第 第 15 章 章 在 在 GLUSTERFS 存 存储 储上 上进 进行 行优 优化 化 15.1. 数据库聚合模式指南 15.2. 测试的应用程序 15.3. 支持列表 15.4. 测试结果 32 32 32 33 33 33 33 34 34 34 36 36 36 36 37 37 38 38 39 39 40 40 41 42 42 42 42 enforcing 仲裁读取。这是为了确保对 etcd 的查询不会返回过时的数据。在单节点 etcd 集群中，过时的数据不是问题。在高可用的 etcd 部署中，通常在生产集群中找到，仲裁读取确保有 效的查询结果。在数据库术语中，仲裁读是 线性的 - 每个客户端都会看到集群的最新更新状态，所有客户 端会看到相同的读写序列。有关性能改进的更多信息，请参阅 etcd 3.1 公告。 请注意，OpenShift 特定应用程序存储建议 重要 重要 第 第 5 章 章 优 优化持久性存 化持久性存储 储 19 重要 重要 测试显示，使用 RHEL NFS 服务器作为容器镜像 registry 的存储后端可能会出现问题。这 包括 OpenShift Container Registry 和 Quay、Prometheus for metrics 存储，以及 ElasticSearch for logging

基于路径的授权策略。例如，Istio 授 权策略拒绝发送到 URI 路径 /user/profile 的请求。在存在安全漏洞的版本中，带有 URI 路径 /user/profile#section1 的请求绕过拒绝策略并路由到后端（通过规范的 URI path /user/profile%23section1），可能会导致安全事件。 如果您使用带有 DENY 操作和 operation.paths 的授权策略，或者 ALLOW //admin 在技术上应被视为与 /admin 不同的路径。但是，一些后 端服务选择通过将多个斜杠合并成单斜杠来规范 URL 路径。这可能导致绕过授权策略（//admin 不匹配 /admin），用户可以在后端的路径 /admin 上访问资源，这可能会产生安全问题。 如果您使用 ALLOW action + notPaths 字段或者 DENY action + paths 字段特征，您的集群会受到这个 规范化方案 选项 选项 描述 描述 示例 示例 备 备注 注 第 第 1 章 章 SERVICE MESH 2.X 15 NONE 没有进行规范化。Envoy 接收的任何内容都会完全 按原样转发到任何后端服 务。 ../%2Fa../b 由授权策略 评估并发送到您的服务。 此设置会受到 CVE- 2021-31920 的影响。 BASE 这是目前 Istio 默 默认 认安装 中使用的选项。这在

API: 输出示例 出示例 重要 重要 您可以安全地忽略结果中出现的以下条目： system:serviceaccount:kube-system:generic-garbage-collector 和 system:serviceaccount:kube-system:namespace-controller 用户可能会 出现在结果中，因为这些服务在搜索要删除的资源时调用所有注册的 API。 system:kube-controller-manager 和 system:cluster-policy-controller 用 户可能会出现在结果中，因为它们在强制执行各种策略时遍历所有资源。 您还可以使用 -o jsonpath 来过滤结果： 输出示例 出示例 2.1.1.2.3. 使用 使用 APIRequestCount 来 来识别哪 识别哪些工作 些工作负载 负载正在使用 正在使用删 更新。要让断开连接的集群继续接受更新，您必须更新镜像 registry。要更新您的镜像 registry，请使用与 第一次运行相同的配置运行 oc-mirror 插件。oc-mirror 插件引用存储后端的元数据，并只下载上次运行 该工具后所发布的元数据。这为 OpenShift Container Platform 和 Operator 提供了更新路径，并根据需 要执行依赖项解析。 重要 重要

