因为 etcd 将数据写入磁盘并在磁盘上持久化，所以其性能取决于磁盘性能。虽然 etcd 并不是有非常高的 I/O 负载，但它需要使用一个具有低延迟的块设备才能获得最佳性能和稳定性。因为 etcd 的共识协议依 赖于将元数据永久存储到一个日志 (WAL)，所以 etcd 对磁盘的写延迟非常敏感。减慢来自其他进程的磁 盘活动和磁盘活动可能会导致长时间的 fsync 延迟。 这些延迟可能会导致 etcd ENDPOINT | ID | VERSION | DB SIZE | IS LEADER | IS LEARNER | RAFT TERM | RAFT INDEX | RAFT APPLIED INDEX | ERRORS | +---------------------------+------------------+---------+-- ENDPOINT | ID | VERSION | DB SIZE | IS LEADER | IS LEARNER | RAFT TERM | RAFT INDEX | RAFT APPLIED INDEX | ERRORS | +---------------------------+------------------+---------+--

19.2.1. PTP 域的元素 PTP 用于将网络中连接的多个节点与每个节点的时钟同步。PTP 同步时钟以源目标层次结构进行组织。 层次结构由最佳 master 时钟 (BMC) 算法自动创建和更新，该算法在每个时钟上运行。目标时钟与源时钟 同步，目标时钟本身也可以是其他下游时钟的源。下面描述了三种 PTP 时钟类型。 Grandmaster 时钟 时钟 grandmaster 时钟向网 Kubernetes control plane 节点各自包含一个 ovnkube-master pod，它托管 OVN 北向和南向数据库的容 器。所有 OVN 北向数据库组成一个 Raft 集群，所有南向数据库组成一个单独的 Raft 集群。在任何给定 时间，单个 ovnkube-master 是领导机，其他 ovnkube-master pod 为 followers。 27.2.2. 列出 OVN-Kubernetes 何转换为逻辑流规则。OVN Raft leader 上会显示最新信息，这个过程描述了如何找到 Raft 领导，然后查询它以列出 OVN 北向数据库内 容。 先决条件 先决条件 使用具有 cluster-admin 角色的用户访问集群。 已安装 OpenShift CLI（oc）。 流程 流程 1. 查找北向数据库的 OVN Raft 领导。 注意 Raft 领导机存储最新信息。 a

OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 作为后台任务启动 ssh-agent 进程： 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 3. 将 SSH 私钥添加到 架构中安装使用 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 作为后台任务启动 ssh-agent 进程： $ ssh-keygen -t ed25519 -N '' \ -f / / 1 第 第 4 章 章 在 在 AWS 上安装 上安装 103 1 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 3. 将 SSH 私钥添加到 ssh-agent： 输出示例 出示例 指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_rsa 后 后续 续步

OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 作为后台任务启动 ssh-agent 进程： 输 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 3. 将 SSH 私钥添加到 OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 作为后台任务启动 ssh-agent 进程： 输 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 3. 将 SSH 私钥添加到 OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 作为后台任务启动 ssh-agent 进程： 输 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 3. 将 SSH 私钥添加到

密库已提交给 NIST 用于 FIPS 140-2/140-3 验证）的 OpenShift Container Platform 集群，则不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。 $ ssh-keygen -t ed25519 -N '' -f / 1 OpenShift Container Platform ssh/id_dsa。 a. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动： 输 输出示例 出示例 注意 注意 如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 4. 将 SSH 私钥添加到 ssh-agent ： 指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub 密库已提交给 NIST 用于 FIPS 140-2/140-3 验证）的 OpenShift Container Platform 集群，则不要创建使用 ed25519 算法的密钥。相反，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 查看公共 SSH 密钥： $ ssh-keygen -t ed25519 -N '' -f / 1 $ cat /

