置具体的方式。 $ oc delete

授予或撤销对项目的访问权限，并为用户管理集群角色。您 还可以在创建用于自动置备新项目的项目模板时编辑项目配置资源。 使用 CLI，您可以通过模拟对 OpenShift Container Platform API 的请求来以不同的用户创建项目。当您 请求创建新项目时，OpenShift Container Platform 会使用一个端点来根据自定义模板来置备项目。作为 集群管理员，您可以选择阻止经过身份验证的用户组自助置备新项目。 Container Platform CLI 来创建一个应用程序。您可 以从 Git、JAR 文件、devfile 或开发人员目录中提供要添加到项目的应用程序。 您还可以使用包含源或二进制代码、镜像和模板的组件，通过 OpenShift Container Platform CLI 创建应 用程序。使用 OpenShift Container Platform Web 控制台，您可以从集群管理员安装的 在 OpenShift Container Platform 中，项目用于对相关对象进行分组和隔离。使用 Web 控制台或 oc new-project 命令请求创建新项目时，系统会根据可自定义的模板来使用 OpenShift Container Platform 中的端点置备项目。 作为集群管理员，您可以允许开发人员和服务帐户创建或自助置备其自己的项目，并且配置具体的方式。 $ oc delete

7.4. 使用案例： 在 pod 中使用配置映射 2.7.4.1. 使用配置映射在容器中填充环境变量 2.7.4.2. 使用配置映射为容器命令设置命令行参数 2.7.4.3. 使用配置映射将内容注入卷 2.8. 使用设备插件来利用 POD 访问外部资源 2.8.1. 了解设备插件 设备插件示例 2.8.1.1. 设备插件部署方法 2.8.2. 了解设备管理器 2.8.3. 启用设备管理器 descheduler 配置为根据特定策略驱除 pod，以便调度程序将 pod 重新调度到更合适的节点。 配置 pod 控制器重启后 pod 的行为并重启策略。 限制 pod 上的出口和入口流量。 向具有 pod 模板的任何对象添加和移除卷。卷是挂载的文件系统，可供容器集中的所有容器使 用。容器存储是临时的；您可以使用卷来持久保留容器数据。 功能增 功能增强 强操作 操作 您可以使用 OpenShift Container 文件写入到容器中。镜 镜像拉取 像拉取 secret 使用服 使用服务帐户 务帐户，将 ，将 secret 自 自动 动注入到命名空 注入到命名空间 间中的所有 中的所有 pod。 。 当模板包含 当模板包含 secret 定 定义时 义时，模板使用提供的 ，模板使用提供的 secret 的唯一方法是确保 的唯一方法是确保验证 验证 secret 卷源通 卷源通过验证 过验证，并

Docker 格式容器镜像的工具。它通过将应用程序源 代码注入容器镜像并汇编新镜像来生成可随时运行的镜像。新镜像融合了基础镜像（构建器）和构建的源 代码，并可搭配 buildah run 命令使用。S2I 支持递增构建，可重复利用以前下载的依赖项和过去构建的 工件等。 S2I 的优点包括： 镜像灵活性 可以编写 S2I 脚本，将应用程序代码注入到几乎所有现有的 Docker 格式容器镜像，以此利用 格式容器镜像，以此利用 现有的生态系统。请注意，S2I 目前依靠 tar 来注入应用程序源代码，因此镜像需要能够处理 tar 压缩的内容。 OpenShift Container Platform 4.4 构 构建（ 建（build） ） 4 速度 使用 S2I 时，汇编过程可以执行大量复杂操作，无需在每一步创建新层，进而能实现快速的流 程。此外，可以编写 S2I 脚本来重复利用应用程序镜像的旧版本，而不必在每次运行构建时下 BuildConfig 中定义的环境变量。 注意 注意 不支持在构建环境变量中使用 valueFrom 引用容器资源，因为这种引用在创建容器之前解 析。 3.9.1. 使用构建字段作为环境变量 您可以注入构建对象的信息，使用 fieldPath 环境变量源指定要获取值的字段的 JsonPath。 注意 注意 Jenkins Pipeline 策略不支持将 valueFrom 语法用于环境变量。