配置文件中取消设置单个值。 是一个以点分隔的名称，每个令牌代表属性名称或映射键。 view 显示当前正在使用的合并 CLI 配置。 显示指定 CLI 配置文件的结果。 子命令 子命令 使用方法 使用方法 用法示例 用法示例 以使用访问令牌的用户身份登录。alice 用户使用此令牌： 查看自动创建的集群条目： 输 输出示例 出示例 $ oc config 1.130. oc set resources 使用 pod 模板更新对象上的资源请求/限制 用法示例 用法示例 2.5.1.131. oc set route-backends 更新路由的后端 用法示例 用法示例 # Set a readiness probe to try to open a TCP socket on 3306 oc set probe rc/mysql --readiness 应用程序示例包括在线视频流、在线购物和酒店预订系统。 组 组件 件 一组可单独运行和部署的 Kubernetes 资源。云原生应用是一系列小、独立、松散耦合的组件。 组件示例包括 API 后端、Web 界面和支付后端。 项 项目 目 包含源代码、测试和库的单一单元。 Context 包含单一组件的源代码、测试、库和 odo 配置文件的目录。 URL 公开组件的机制可从集群外部访问。 第

OpenStack community. All other trademarks are the property of their respective owners. 摘要 摘要 本文档提供了使用不同存储后端配置持久性卷以及通过 pod 管理动态分配存储的信息。 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 默 默认 认 Filesystem 是 Block 否 表 表 3.6. 块 块卷的 卷的绑 绑定方案 定方案 PV volumeMode PVC volumeMode 绑 绑定 定结 结果 果 Filesystem Filesystem 绑定 Unspecified Unspecified 绑定 Filesystem Unspecified 绑定 Unspecified Filesystem Unspecified 无绑定 Filesystem Block 无绑定 Block Filesystem 无绑定 PV volumeMode PVC volumeMode 绑 绑定 定结 结果 果 重要 重要 未指定值时将使用默认值 Filesystem。 第 第 3 章 章 了解持久性存 了解持久性存储 储 21 第 4 章 配置持久性存储 4.1. 使用 AWS ELASTIC

机器。（如果自己配置基础架构，则需要人工干预） 9. control plane 设置计算节点。 10. control plane 以一组 Operator 的形式安装其他服务。 此 bootstrap 过程的结果是正在运行的 OpenShift Container Platform 集群。然后，集群下载并配置日常 运作所需的其余组件，包括在受支持的环境中创建计算（compute）机器。 1.1.2. 安装后验证节点状态 8 发行镜像和 OpenShift Container Platform 4.8 Red Hat Operator 镜像。 建议每个流或更长时间最多 1 TB。 重要 重要 这些要求基于本地测试结果，且只测试了发行镜像和 Operator 镜像。存储要求可 能会因您的组织的需求而有所不同。有些用户可能需要更多空间，例如当它们镜像 多个 z-streams 时。您可以使用标准 Red Hat Quay 内部负载均衡器依赖于实例组而不是网络负载均衡器使用的目标池。安装程序为每个区创建实例组，即使 该组中没有实例。 集群 IP 地址仅为内部地址。 一个转发规则管理 Kubernetes API 和机器配置服务器端口。 后端服务由每个区实例组以及 bootstrap 实例组（如果存在）组成。 防火墙使用一个只基于内部源范围的规则。 6.9.2.1.1. 限制： 限制： 因为负载均衡器功能不同，没有运行对机器配置服

为集群管理员，您可以选择闲置这 些可扩展资源来减少资源消耗。 1.2.3. 将应用程序连接到服务 应用程序使用后端服务来构建和连接工作负载，这因服务提供商而异。使用 Service Binding Operator 作 为开发人员，您可以将工作负载与 Operator 管理的后端服务绑定在一起，而无需手动步骤配置绑定连 接。您还可以在 IBM Power Systems、IBM Z 和 LinuxONE 3.4.4. 查 查看 看输 输出但不 出但不创 创建 建 要查看运行 new-app 命令的空运行，您可以使用 -o|--output 参数及 yaml 或 json 值。然后，您可以使 用输出结果预览创建的对象，或将其重定向到可以编辑的文件。满意之后，您可以使用 oc create 创建 OpenShift Container Platform 对象。 要将 new-app 工件输出到一个文件，请运行以下命令： 视图监控应用程序的选项。使用 List 视图 图标 查看所有应 用程序的列表，并使用 图形视图 图标( )切回到图形视图。 您可以使用以下命令自定义视图： 使用 Find by name 字段查找所需组件。搜索结果可能会出现在可见区域之外 ; 点击左侧工具栏中 的 Fit to Screen 来改变 Topology 视图的大小来显示所有组件。 使用 Display Options 下拉列表配置各种应用程序的

