DRIVER TOOLKIT 容器镜像 2.3. 使用 DRIVER TOOLKIT 2.4. 其他资源 第 第 3 章 章 特殊 特殊资 资源 源 OPERATOR 3.1. 关于特殊资源 OPERATOR 3.2. 安装特殊资源 OPERATOR 3.3. 使用特殊资源 OPERATOR 3.4. PROMETHEUS SPECIAL RESOURCE OPERATOR 指标 3.5. 其他资源 版本的一部分。它包含构 建驱动程序或内核模块所需的内核软件包和其他常见依赖项。Driver Toolkit 可用作 OpenShift Container Platform 上构建的驱动程序容器镜像的基础镜像。 特殊资源 Operator (SRO) 编配驱动程序容器的构建和管理，以便在现有 OpenShift 或 Kubernetes 集群上加载内核模块和驱动程序。 Node Feature Discovery 关于 关于专 专用硬件和 用硬件和驱动 驱动程序 程序启 启用 用 3 第 2 章 驱动程序工具包 了解驱动程序工具包以及如何将其用作驱动程序容器的基础镜像，以便在 Kubernetes 上启用特殊软件和 硬件设备。 重要 重要 Driver Toolkit 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议（SLA） 支持，且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以

OpenShift Container Platform 的互联网访问 在 OpenShift Container Platform 4.6 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay Ignition 配置文件的位置。对于 PXE 安装，您可以使用 APPEND 参数将参数传递给实时安装程序的内核。对于 ISO 安装，您可以中 断实时安装引导过程来添加内核参数。在这两种安装情况下，您可以使用特殊的 coreos.inst.* 参 数来指示实时安装程序，以及标准安装引导参数来打开或关闭标准内核服务。 Ignition 配置：OpenShift Container Platform Ignition bootstrap、control plane 或计算节点 Ignition 配置文件 的位置，以便在第一次引导时生效。特殊情况下，您可以创建单独的、有限的 Ignition 配置来传 递给 Live 系统。该 Ignition 配置可以执行特定任务，如在安装完成后向置备系统报告成功。这个 特殊 Ignition 配置由 coreos-installer 使用，用于首次启动安装的系统。不要直接向 live

Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的服务网格中。您 可以使用 Service Mesh control plane 功能配置和管理 Service Mesh。 的工作负载之间共享 1.4.2. 单租赁部署模型 在 Istio 中，租户是为一组部署的工作负载共享共同访问权限和特权的用户组。您可以使用租户在不同的 OpenShift Container Platform 4.8 Service Mesh 32 在 Istio 中，租户是为一组部署的工作负载共享共同访问权限和特权的用户组。您可以使用租户在不同的 团队之间提供一定程度的隔离。您可以使用 istio.io 实例隔离。 集群管理员在所有 Istio control plane 间获得控制和可见性，而租户管理员只能控制其特定的 Service Mesh、Kiali 和 Jaeger 实例。 您可以授予团队权限，以便仅将工作负载部署到给定的命名空间或一组命名空间。如果服务网格管理员授 予 mesh-user 角色，用户可以创建一个 ServiceMeshMember 资源来将命名空间添加到 ServiceMeshMemberRoll。

OPERATOR 更新 5.4. 监控更新状态 5.5. 其他资源 第 第 6 章 章 为 为 KUBEVIRT-CONTROLLER 和 和 VIRT-LAUNCHER 授予 授予额 额外的安全 外的安全权 权限 限 6.1. 为 VIRT-LAUNCHER POD 扩展 SELINUX 策略 6.2. KUBEVIRT-CONTROLLER 服务帐户的其他 OPENSHIFT CONTAINER PLATFORM VIRTUALIZATION 入门 您可以安装和配置基本的 OpenShift Virtualization 环境，以探索其特性和功能。 注意 注意 集群配置过程需要 cluster-admin 权限。 2.1. 开始前 查看安装要求。 查看克隆、快照和实时迁移所需的存储功能。详情请参阅使用启用了 CSI 的存储供应商。 安装 OpenShift Virtualization Operator。 OpenShift Virtualization Operator。 先决条件 先决条件 在集群上安装 OpenShift Container Platform 4.10。 以具有 cluster-admin 权限的用户身份登录到 OpenShift Container Platform web 控制台。 流程 流程 1. 从 Administrator 视角中，点 Operators → OperatorHub。

的部署单元中。使用 pod 可以为容器提供额外的元数据，并可在单个部署 实体中对多个容器进行分组。 创建特殊种类的资产。例如，服务由一组 pod 及定义了访问方式的策略来表示。此策略可使容器 连接到所需的服务，即便容器没有用于服务的特定 IP 地址。复制控制器（replication controller）是另一种特殊资产，用于指示一次需要运行多少个 pod 副本。您可以使用此功能来自 动扩展应用程序，以适应其当前的需求。 用于所有集群机器相比，您必须执行更多的系统维护。 2.1.3.2. 简 简化的安装和更新流程 化的安装和更新流程 使用 OpenShift Container Platform 4.10 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 安装集群。 对于将 RHCOS 用于所有机器的集群，不论是更新还是升级，OpenShift OpenShift Container Platform 互联网访问 在 OpenShift Container Platform 4.10 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay

身份提供程序 7.8. 配置 GOOGLE 身份提供程序 7.9. 配置 OPENID CONNECT 身份提供程序 第 第 8 章 章 使用 使用 RBAC 定 定义 义和 和应 应用 用权 权限 限 8.1. RBAC 概述 8.2. 项目和命名空间 8.3. 默认项目 5 5 6 7 8 8 8 9 11 11 11 11 12 13 14 16 17 19 19 19 Container Platform 集群的访问，并确保只有经过身份验证的用户可以 访问 OpenShift Container Platform 集群。 授 授权 权 授权决定识别的用户是否有权限来执行所请求的操作。 bearer 令牌 令牌 bearer 令牌用于通过标头 Authorization: Bearer 向 API 进行身份验证。 Cloud Credential 据中 心、公有云或私有云或本地主机中运行容器。 自定 自定义资 义资源 源 (CR) CR 是 Kubernetes API 的扩展。 group 组是一组用户。组可用于一次性向多个用户授予权限。 HTPasswd htpasswd 更新存储 HTTP 用户验证的用户名和密码的文件。 Keystone Keystone 是一个 Red Hat OpenStack Platform

MTU 和 VXLAN 配置集成。如果在这些云上已有帐户和凭证，您可以重复使用这 些帐户，但可能需要修改帐户，以便具有在它们上安装 OpenShift Container Platform 集群所需的权限。 您可以使用安装程序置备的基础架构方法为 RHOSP, RHOSP with Kuryr, vSphere, 和裸机在硬件上创建适 当的机器实例。另外，对于 vSphere，您还可以在安装过程中自定义额外网络参数。 Red Hat Quay 版本及其所需的组件。mirror registry for Red Hat OpenShift 会自动部署，带有预配置 的本地存储和本地数据库。它还包括自动生成的用户凭证和访问权限，其中只有一个输入集，且不需要额 外配置选项。 mirror registry for Red Hat OpenShift 提供了一个预先确定的网络配置，并在成功时报告部署的组件凭证 并访问 U 允许用户禁用颜色序列，在运行安装、卸载和升级命令时将其传播到 Ansible。 --pgStorage 保存 Postgres 持久性存储数据的文件夹。默认为 pg-storage Podman 卷。卸载 需要 root 权限。 --quayHostname 客户端用来联系 registry 的镜像 registry 的完全限定域名。等同于 Quay config.yaml 中的 SERVER_HOSTNAME。必须可以被

6.1.5. 容限所有污点 3.6.2. 添加污点和容限 3.6.2.1. 使用机器集添加污点和容限 3.6.2.2. 使用污点和容限将用户绑定到节点 3.6.2.3. 使用污点和容限控制具有特殊硬件的节点 3.6.3. 删除污点和容限 3.7. 使用节点选择器将 POD 放置到特定节点 3.7.1. 关于节点选择器 3.7.2. 使用节点选择器控制 pod 放置 3.7.3. 创建默认的集群范围节点选择器 OpenShift Container Platform API 发出请求所需的。 指定要为 pod 提供的卷。卷挂载在指定路径上。不要挂载到容器 root、/ 或主机和容器中相同的任何 路径。如果容器有足够权限，可能会损坏您的主机系统（如主机的 /dev/pts 文件）。使用 /host 挂 载主机是安全的。 pod 中的每个容器使用自己的容器镜像进行实例化。 pod 对 OpenShift Container pod 用量统计 您可以显示 pod 的用量统计，这些统计信息为容器提供了运行时环境。这些用量统计包括 CPU、内存和 存储的消耗。 先决条件 先决条件 您必须有 cluster-reader 权限才能查看用量统计。 必须安装 Metrics 才能查看用量统计。 流程 流程 查看用量统计： 1. 运行以下命令： 例如： 输 输出示例 出示例 2. 运行以下命令，以查看带有标签的 pod

Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的环境中。您可以 使用 control plane 功能配置和管理 Service Mesh。 Red Hat OpenShift 在 Service Mesh 中失败。在 Service Mesh 和 Prometheus 之间有 一个 OAuth 过滤器，需要向 Prometheus 传递一个 bearer 令牌才会授予访问权限。Kiali 已被更 新为在与 Prometheus 服务器通讯时使用这个令牌，但应用程序的 metrics 当前会有 403 错误。 KIALI-3070 此程序错误只会影响自定义 dashboard，它不会影响默认的 Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的服务网格中。您 可以使用 control plane 功能配置和管理 Service Mesh。 Red Hat OpenShift

MTU 和 VXLAN 配置集成。如果在这些云上已有帐户和凭证，您可 以重复使用这些帐户，但可能需要修改帐户，以便具有在它们上安装 OpenShift Container Platform 集群 所需的权限。 您可以使用安装程序置备的基础架构方法，在 RHOSP、带有 Kuryr 的 RHOSP、RHV、vSphere 和 裸 机硬件环境中创建适当的机器实例。另外，对于 vSphere、VMC on Red Hat Quay 版本及其所需的组件。mirror registry for Red Hat OpenShift 会自动部署，带有预配置 的本地存储和本地数据库。它还包括自动生成的用户凭证和访问权限，其中只有一个输入集，且不需要额 外配置选项。 mirror registry for Red Hat OpenShift 提供了一个预先确定的网络配置，并在成功时报告部署的组件凭证 并访问 U 允许用户禁用颜色序列，在运行安装、卸载和升级命令时将其传播到 Ansible。 --pgStorage 保存 Postgres 持久性存储数据的文件夹。默认为 pg-storage Podman 卷。卸载 需要 root 权限。 --quayHostname 客户端用来联系 registry 的镜像 registry 的完全限定域名。等同于 Quay config.yaml 中的 SERVER_HOSTNAME。必须可以被