在节点上配置与机器配置指定的内容不匹配的情况。 containers 包括软件及其所有依赖项的轻量级和可执行镜像。由于容器虚拟化操作系统，您可以在任何位置运行 容器，从数据中心到公共或私有云到本地主机。 容器 容器编 编配引擎 配引擎 用于实现容器部署、管理、扩展和联网的软件。 容器工作 容器工作负载 负载 在容器中打包和部署的应用程序。 控制 控制组 组 (cgroups) 将进程集合分区到组中，以管理和限制资源进程占用。 数据中心从少量机器和应用程序扩展到为数百万客户端服务的数千台机器。 OpenShift Container Platform 以 Kubernetes 为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 第 第 2 章 章 OPENSHIFT CONTAINER PLATFORM 架 架构 构 9 2.1.1 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 的 一般概念比较简单： 从一个或多个 worker 节点开始，以运行容器工作负载。 从一个或多个 control plane 节点管理这些工作负载的部署。

为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 2.1.1. 关于 Kubernetes 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 用户请求的实际工作负载的地方。worker 节点公告其容量，而作为 master 服务一部分的调度程序决定在哪些节点上启动容器和 pod。重要服务在 每个 worker 节点上运行，包括 CRI-O（即容器引擎）、Kubelet（接受并履行运行和停止容器工作负载请 求的服务），以及服务代理（管理 worker 之间 Pod 的通信）。 在 OpenShift Container Platform 中，机器集用来控制 服务运行，另一些则作为静态 pod 运行。 systemd 服务适合需要始终在特定系统启动后不久出现的服务。对于 control plane 机器，这包括允许远程 登录的 sshd。它还包括以下服务： CRI-O 容器引擎 (crio)，用于运行和管理容器。OpenShift Container Platform 4.7 使用 CRI-O， 而不是 Docker Container Engine。 Kubelet (kubelet)，从

为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 1.1.1. 关于 Kubernetes 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 用户请求的实际工作负载的地方。worker 节点公告其容量，而作为 master 服务一部分的调度程序决定在哪些节点上启动容器和 Pod。重要服务在 每个 worker 节点上运行，包括 CRI-O（即容器引擎）、Kubelet（接受并履行运行和停止容器工作负载请 求的服务），以及服务代理（管理 worker 之间 Pod 的通信）。 在 OpenShift Container Platform 中，MachineSets 服务运行，其他服务则作为静态 Pod 运行。 systemd 服务适合需要始终在特定系统启动后不久出现的服务。对于 master 机器，这包括允许远程登录 的 sshd。它还包括以下服务： CRI-O 容器引擎 (crio)，用于运行和管理容器。OpenShift Container Platform 4.2 使用 CRI-O， 而不是 Docker Container Engine。 Kubelet (kubelet)，从

为基础，为大规模电信、流视频、游戏、银行和其他应用 提供引擎技术。借助红帽开放技术中的实现，您可以将容器化应用程序从单一云扩展到内部和多云环境。 1.1.1. 关于 Kubernetes 尽管容器镜像和从中运行的容器是现代应用程序开发的主要构建块，但要大规模运行它们，则需要可靠且 灵活的分发系统。Kubernetes 是编配容器的事实标准。 Kubernetes 是一个开源容器编配引擎，用于自动化容器化应用程序的部署、扩展和管理。Kubernetes 用户请求的实际工作负载的地方。worker 节点公告其容量，而作为 master 服务一部分的调度程序决定在哪些节点上启动容器和 Pod。重要服务在 每个 worker 节点上运行，包括 CRI-O（即容器引擎）、Kubelet（接受并履行运行和停止容器工作负载请 求的服务），以及服务代理（管理 worker 之间 Pod 的通信）。 在 OpenShift Container Platform 中，MachineSets 服务运行，其他服务则作为静态 Pod 运行。 systemd 服务适合需要始终在特定系统启动后不久出现的服务。对于 master 机器，这包括允许远程登录 的 sshd。它还包括以下服务： CRI-O 容器引擎 (crio)，用于运行和管理容器。OpenShift Container Platform 4.3 使用 CRI-O， 而不是 Docker Container Engine。 Kubelet (kubelet)，从

OpenShift Update Service 应用程序对象： 6. 验证 OpenShift Update Service 应用程序： a. 使用以下命令获取策略引擎路由： 您可能需要轮询，直到命令成功为止。 b. 从策略引擎检索图形。确保为 channel 指定一个有效版本。例如，如果在 OpenShift $ NAMESPACE=openshift-update-service $ UPDATE SERVICE 17 b. 从策略引擎检索图形。确保为 channel 指定一个有效版本。例如，如果在 OpenShift Container Platform 4.7 中运行，请使用 stable-4.7： 这会轮询到图形请求成功为止，但生成的图形可能为空，具体取决于您已镜像的发行镜像。 注意 注意 基于 RFC-1123 的策略引擎路由名称不能超过 63 个字符。如果您看到 Service 目标命名空间，如 openshift-update-service： 2. 设置 OpenShift Update Service 应用程序的名称，如 service： 3. 获取策略引擎路由： 4. 为拉取图形数据设置补丁： $ while sleep 10; do HTTP_CODE="$(curl --header Accept:application/json --output

