openshift_auth_password_total 统计 oc login 和 web 控制台登录尝试总次数。 $ oc get route oauth-openshift -n openshift-authentication -o json | jq .spec.host OpenShift Container Platform 4.13 认证 认证和授 和授权 权 10 第 3 章 配置内部 OAUTH 证书来自 定义内部 OAuth 服务器 URL。 $ oc get clusteroperators authentication NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.13.0 True False False 145m OAuth 端点时，需要信任 OAuth 服务器的组件需要包含适当的 CA 捆绑包。例如： 对于自签名证书，ca.crt 文件必须包含自定义 CA 证书，否则登录将无法成功。 Cluster Authentication Operator 在 openshift-config-managed 命名空间中的 oauth-serving-cert 配置映射中发布 OAuth 服务器的 serving 证书。您可以在配置映

NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.6.0 True False False 3h56m cloud-credential NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.6.0 True False False 3h56m cloud-credential apiserver-z25h4 1/1 Running 0 2m openshift-authentication-operator authentication-operator-69d5d8bf84-vh2n8 1/1 Running 0 5m ... $ oc logs

registry 使用 的存储，这样 Registry Operator 才可用。 示配置生产集群所需的持久性卷的说明。如果适用，显示有关将空目录配置为存储位置的说明，该位置只 SINCE authentication 4.6.0 True False False 3h56m cloud-credential NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.6.0 True False False 3h56m cloud-credential apiserver-z25h4 1/1 Running 0 2m openshift-authentication-operator authentication-operator-69d5d8bf84-vh2n8 1/1 Running 0 5m ... $ oc logs

router-certs secret 中，因此 Cluster Authentication Operator 无法在其健康检查中构建对证书的信任链，从 而导致它进入 Degraded 状态并阻止升级。现在，在默认路由器 CA 检查过程中，CA 始终包含 在 default-ingress-cert 配置映射中，因此 Cluster Authentication Operator 不再会阻止升级。 (BZ#1866818) (BZ#1866818) 在以前的版本中，Cluster Authentication Operator 无法解析从 OIDC 服务器返回的 HTML 页 面，该页面忽略了 Accept: application/json 请求它们不支持的登录流时，因为 Operator 希望 获得 JSON 响应。因此，Operator 无法遵循 IDP 配置。当因为不支持请求流从 OIDC 服务器返 回 HTML 页面时，Cluster 页面时，Cluster Authentication Operator 不再会失败。(BZ#1877803) 在以前的版本中，Cluster Authentication Operator 没有正确验证配置映射和 secret，这可能会 导致 OAuth 服务器的新部署以使用无效或缺失的文件推出，从而导致 Pod 崩溃。配置映射和 secret 现在由 Cluster Authentication Operator

NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.7.0 True False False 3h56m baremetal NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.7.0 True False False 3h56m baremetal NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.5.4 True False False 7m56s cloud-credential

NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.8.2 True False False 19m baremetal NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.8.2 True False False 19m baremetal NAME VERSION AVAILABLE PROGRESSING DEGRADED SINCE authentication 4.5.4 True False False 7m56s cloud-credential

Credential Operator"部分。 如果没有提供这些参数和值，安装程序会提供默认值。 type: io1 6 metadataService: authentication: Optional 7 type: m6i.xlarge replicas: 3 compute: 8 - hyperthreading: Enabled 9 name: rootVolume: iops: 2000 size: 500 type: io1 10 metadataService: authentication: Optional 11 type: c5.4xlarge zones: - us-west-2c replicas: 3 metadata: Connect 供应商的公共和私有 RSA 密钥文件： 输 输出示例 出示例 $ ls /manifests cluster-authentication-02-config.yaml openshift-cloud-credential-operator-cloud-credential-operator-iam-ro-creds-credentials

集群可能会被配置为从使用 AWS STS、GCP Workload Identity 或 Azure AD Workload Identity 的集群外部创 建和管理云凭证。您可以通过检查集群 Authentication 对象来确定集群是否使用 了此策略。 7. 只使用 mint 模式的 AWS 或 GCP 集群：要确定集群是否在没有 root secret 的情况下运行，请进 入到 Workloads 外部创建和管理云凭证，您必须检查集群 Authentication 对象 YAML 值。 a. 导航至 Administration → Cluster Settings。 b. 在 Cluster Settings 页面中，选择 Configuration 选项卡。 c. 在 Configuration resource 下，选择 Authentication。 d. 在 Authentication details 集群可能会被配置为从使用 AWS STS、GCP Workload Identity 或 Azure AD Workload Identity 的集群外部创 建和管理云凭证。您可以通过检查集群 Authentication 对象来确定集群是否使用 了此策略。 3. 仅使用 mint 模式的 AWS 或 GCP 集群：要确定集群是否在没有 root secret 的情况下运行，请运 行以下命令： 其中

服务器由 Cluster Authentication Operator 管理。 OpenShift Container Platform 4.7 架 架构 构 20 OpenShift OAuth 服务器 用户从 OpenShift OAuth 服务器请求令牌，以向 API 进行身份验证。 OpenShift OAuth 服务器由 Cluster Authentication Operator 管理。 name: extension-server-authentication-reader-my-webhook-namespace roleRef: kind: Role apiGroup: rbac.authorization.k8s.io name: extension-apiserver-authentication-reader 第 第 7 章 章 准入插件 准入插件

OpenShift OAuth API 服务器由 Cluster Authentication Operator 管理。 OpenShift OAuth 服务器 用户从 OpenShift OAuth 服务器请求令牌，以向 API 进行身份验证。 OpenShift OAuth 服务器由 Cluster Authentication Operator 管理。 组 组件 件 描述 描述 control name: extension-server-authentication-reader-my-webhook-namespace roleRef: kind: Role apiGroup: rbac.authorization.k8s.io name: extension-apiserver-authentication-reader subjects: - kind: