通讯来提高性能。 添加对 Envoy 的 Secret Discovery Service（SDS）的支持。SDS 是一个更加安全有效地向 Envoy side car proxies 发送 secret 的机制。 match: context: GATEWAY listener: filterChain: filter: 已弃用的功能 已弃用的功能 Mixer 组件在版本 2.0 中已弃用，并将在版本 2.1 中删除。虽然在版本 2.0 中仍支持使用 Mixer 来实现扩 展，但扩展应该已迁移到新的 WebAsembly 机制。 Red Hat OpenShift Service Mesh 2.0 不再支持以下资源类型： Policy（策略） （authentication.istio.io/v1alpha1）不再被支持。根据策略资源中的具体配置， Service Mesh 项目中创建，Component 设为 Kiali。 Kiali 中已知的问题： KIALI-2206 当您第一次访问 Kiali 控制台时，浏览器中没有 Kiali 的缓存数据，Kiali 服务详情页面 的 Metrics 标签页中的 “View in grafana” 链接会重定向到错误的位置。只有在第一次访问 Kiali 才 会出现这个问题。 KIALI-507

ali pod 会 重新启动，并在 Kiali pod 重新启动的过程中在 Graph 页中显示错误信息。 KIALI-2206 当您第一次访问 Kiali 控制台时，浏览器中没有 Kiali 的缓存数据，Kiali 服务详情页面 的 Metrics 标签页中的 “View in grafana” 链接会重定向到错误的位置。只有在第一次访问 Kiali 才 会出现这个问题。 KIALI-507 io/inject 注解，如“自动 sidecar 注入”部分所示。 2.1.6. Istio 基于角色的访问控制功能 Istio 基于角色的访问控制 (RBAC) 提供了可用来控制对某个服务的访问控制机制。您可以根据用户名或者 指定一组属性来识别对象，并相应地应用访问控制。 上游 Istio 社区安装提供的选项包括：标头精确匹配、匹配标头中的通配符，或匹配标头中包括的特定前 缀或后缀。 Red Hat span，并将其放入内部队列 以便进行处理。这允许收集器立即返回到客户端/代理，而不需要等待 span 进入存储。 Storage (Data Store) - 收集器需要一个持久的存储后端。Jaeger 带有一个可插入的机制用于 span 存储。请注意：在这个发行本中，唯一支持的存储是 Elasticsearch。 Query (Query Service) - Query 是一个从存储中检索 trace 的服务。

master 会积极缓存资源的反序列化版本，以简化 CPU 负载。但是，如果 较小的 pod 集群小于 1000 个 pod，这个缓存可能会浪费大量内存用于微小的 CPU 负载。默认缓存大小 为 50,000 个条目，它根据资源的大小，可以将 cupy 1 增加到 2 GB 内存。使用 /etc/origin/master/master-config.yaml 中的以下设置可以减少这个缓存大小： 发送到 NVMe 并启动 etcd 节点。 3.4. 使用 TUNED 配置集扩展主机 tuned 是 Red Hat Enterprise Linux(RHEL)和其他红帽产品默认启用的调优配置文件交付机制。 tuned 自 定义 Linux 设置，如 sysctl、电源管理和内核命令行参数，以针对不同的工作负载性能和可扩展性要求优 化操作系统。 OpenShift Container Platform 盘 File 在 OS 中作为要挂载的文件系统导出 也称为网络附加存储（Network Attached Storage，NAS） 取决于不同的协议、实现、厂商及范围，其并 行性、延迟、文件锁定机制和其它功能可能会 有很大不同。 聚合模式/独立于模式 GlusterFS [1], RHEL NFS, NetApp NFS [2], Azure File, Vendor NFS, Vendor

版本和应用程序版本。您还可以在 表单和 YAML 编辑器间切换，同时保留输入的值。 Knative 事件工作流已进行了改进： 添加了对 Knative Eventing Channels 的支持，以构建可靠的事件交付机制。 现在，您可以使用相关的代理过滤器为频道和触发器创建订阅，并选择 Knative 服务作为订阅 者。 现在，在创建事件源时，可以从该命名空间中指定 sink 作为任何 Knative 资源，如 构建失败，因为它们在某些情况下无法正确扩展构建参数。此更新 修复了 Dockerfile 构建参数处理，因此 Dockerfile 构建现在可以成功。(BZ#1839683) 在以前的版本中，Buildah 调用会从其 blob 缓存中读取镜像，这会导致 Source-to-Image（S2I） 构建失败。这个问题已在 Buildah v1.14.11 中解决，它已被加入到 OpenShift Container Platform 时，在部署自动扩展 器时不会注册。现在，在部署集群自动扩展器时这些值会被正确读取。(BZ#1854907) 很少可以部署重复的机器 API 控制器实例。因此，集群可能会泄漏无法访问的机器。现在，领导 选举机制添加到所有机器 API 组件中，以确保不会创建重复的实例。机器 API 控制器仅运行指定 数量的实例。(BZ#1861896) 在 Red Hat Virtualization（RHV）集群上，手动机器扩展可能会失败。从

转发方法的配置机制 方法的配置机制 在 OpenShift Logging 5.3 中，日志转发的传统配置机制已被删除： 您不能使用旧的 Fluentd 方法和旧的 $ oc delete pod -l component=collector 第 第 1 章 章 LOGGING 发 发行注 行注记 记 31 在 OpenShift Logging 5.3 中，日志转发的传统配置机制已被删除： SASL。如果缺失，则设置了任何其他 sasl. 密钥 时自动启用 SASL。 sasl.mechanisms ：(array)允许的 SASL 机制名称列表。如果缺少或为空，则使用系统默认 值。 sasl.allow-insecure ：（布尔值）允许发送明文密码的机制。默认为false。 7.1.1. 创建 Secret 您可以使用以下命令在包含您的证书和密钥文件的目录中创建 secret： $ 数据结构，它以索引形式保存术语列表，并保存在 JVM 堆中。因为 fielddata 构建非常昂贵，所以 Elasticsearch 会缓存 fielddata 结构。当底层索引分段被删除或合并 时，或者没有足够 JVM HEAP 内存用于所有 fielddata 缓存时，Elasticsearch 可以驱除 fielddata 缓 存,。 Logging/Elasticsearch Nodes 仪表板包含有关

安装 TOPOLOGY AWARE LIFECYCLE MANAGER 16.5. 关于 CLUSTERGROUPUPGRADE CR 16.6. 更新受管集群上的策略 16.7. 使用容器镜像预缓存功能 16.8. 对 TOPOLOGY AWARE LIFECYCLE MANAGER 进行故障排除 第 第 17 章 章 创 创建性能配置集 建性能配置集 17.1. 关于性能配置集创建器 17 境的推荐主机实 实践 践 29 (RPS)。RFS 在技术上基于 RPS，通过增加 CPU 缓存命中率来提高数据包处理的效率。RFS 通过确定计 算最方便的 CPU，以便缓存命中更有可能在 CPU 中发生，增加了对队列长度的考虑。因此，会减少 CPU 缓存无效的频率，从而只需要较少的循环来重建缓存。这有助于缩短数据包处理运行时间。 2.3.1. 使用 Machine Config Operator SCSI 的接口： 主机上 SCSI 附加磁带驱动器的 LUN。 在主机文件系统中挂载在虚拟 DVD 驱动器中的 DVD ISO 文件。 2.6.4. 为磁盘配置客户机缓存 将磁盘设备配置为由客户机而不是主机执行缓存。 确保磁盘设备的 driver 元素包含 cache="none" 和 io="native" 参数。 2.6.5. 排除内存气球（Balloon）设备 除非您需要动态

operator.openshift.io -n openshift-cluster-samples-operator 注意 注意 这是必要的，因为镜像流导入过程在此刻不使用镜像（mirro）或搜索机制。 5. 将所有未镜像的镜像流添加到 Samples Operator 配置对象的 skippedImagestreams 字段。或 者，如果您不想支持任何示例镜像流，请在 Samples Operator 个字符（如：fd44297e2ddb）。 3.2. 容器 OpenShift Container Platform 应用程序的基本单元称为容器。Linux 容器技术是一个用于隔离不同运行 进程的轻量机制。它可以把运行的进程限制为只与相应的资源进行交互。容器一词被定义为容器镜像的特 定运行或暂停实例。 在一个单一的主机上可以包括多个容器来运行多个不同的应用程序实例，且相互间无法看到其他应用程序 的 构建过程中创建的所有临时文件均应删除。这也包括通过 ADD 命令添加的任何文件。例如，我们强烈建 议您在执行 yum install 操作后运行 yum clean 命令。 您可按照如下所示创建 RUN 语句来防止 yum 缓存最终留在镜像层： RUN yum -y install mypackage && yum -y install myotherpackage && yum clean all -y 请注意，如果您改写为：

