OpenShift Container Platform 4.13 认证和授权 为用户和服务配置用户身份验证和访问控制 Last Updated: 2024-02-17 OpenShift Container Platform 4.13 认证和授权 为用户和服务配置用户身份验证和访问控制 法律通告 法律通告 Copyright © 2024 Red Hat, Inc. The text 章 章 身份 身份验证 验证和授 和授权 权概述 概述 1.1. OPENSHIFT CONTAINER PLATFORM 身份验证和授权的常见术语表 1.2. 关于 OPENSHIFT CONTAINER PLATFORM 中的身份验证 1.3. 关于 OPENSHIFT CONTAINER PLATFORM 中的授权 第 第 2 章 章 了解身份 了解身份验证 验证 2.1. 用户 2.2. 组 2.3. API 身份验证 第 第 3 章 章 配置内部 配置内部 OAUTH 服 服务 务器 器 3.1. OPENSHIFT CONTAINER PLATFORM OAUTH 服务器 3.2. OAUTH 令牌请求流量和响应 3.3. 内部 OAUTH 服务器选项 3.4. 配置内部 OAUTH 服务器的令牌期间 3.5. 为内部 OAUTH 服务器配置令牌不活跃超时 3

24.2. 配置防火墙 24.3. 启用 LINUX 控制组版本 1 (CGROUP V1) 第 第 25 章 章 验证 验证安装 安装 25.1. 查看安装日志 25.2. 查看镜像拉取源 25.3. 获取集群版本、状态和更新详情 25.4. 使用短期凭证的集群：验证凭证配置 25.5. 使用 CLI 查询集群节点状态 25.6. 从 OPENSHIFT CONTAINER PLATFORM OPENSHIFT CONTAINER PLATFORM 集群 第 第 27 章 章 支持 支持 FIPS 加密 加密 27.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 27.2. 集群使用的组件支持 FIPS 27.3. 在 FIPS 模式下安装集群 3864 3866 3867 3868 3868 3868 3870 3871 3872 3872 到 互联网的网络，这是一个理想的方法。Assisted Installer 是安装 OpenShift Container Platform 的最简单方法，它提供智能默认值，并在安装集群前执行预动态验证。它还提供了一个 RESTful API 用于自动化和高级配置场景。 本地基于代理的 本地基于代理的 ：对于断开连接的环境或有网络限制的环境，您可以使用基于代理的安装程序。 它提供了 Assisted

在任意平台上安装集群 第 第 27 章 章 安装配置 安装配置 27.1. 自定义节点 27.2. 配置防火墙 27.3. 启用 LINUX 控制组版本 2 (CGROUP V2) 第 第 28 章 章 验证 验证安装 安装 2858 2858 2863 2867 2927 2994 3058 3132 3177 3183 3184 3187 3187 3188 3212 3256 3291 到 互联网的网络，这是一个理想的方法。Assisted Installer 是安装 OpenShift Container Platform 的最简单方法，它提供智能默认值，并在安装集群前执行预动态验证。它还提供了一个 RESTful API 用于自动化和高级配置场景。 本地基于代理的 本地基于代理的 ：对于断开连接的环境或有网络限制的环境，您可以使用基于代理的安装程序。 它提供了 Assisted 用于创建集群配 置。Assisted Installer 会生成一个发现镜像。集群机器使用发现镜像进行引导，它会安装 RHCOS 和代 理。Assisted Installer 和代理一起为集群提供了预安装验证和安装功能。 基于代理的安装程序 基于代理的安装程序 OpenShift Container Platform 4.13 安装 安装 8 与 Assisted Installer 类似的安装