架构中安装使用 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 查看公共 SSH 密钥： $ ssh-keygen -t ed25519 -N '' -f / 1 第 第 4 章 ssh/id_dsa）。 a. 如果 ssh-agent 进程还没有针对您的本地用户运行，请将其作为后台任务启动： 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密 钥必须是 RSA 或 ECDSA。 4. 将 SSH 私钥添加到 ssh-agent： 指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519 输出示例 架构中安装使用 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 查看公共 SSH 密钥： 例如，运行以下命令查看 ~/.ssh/id_ed25519.pub 公钥： 3. 将 SSH 私钥身份添加到您本地用户的 SSH

架构上安装使用 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群，请不要创建使用 ed25519 算法的密钥。相 反，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 查看公共 SSH 密钥： $ ssh-keygen -t ed25519 -N '' -f / 1 $ cat / ssh/id_dsa。 a. 如果 ssh-agent 进程尚未为您的本地用户运行，请将其作为后台任务启动： 输 输出示例 出示例 注意 注意 如果集群处于 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 4. 将 SSH 私钥添加到 ssh-agent ： 指定 SSH 私钥的路径和文件名，如 ~/.ssh/id_ed25519.pub 架构上安装使用 FIPS 验证的/Modules in Process 加密库的 OpenShift Container Platform 集群，请不要创建使用 ed25519 算法的密钥。相 反，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 查看公共 SSH 密钥： 例如，运行以下命令来查看 ~/.ssh/id_ed25519.pub 公钥： $ ssh-keygen -t ed25519

TCP、SSL Passthrough 或者 SSL 桥接模式。如 果使用 SSL Bridge 模式，必须为 API 路由启用 Server Name Indication（SNI）。 无状态负载平衡算法。这些选项根据负载均衡器的实现而有所不同。 重要 重要 不要为 API 负载均衡器配置会话持久性。 OpenShift Container Platform 4.6 在裸机上安装 在裸机上安装 OpenShift Container Platform 集群，不要创建使用 ed25519 算法的密钥。反 之，创建一个使用 rsa 或 ecdsa 算法的密钥。 2. 作为后台任务启动 ssh-agent 进程： 输出示例 出示例 注意 注意 如果您的集群采用 FIPS 模式，则只使用 FIPS 兼容算法来生成 SSH 密钥。密钥必 须是 RSA 或 ECDSA。 3. 将 SSH 私钥添加到 TCP、SSL Passthrough 或者 SSL 桥接模式。如 果使用 SSL Bridge 模式，必须为 API 路由启用 Server Name Indication（SNI）。 无状态负载平衡算法。这些选项根据负载均衡器的实现而有所不同。 重要 重要 不要为 API 负载均衡器配置会话持久性。 在负载均衡器的前端和后台配置以下端口： 表 表 1.15. API 负载 负载均衡器 均衡器

上集中信息。这可减少操作延迟，并减少 worker 和控制节点之间的集群范围 流量。因此，集群网络使用节点数线性扩展，因为每个额外节点都会添加额外的网络容量，这样可优化较 大的集群。因为每个节点上的网络流都是本地化的，所以不再需要 RAFT 领导选举机制，并删除了 instability 的主要来源。对本地化网络流数据的一个额外好处是，网络上的节点丢失的影响仅限于故障节 点，且对集群的其他网络没有问题，从而使集群对故障场景更具弹性。如需更多信息，请参阅

限制。 CRI-O 运行时支持 FIPS。 OpenShift Container Platform 服务支持 FIPS。 FIPS 验证的/Modules in Process 的加密模块和算法， 它们从 RHEL 7 和 RHCOS 二进制文件和镜像中获 得。 使用 FIPS 兼容 golang 编译器。 对 TLS FIPS 的支持当前还不完整，但计划在将来的 OpenShift secret 在进程加密中使用 FIPS 验证的/Modules in Process 模块，请以 FIPS 模 式引导节点。在使用 FIPS 模式安装集群后，您可以使用 FIPS 批准的 aes cbc 加密算法加密 etcd 数据。 OpenShift Container Platform 4.4 安装 安装 6 2.2.2. Storage 对于本地存储，使用 RHEL 提供的磁盘加密或者使用 RHEL