应用的基本单元，其中包含打包的应用程序代码及其依赖项、库和 二进制文件。容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有 云。 Linux 容器技术是隔离运行进程并仅限制对指定资源的访问的轻量机制。作为管理员，您可以在 Linux 容 器上执行各种任务，例如： 将文件复制到容器中或从容器中 复制。 允许容器使用 API 对象。 在容器中执行远程命令。 使用端口转发来访问容器中的应用。 对象在不以明文方式公开的前提下提供此 象在不以明文方式公开的前提下提供此类 类信息。 信息。 2.6.1. 了解 了解 secret Secret 对 对象 象类 类型提供了一种机制来保存敏感信息，如密 型提供了一种机制来保存敏感信息，如密码 码、 、OpenShift Container Platform 客 客户 户端配 端配 置文件和私有源存 置文件和私有源存储库 储库凭 凭证 证等。 等。secret 在拉取 在拉取 Pod 的 的镜 镜像 像时 时通 通过 过 kubelet 使用。 使用。 卷 卷类 类型 型 secret 使用卷机制将数据作 使用卷机制将数据作为 为文件写入到容器中。 文件写入到容器中。镜 镜像拉取 像拉取 secret 使用服 使用服务帐户 务帐户，将 ，将 secret 自 自动 动注入到命名空 注入到命名空间 间中的所有

应用程序的基本单元，它由应用程序代码与其依赖项、库和二进制 文件一起打包。容器提供不同环境间的一致性和多个部署目标：物理服务器、虚拟机 (VM) 和私有或公有 云。 Linux 容器技术是一种轻量型机制，用于隔离运行中的进程，仅限制对指定的资源的访问。作为管理员， 您可以在 Linux 容器上执行各种任务，例如： 将文件复制到一个容器中或从容器中复制。 允许容器消耗 API 对象。 在容器中执行远程命令。 有些应用程序需要密码和用户名等敏感信息，但您不希望开发人员持有这些信息。 作为管理员，您可以使用 Secret 对象在不以明文方式公开的前提下提供此类信息。 2.6.1. 了解 secret Secret 对象类型提供了一种机制来保存敏感信息，如密码、OpenShift Container Platform 客户端配置文 件和私有源存储库凭证等。secret 将敏感内容与 Pod 分离。您可以使用卷插件将 secret 挂载到容器中， secret。可以通过三种方式将 secret 用于 Pod： 为容器产生环境变量。 作为挂载到一个或多个容器上的卷中的文件。 在拉取 Pod 的镜像时通过 kubelet 使用。 卷类型 secret 使用卷机制将数据作为文件写入到容器中。镜像拉取 secret 使用服务帐户，将 secret 自动 注入到命名空间中的所有 pod。 当模板包含 secret 定义时，模板使用提供的 secret 的唯一方法是确保验证

不能更改。特定 SHA 标 识符会始终引用完全相同的容器镜像内容。例如： 1.7. 容器 OpenShift Container Platform 应用程序的基本单元称为容器。Linux 容器技术是一种轻量型机制，用于 隔离运行中的进程，使它们只能跟指定的资源交互。容器一词被定义为容器镜像的特定运行或暂停实例。 在一个单一的主机上可以包括多个容器来运行多个不同的应用程序实例，且相互间无法看到其他应用程序 配置对象中的 samplesRegistry 字段，使其包含镜像配置中定义 的镜像位置的 hostname 部分： 注意 注意 这是必要的，因为镜像流导入过程在此刻不使用镜像（mirro）或搜索机制。 6. 将所有未镜像的镜像流添加到 Cluster Samples Operator 配置对象的 skippedImagestreams 字 段。或者，如果您不想支持任何示例镜像流，在 Cluster 删除构建过程中创建的所有临时文件。这也包括通过 ADD 命令添加的任何文件。例如，在执行 yum install 操作后运行 yum clean 命令。 您可按照如下所示创建 RUN 语句来防止 yum 缓存最终留在镜像层： 请注意，如果您改写为： 则首次 yum 调用会将额外文件留在该层，后续运行 yum clean 操作时无法删除这些文件。最终镜像中看 不到这些额外文件，但它们存在于底层中。