镜像大约需要 358 GB。 每个流推荐具有 1 TB 或更多空间。 重要 重要 OpenShift Container Platform 4.10 安装 安装 20 重要 重要 这些要求基于本地测试结果，且只测试了发行镜像和 Operator 镜像。存储要求可 能会因您的组织的需求而有所不同。例如，当镜像了多个 z-streams 时，则可能需 要更多空间。您可以使用标准 Red Hat Quay 。 要让断开连接的集群继续接受更新，您必须更新镜像 registry。要更新您的镜像 registry，请使用与第一次 运行相同的配置运行 oc-mirror 插件。oc-mirror 插件引用存储后端的元数据，并只下载上次运行该工具 后所发布的元数据。这为 OpenShift Container Platform 和 Operator 提供了更新路径，并根据需要执行 依赖项解析。 重要 重要 设置。 您必须在镜像设置配置文件中指定存储后端。此存储后端可以是本地目录或支持 Docker v2-2 的 registry。oc-mirror 插件在创建镜像的过程中将元数据存储在这个存储后端中。 重要 重要 不要删除或修改 oc-mirror 插件生成的元数据。每次针对同一镜像 registry 运行 oc-mirror 插件时，都必须使用相同的存储后端。 流程 流程 1. 创建指定所需配置详情的

为集群管理员，您可以选择闲置这些可 扩展资源来减少资源消耗。 1.2.3. 将应用程序连接到服务 应用程序使用后端服务来构建和连接工作负载，这因服务提供商而异。使用 Service Binding Operator 作 为开发人员，您可以将工作负载与 Operator 管理的后端服务绑定在一起，而无需手动步骤配置绑定连 接。您还可以在 IBM Power Systems、IBM Z 和 LinuxONE 3.4.4. 查 查看 看输 输出但不 出但不创 创建 建 要查看运行 new-app 命令的空运行，您可以使用 -o|--output 参数及 yaml 或 json 值。然后，您可以使 用输出结果预览创建的对象，或将其重定向到可以编辑的文件。满意之后，您可以使用 oc create 创建 OpenShift Container Platform 对象。 要将 new-app 工件输出到一个文件，请运行以下命令： 视图 图标 查看所有应用 程序的列表，并使用 图 图形 形视图 视图 图标 ( ) 切回到图形视图。 您可以使用以下命令自定义视图： 使用 Find by name 字段查找所需组件。搜索结果可能会出现在可见区域之外 ; 点击左侧工具栏中 的 Fit to Screen 来改变 Topology 视图的大小来显示所有组件。 使用 Display Options 下拉列表配置各种应用程序的

control plane 机器都必须使用 RHCOS，其中包括一个 关键的首次启动置备工具，称为 Ignition。这一工具让集群能够配置机器。操作系统更新作为可引导容器 镜像（使用 OSTree 作为后端）提供，该镜像由 Machine Config Operator 在集群中部署。实际的操作系 统更改通过使用 rpm-ostree 在每台机器上作为原子操作原位进行。通过结合使用这些技术，OpenShift OpenShift Container Platform 集群存在默认存 存储类 储类。它还安装 Container Storage Interface (CSI) 驱动 程序，使集群能够使用各种存储后端。 重要 重要 如果禁用了集群存储功能，集群将没有默认的 storageclass 或任何 CSI 驱动程序。具有管 理员特权的用户可以创建默认存 存储类 储类，并在禁用集群存储功能时手动安装 CSI 镜像大约需要 358 GB。 每个流推荐具有 1 TB 或更多空间。 重要 重要 OpenShift Container Platform 4.13 安装 安装 28 重要 重要 这些要求基于本地测试结果，且只测试了发行镜像和 Operator 镜像。存储要求可 能会因您的组织的需求而有所不同。例如，当镜像了多个 z-streams 时，则可能需 要更多空间。您可以使用标准 Red Hat Quay