CREDENTIAL OPERATOR 19.2. 使用 MINT 模式 19.3. 使用 PASSTHROUGH 模式 19.4. 使用手动模式 19.5. 在 AMAZON WEB SERVICES SECURITY TOKEN SERVICE 中使用手动模式 19.6. 在 GCP WORKLOAD IDENTITY 中使用手动模式 132 134 134 138 150 156 156 162 包括软件及其所有依赖项的轻量级和可执行镜像。由于容器虚拟化操作系统，因此您可以在数据中 心、公有云或私有云或本地主机中运行容器。 自定 自定义资 义资源 源 (CR) CR 是 Kubernetes API 的扩展。 group 组是一组用户。组可用于一次性向多个用户授予权限。 HTPasswd htpasswd 更新存储 HTTP 用户验证的用户名和密码的文件。 Keystone Keystone 是一个 Red [create] podsecuritypolicyreviews.security.openshift.io [] [] [create] podsecuritypolicyselfsubjectreviews.security.openshift.io [] []

版本的依赖项。依赖项信息必须包含软件包名称以及软件包的版本，格式 为 semver。例如，您可以指定具体版本，如 0.5.2，也可指定一系列版本，如 >0.5.1。 olm.gvk 使用这个类型，作者可以使用 group/version/kind(GVK)信息指定依赖项，类似于 CSV 中现有 CRD 和基于 API 的使用量。该路径使 Operator 作者可以合并所有依赖项、API 或显式版本，使它们处于同 一位置。 value: packageName: prometheus version: ">0.27.0" - type: olm.gvk value: group: etcd.database.coreos.com kind: EtcdCluster version: v1beta2 OpenShift Container Platform 语义版本。 例 例 2.4. olm.package 属性 属性 2.2.2.3.2. olm.gvk 属性 属性 olm.gvk 属性定义此捆绑包提供的 Kubernetes API 的 group/version/kind (GVK)。OLM 使用此属性解析 捆绑包，作为列出与所需 API 相同的 GVK 的其他捆绑包的依赖项。GVK 必须遵循 Kubernetes GVK 验 证。 例

CLI 工具 工具 26 2.7.1.2. oc api-resources 在服务器上显示支持的 API 资源 用法示例 用法示例 2.7.1.3. oc api-versions 以"group/version"的形式输出服务器上支持的 API 版本。 用法示例 用法示例 2.7.1.4. oc apply 通过文件名或 stdin 将配置应用到资源 用法示例 用法示例 oc --namespaced=false # Print the supported API resources with a specific APIGroup oc api-resources --api-group=rbac.authorization.k8s.io # Print the supported API versions oc api-versions 第 第 2 章 章 OPENSHIFT --resource-name=readablepod -- resource-name=anotherpod # Create a cluster role named "foo" with API Group specified oc create clusterrole foo --verb=get,list,watch --resource=rs.apps # Create a cluster

Operator: a. 为 OpenShift Elasticsearch Operator 创建 Operator Group 对象 YAML 文件（例如 eo- og.yaml）: 您必须指定 openshift-operators-redhat 命名空间。 b. 创建 Operator Group 对象： $ oc create -f .yaml $ oc create -f 通过创建以下对象来安装 Red Hat OpenShift Logging Operator： a. 为 Red Hat OpenShift Logging Operator 创建 Operator Group 对象 YAML 文件（如 olo- og.yaml）: 您必须指定 openshift-logging 命名空间。 b. 创建 OperatorGroup 对象： 例如： c. 创建一个订阅对象 g" - from: - namespaceSelector: matchLabels: network.openshift.io/policy-group: ingress podSelector: {} policyTypes: - Ingress 第 第 3 章 章 安装 安装 OPENSHIFT LOGGING 41 第 4

MasterSecurityGrou p AWS::EC2::Security Group icmp 0 tcp 22 tcp 6443 tcp 22623 WorkerSecurityGrou p AWS::EC2::Security Group icmp 0 tcp 22 BootstrapSecurityGr oup AWS::EC2::Security Group tcp 22 tcp 19531 Description: ARN of the external API target group. Value: !Ref ExternalApiTargetGroup InternalApiTargetGroupArn: Description: ARN of the internal API target group. Value: !Ref InternalApiTargetGroup InternalApiTargetGroup InternalServiceTargetGroupArn: Description: ARN of the internal service target group. Value: !Ref InternalServiceTargetGroup Type: CNAME TTL: 10 ResourceRecords: - !GetAtt IntApiElb.DNSName