Prometheus Prometheus 是 OpenShift Container Platform 监控堆 栈所依据的监控系统。Prometheus 是一个时间序列数 据库和用于指标的规则评估引擎。Prometheus 将警报 发送到 Alertmanager 进行处理。 Prometheus Adapter Prometheus Adapter（上图中的 PA）负责转换 Kubernetes 是为用户定义的项目提供监控的监控系 统。Prometheus 将警报发送到 Alertmanager 进行处 理。 Thanos Ruler Thanos Ruler 是 Prometheus 的一个规则评估引擎， 作为一个独立的进程来部署。在 OpenShift Container Platform 4.10 中，Thanos Ruler 为监控用户定义的项 目提供规则和警报评估。 组 组件 件 描述 描述 Prometheus Prometheus 是 OpenShift Container Platform 监控堆栈所依据的监控系统。Prometheus 是一个时间 序列数据库和用于指标的规则评估引擎。Prometheus 将警报发送到 Alertmanager 进行处理。 Prometheus adapter Prometheus Adapter 会转换 Kubernetes 节点和 pod

OpenShift Container Platform 集群的建议限制，请参阅安装文档中的 大小注意事项 部分。 OpenShift Container Platform 和容器引擎协调容器状态更新的建议大小帐户。这种协调会对主机和容器 引擎进程造成 CPU 压力，这些压力可包括编写大量日志数据。 kubelet 与 API 服务器进行交互的频率取决于 qps 和 burst 值。如果每个节点上运行的 pod 为了提高性能，红帽建议在设备映射器中使用 overlayFS 存储驱动程序。但是，如果您已在生产环境中使 用设备映射器，红帽强烈建议您对容器镜像和容器根文件系统使用精简配置。否则，始终将 overlayfs2 用 于 Docker 引擎，或将 overlayFS 用于 CRI-O。 使用循环设备可能会影响性能。虽然您仍可以继续使用它，但会记录以下警告信息： devmapper: Usage of loopback devices

使用以下命令获取策略引擎路由： 您可能需要轮询，直到命令成功为止。 b. 从策略引擎检索图形。确保为 channel 指定一个有效版本。例如，如果在 OpenShift Container Platform 4.14 中运行，请使用 stable-4.14 ： 这会轮询到图形请求成功为止，但生成的图形可能为空，具体取决于您已镜像的发行镜像。 注意 注意 基于 RFC-1123 的策略引擎路由名称不能超过 OpenShift Container Platform 4.14 更新集群 更新集群 118 2. 设置 OpenShift Update Service 应用程序的名称，如 service： 3. 获取策略引擎路由： 4. 为拉取图形数据设置补丁： 5. 对 CVO 进行补丁以使用本地 OpenShift 更新服务： 注意 注意 请参阅配置集群范围代理将 CA 配置为信任更新服务器。 3.6.3

通过使用卷来满足所有持久性存储需求，即使容 器重启或移动，其内容也会保留下来。如果您的镜像将数据写入容器中的任意位置，则其内容可能无法保 留。 所有在容器销毁后仍需要保留的数据都必须写入卷中。容器引擎支持容器的 readonly 标记，可用于严格 执行不将数据写入容器临时存储的良好做法。现在围绕该功能设计您的镜像，将更便于以后利用。 在 Dockerfile 中显式定义卷可方便镜像用户轻松了解在运行您的镜像时必须要定义的卷。 应用程序为输出的新镜像。 4.1.2.2. 支持任意用 支持任意用户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 来运行容器。这对因容器引擎漏洞而 逸出容器的进程提供了额外的安全防护，从而避免在主机节点上出现未授权的权限升级的问题。 对于支持以任意用户身份运行的镜像，由镜像中进程写入的目录和文件应归 root 组所有，并可由该组读/ 写。待执行文件还应具有组执行权限。 registry 的默认列表。没有办法回退到非全限定 搜索 registry 的默认列表。 containerRuntimeSearchRegistries 参数只适用于 Podman 和 CRI-O 容器引擎。列表中的 registry 只 能用于 pod 规格，不能用于构建和镜像流。 流程 流程 unqualified-search-registries = ["registry.access.redhat

通过使用卷来满足所有持久性存储需求，即使容 器重启或移动，其内容也会保留下来。如果您的镜像将数据写入容器中的任意位置，则其内容可能无法保 留。 所有在容器销毁后仍需要保留的数据都必须写入卷中。容器引擎支持容器的 readonly 标记，可用于严格 执行不将数据写入容器临时存储的良好做法。现在围绕该功能设计您的镜像，将更便于以后利用。 在 Dockerfile 中显式定义卷可方便镜像用户轻松了解在运行您的镜像时必须要定义的卷。 用程序源代码为输入的镜像和生成以运行汇编应用程序为输出的新镜像。 支持任意用户 id 默认情况下，OpenShift Container Platform 使用任意分配的用户 ID 来运行容器。这对因容器引擎漏洞而 逸出容器的进程提供了额外的安全防护，从而避免在主机节点上出现未授权的权限升级的问题。 对于支持以任意用户身份运行的镜像，由镜像中进程写入的目录和文件应归 root 组所有，并可由该组读/ 写。待执行文件还应具有组执行权限。 registry 的默认列表。没有办法回退到非全 限定搜索 registry 的默认列表。 containerRuntimeSearchRegistries 参数只适用于 Podman 和 CRI-O 容器引擎。列表中的 registry 只 能用于 pod 规格，不能用于构建和镜像流。 流程 1. 编辑 image.config.openshift.io/cluster 自定义资源： 以下是 image