NetworkPolicy 对象 10.4.3. 其他资源 10.5. 删除网络策略 10.5.1. 删除网络策略 10.6. 为项目定义默认网络策略 10.6.1. 为新项目修改模板 10.6.2. 在新项目模板中添加网络策略 10.7. 使用网络策略配置多租户隔离 10.7.1. 使用网络策略配置多租户隔离 10.7.2. 后续步骤 41 42 43 45 46 46 47 47 SR-IOV NETWORK OPERATOR 12.3.1. 配置 SR-IOV Network Operator 12.3.1.1. 关于 Network Resources Injector（网络资源注入器）。 77 78 78 78 78 78 79 79 79 80 80 80 81 82 82 82 83 83 84 84 84 86 87 87 89 12.3.1.2. 关于 SR-IOV Operator admission controller webhook 12.3.1.3. 关于自定义节点选择器 12.3.1.4. 禁用或启用网络资源注入器 12.3.1.5. 禁用或启用 SR-IOV Operator 准入控制器 Webhook 12.3.1.6. 为 SR-IOV 网络配置守护进程配置自定义 NodeSelector 12.3

OPENSHIFT CLI (OC) 53 2.5.1.95. oc port-forward 将一个或多个本地端口转发到一个 pod 用法示例 用法示例 2.5.1.96. oc process 将模板处理为资源列表 用法示例 用法示例 # Check whether a service account specified in the pod template spec in myresourcewithsa OpenShift Container Platform 4.8 CLI 工具 工具 62 2.5.1.126. oc set env 更新 pod 模板上的环境变量 用法示例 用法示例 2.5.1.127. oc set image 更新 pod 模板的镜像 用法示例 用法示例 # Clear pre and post hooks on a deployment config oc set (OC) 63 2.5.1.128. oc set image-lookup 更改部署应用程序时镜像的解析方式 用法示例 用法示例 2.5.1.129. oc set probe 更新 pod 模板上的探测 用法示例 用法示例 # Set a deployment configs's nginx container image to 'nginx:1.9.1', and its busybox

2.7.4. 用例： 在 pod 中使用配置映射 2.7.4.1. 使用配置映射在容器中填充环境变量 2.7.4.2. 使用配置映射为容器命令设置命令行参数 2.7.4.3. 使用配置映射将内容注入卷 2.8. 使用设备插件通过 POD 访问外部资源 2.8.1. 了解设备插件 设备插件示例 2.8.1.1. 设备插件部署方法 2.8.2. 了解设备管理器 2.8.3. 启用设备管理器 以根据特定策略驱除 pod，以便调度程序将 pod 重新调度到更合适的节点。 配置 pod 如何使用 pod 控制器重启后的行为，然后重新启动策略。 限制 pod 上的出口和入口流量。 从具有 pod 模板的任何对象中添加和移除卷。卷是 pod 中所有容器使用的已挂载文件系统。容器 存储是临时的；您可以使用卷来持久保留容器数据。 增 增强 强操作 操作 您可以使用 OpenShift Container secret 使用服务帐户，将 secret 自动 注入到命名空间中的所有 pod。 当模板包含 secret 定义时，模板使用提供的 secret 的唯一方法是确保验证 secret 卷源通过验证，并且指 定的对象引用实际指向 Secret 类型的对象。因此，secret 需要在依赖它的任何 Pod 之前创建。确保这一 点的最有效方法是通过使用服务帐户自动注入。 Secret API 对象驻留在命名空间中。它们只能由同一命名空间中的

。OpenShift 开发者工具提供 Jenkins 镜像，它直 接与 OpenShift Container Platform 集成。Jenkins 可通过使用 Samples Operator 模板或认证的 Helm Chart 在 OpenShift 上部署。 第 第 1 章 章 OPENSHIFT CONTAINER PLATFORM CI/CD 概述 概述 3 第 2 章 构建（BUILD） FROM 如何 交互。 2.1.1.2. Source-to-image 构 构建 建 Source-to-Image (S2I) 是一种用于构建可重复生成的容器镜像的工具。它通过将应用程序源代码注入容 器镜像并汇编新镜像来生成可随时运行的镜像。新镜像融合了基础镜像（构建器）和构建的源代码，并可 搭配 buildah run 命令使用。S2I 支持递增构建，可重复利用以前下载的依赖项和过去构建的工件等。 注意 不支持在构建环境变量中使用 valueFrom 引用容器资源，因为这种引用在创建容器之前解 析。 2.3.9.1. 使用 使用构 构建字段作 建字段作为环 为环境 境变 变量 量 您可以注入构建对象的信息，使用 fieldPath 环境变量源指定要获取值的字段的 JsonPath。 注意 注意 Jenkins Pipeline 策略不支持将 valueFrom 语法用于环境变量。