LoadBalanci ngV2::Listen er 为外部负载均衡器监听端口 6443 的监听程序。 外部目标组 AWS::Elastic LoadBalanci ngV2::Target Group 外部负载均衡器的目标组。 专用负载均衡器 AWS::Elastic LoadBalanci ngV2::LoadB alancer 专用子网的负载均衡器。 内部 API 服务器 记录 AWS::Route AWS::Elastic LoadBalanci ngV2::Target Group 内部负载均衡器的目标组。 内部监听程序 AWS::Elastic LoadBalanci ngV2::Listen er 为内部负载均衡器监听端口 6443 的监听程序。 内部目标组 AWS::Elastic LoadBalanci ngV2::Target Group 内部负载均衡器的目标组。 组 组件 件 AWS 类 AWS::EC2::Security Group icmp 0 第 第 4 章 章 在 在 AWS 上安装 上安装 241 tcp 22 tcp 6443 tcp 22623 WorkerSecurityGrou p AWS::EC2::Security Group icmp 0 tcp 22 BootstrapSecurityGr oup AWS::EC2::Security Group

发行版本中删除： 使用旧的 Fluentd 方法转发日志 使用旧的 syslog 方法转发日志 反之，使用以下非传统方法： 使用 Fluentd fohttps://www.redhat.com/security/data/cve/CVE-2021-22922.htmlrward 协议转 发日志 使用 syslog 协议转发日志 1.37.6. CVE 例 例 1.26. 点 点击 击以展开 以展开 Operator: a. 为 OpenShift Elasticsearch Operator 创建 Operator Group 对象 YAML 文件（例如 eo- og.yaml）: 您必须指定 openshift-operators-redhat 命名空间。 b. 创建 Operator Group 对象： $ oc create -f .yaml $ oc create -f 通过创建以下对象来安装 Red Hat OpenShift Logging Operator： a. 为 Red Hat OpenShift Logging Operator 创建 Operator Group 对象 YAML 文件（如 olo- og.yaml）: 您必须指定 openshift-logging 命名空间。 b. 创建 OperatorGroup 对象： 例如： $ oc get

controller was unable to get the target's current scale: no matches for kind "ReplicationController" in group "apps" Events: Type Reason Age From Message ---- FailedGetScale 6s (x3 over 36s) horizontal-pod-autoscaler no matches for kind "ReplicationController" in group "apps" Conditions: Type Status Reason Message ---- name: foo secret: secretName: my-cert items: - key: username path: my-group/my-username mode: 511 secret/ssl-key references serviceUID 62ad25ca-d703-11e6-9d6f-0e9c0057b608

Operator 版本 版本 以下 ImageSetConfiguration 文件使用本地存储后端，仅包含从 3.67.0 及之后的版本开始的 Red Hat Advanced Cluster Security for Kubernetes Operator。 ImageSetConfiguration 文件示例 文件示例 apiVersion: mirror.openshift.io/v1alpha1 LoadBalanci ngV2::Listen er 为外部负载均衡器监听端口 6443 的监听程序。 外部目标组 AWS::Elastic LoadBalanci ngV2::Target Group 外部负载均衡器的目标组。 专用负载均衡器 AWS::Elastic LoadBalanci ngV2::LoadB alancer 专用子网的负载均衡器。 内部 API 服务器 记录 AWS::Route AWS::Elastic LoadBalanci ngV2::Target Group 内部负载均衡器的目标组。 内部监听程序 AWS::Elastic LoadBalanci ngV2::Listen er 为内部负载均衡器监听端口 6443 的监听程序。 内部目标组 AWS::Elastic LoadBalanci ngV2::Target Group 内部负载均衡器的目标组。 组 组件 件 AWS 类

TLS 安全配置文件为服务器提供了一种方式，以规范连接的客户端在连接服务器时可以使用哪些密码。 7.3.1.1. 了解 TLS 安全配置集 您可以使用 TLS（Transport Layer Security）安全配置集来定义各种 OpenShift Container Platform 组件 需要哪些 TLS 密码。OpenShift Container Platform TLS 安全配置集基于 TLS 安全配置集定义 Ingress Controller 的 TLS 连接的最低 TLS 版本和 TLS 密码。 您可以在 Status.Tls Profile 和 Spec.Tls Security Profile 下看到 IngressController 自定义资源（CR） 中配置的 TLS 安全配置集的密码和最小 TLS 版本。对于 Custom TLS 安全配置集，这两个参数下列出了 API Version: operator.openshift.io/v1 Kind: IngressController ... Spec: ... Tls Security Profile: Custom: Ciphers: ECDHE-ECDSA-CHACHA20-POLY1305 ECDHE-RSA-CHACHA20-POLY1305