到其他服务。 Service Mesh 基于开源 Istio 项目，为创建部署的服务提供发现、负载均衡、服务对服务身份验证、故障 恢复、指标和监控的服务网络提供了便捷的方法。服务网格还提供更复杂的操作功能，其中包括 A/B 测 试、canary 发行版本、访问控制以及端到端验证。 1.1.2. 核心功能 Red Hat OpenShift Service Mesh 在服务网络间提供了实现关键功能的统一方式： 在服务网络间提供了实现关键功能的统一方式： 流量管理 - 控制服务间的流量和 API 调用，提高调用的可靠性，并使网络在条件不好的情况保持 稳定。 服务标识和安全性 - 在网格中提供可验证身份的服务，并提供保护服务流量的能力，以便可以通 过信任度不同的网络进行传输。 策略强制 - 对服务间的交互应用机构策略，确保实施访问策略，并在用户间分配资源。通过配置 网格就可以对策略进行更改，而不需要修改应用程序代码。 遥测 - 故障排除功能 control plane 和网关监控 代理同步状态 Envoy 配置视图 显示 Envoy 代理和应用程序日志处于交集的统一视图 支持联邦服务网格视图的命名空间和集群选择 新的验证、向导和分布式追踪增强 1.2.2.13. Red Hat OpenShift Service Mesh 2.0.11.1 的新功能 的新功能 此 Red Hat OpenShift Service

的。例如，您可以创建基础架构机器集和相关的机器，以便将支持型工作负载转移到新机器上。 重要 重要 您只能在 Machine API 操作的集群中使用高级机器管理和扩展功能。具有用户置备的基础 架构的集群需要额外的验证和配置才能使用 Machine API。 具有基础架构平台类型 none 的集群无法使用 Machine API。即使附加到集群的计算机器安 装在支持该功能的平台上，也会应用这个限制。在安装后无法更改此参数。 部分中的值是特定于平台的。有关 CR 中的 参数的更多信息，请参阅您的供应商计算机器设置 CR 配置示例。 3. 运行以下命令来创建 MachineSet CR： 验证 验证 运行以下命令，查看计算机器集列表： 输出示例 出示例 当新的计算机器集可用时，DESIRED 和 CURRENT 的值会匹配。如果 compute 机器集不可 用，请等待几分钟，然后再次运行命令。 使用 MACHINE API 管理 管理计 计算机器 算机器 13 重要 重要 您只能在 Machine API 操作的集群中使用高级机器管理和扩展功能。具有用户置备的基础 架构的集群需要额外的验证和配置才能使用 Machine API。 具有基础架构平台类型 none 的集群无法使用 Machine API。即使附加到集群的计算机器安 装在支持该功能的平台上，也会应用这个限制。在安装后无法更改此参数。

章 准 准备 备更新集群 更新集群 2.1. 准备升级到 OPENSHIFT CONTAINER PLATFORM 4.14 2.2. 准备使用手动维护的凭证更新集群 2.3. PREFLIGHT 验证内核模块管理 (KMM) 模块 第 第 3 章 章 执 执行集群更新 行集群更新 3.1. 使用 CLI 更新集群 3.2. 使用 WEB 控制台更新集群 3.3. 执行 EUS 到 EUS 更新 使用对应的发行镜像来更新 集群。发行工件 (artifact) 作为容器镜像托管在 Quay 中。 为了让 OpenShift Update Service 仅提供兼容的更新，可以使用一个版本验证管道来驱动自动化过程。每 个发行工件都会被验证是否与支持的云平台和系统架构以及其他组件包兼容。在管道确认有适用的版本 后，OpenShift Update Service 会通知您它可用。 OpenShift Container availableUpdates 字段是最新且准确的，则为 True。 ReleaseAccepted ：集群版本状况类型 ReleaseAccepted，并带有 True 状态表示请求的发行版 本有效负载在镜像验证和预条件检查过程中没有失败。 ImplicitlyEnabledCapabilities ：集群版本条件类型 ImplicitlyEnabledCapabilities 具有 True 状 态，表示用户目前没有通过

章 在任意平台上安装 在任意平台上安装 16.1. 在任何平台上安装集群 第 第 17 章 章 安装配置 安装配置 17.1. 自定义节点 17.2. 配置防火墙 第 第 18 章 章 验证 验证安装 安装 18.1. 查看安装日志 18.2. 查看镜像拉取源 18.3. 获取集群版本、状态和更新详情 18.4. 使用 CLI 查询集群节点状态 18.5. 从 OPENSHIFT CONTAINER . . . . . . . . . . . . . 第 第 20 章 章 支持 支持 FIPS 加密 加密 20.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 20.2. 集群使用的组件支持 FIPS 20.3. 在 FIPS 模式下安装集群 2581 2581 2581 2582 OpenShift Container Platform 4.8 清单，以及您的机器类 型适用的 Ignition 配置文件。 重要 重要 安装期间可以修改控制基础 RHCOS 操作系统的 Kubernetes 和 Ignition 配置文件。但是， 没有可用的验证机制来确认您对这些对象所做修改是适当的。如果修改了这些对象，集群 可能会无法运行。由于存在这种风险，修改 Kubernetes 和 Ignition 配置文件不受支持，除 非您遵循记录的流程或在红帽支持指示下操作。

章 在任意平台上安装 在任意平台上安装 22.1. 在任意平台上安装集群 第 第 23 章 章 安装配置 安装配置 23.1. 自定义节点 23.2. 配置防火墙 第 第 24 章 章 验证 验证安装 安装 24.1. 查看安装日志 24.2. 查看镜像拉取源 24.3. 获取集群版本、状态和更新详情 24.4. 使用 CLI 查询集群节点状态 24.5. 从 OPENSHIFT CONTAINER OPENSHIFT CONTAINER PLATFORM 集群 第 第 26 章 章 支持 支持 FIPS 加密 加密 26.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 26.2. 集群使用的组件支持 FIPS 26.3. 在 FIPS 模式下安装集群 2741 2741 2743 2771 2809 2855 2894 2943 2993 3040 3042 清单，以及您的机器类 型适用的 Ignition 配置文件。 重要 重要 安装期间可以修改控制基础 RHCOS 操作系统的 Kubernetes 和 Ignition 配置文件。但是， 没有可用的验证机制来确认您对这些对象所做修改是适当的。如果修改了这些对象，集群 可能会无法运行。由于存在这种风险，修改 Kubernetes 和 Ignition 配置文件不受支持，除 非您遵循记录的流程或在红帽支持指示下操作。

Container Platform 4.13 虚 虚拟 拟化 化 8 表 表 2.1. hco-operator 组 组件 件 组 组件 件 描述 描述 deployment/hco-webhook 验证 HyperConverged 自定义资源内容。 deployment/hyperconverged-cluster-cli- download 提供 virtctl 工具二进制文件，以便直接从集群下载它 daemonset/hostpath-provisioner 实现 HPP 的传统驱动程序接口。 2.6. 关于 SSP-OPERATOR ssp-operator 部署通用模板、相关默认引导源和模板验证器。 第 第 2 章 章 OPENSHIFT VIRTUALIZATION 架 架构 构 11 表 表 2.5. ssp-operator 组 组件 件 组 组件 件 描述 描述 depl Platform 4.13 基于 Red Hat Enterprise Linux (RHEL) 9.2。RHEL 9.2 尚未提交用于 FIPS 验证。红帽计划获取 RHEL 9.0 和 RHEL 9.2 以及以后的 RHEL 9.x 偶数的次版本模块的 FIPS 验证，但没有具体的时间表。更新 将包括在 Compliance Activities and Government Standards 中。

5.7. 定义集群服务版本（CSV） 5.8. 使用捆绑包镜像 5.9. 遵守 POD 安全准入 5.10. 云供应商上的 OPERATOR 的令牌身份验证 5.11. 使用 SCORECARD 工具验证 OPERATOR 5.12. 验证 OPERATOR 捆绑包 5.13. 高可用性或单节点集群检测和支持 5.14. 使用 PROMETHEUS 配置内置监控 5.15. 配置领导选举机制 的信息，如名称和版本。 驱动 UI 的额外信息，例如其图标和一些示例自定义资源 (CR)。 所需的和所提供的 API。 相关镜像。 将清单加载到 Operator Registry 数据库中时，会验证以下要求： 该捆绑包必须在注解中至少定义一个频道。 每个捆绑包都只有一个集群服务版本（CSV）。 如果 CSV 拥有自定义资源定义（CRD），则该 CRD 必须存在于捆绑包中。 2.2.1.1 SQLite 数据库格式的声明式配置演变，并且完全向后兼容。此格式的目标是启用 Operator 目录编辑、可组合性和可扩展性。 编辑 使用基于文件的目录，与目录内容交互的用户可以对格式进行直接更改，并验证其更改是否有效。由 于这种格式是纯文本 JSON 或 YAML，因此目录维护人员可以通过手动或广泛支持的 JSON 或 YAML 工具（如 jq CLI）轻松操作目录元数据。 此可编辑功能启用以下功能和用户定义的扩展：