OpenShift Container Platform 4.2 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 OpenShift Container Platform 4.2 架 架构 构 4 使用 OpenShift Container Platform 4.2 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 清单正确后，可以由 Telemetry 自动维护，也可以使用 OCM 手动维护，使用订阅监控 来跟踪帐户或多集群级别的 OpenShift Container Platform 订阅。 您必须具有以下互联网访问权限： 访问 Red Hat OpenShift Cluster Manager 页面，以下载安装程序并执行订阅管理。如果集群可 以访问互联网，并且没有禁用 Telemetry，该服务会自动授权您的集群。 经过专门调优的功 能，以便于这些容器最终部署到 OpenShift Container Platform 或其他 Kubernetes 环境中。这些工具不 是作为守护进程运行的，可在没有 root 权限的情况下运行，因此运行它们的开销比较小。 最终在 OpenShift Container Platform 中运行容器时，您要使用 CRI-O 容器引擎。CRI-O 在 OpenShift Container

用于所有集群机器相比，您必须执行更多的系统维护。 2.1.3.2. 简 简化的安装和更新流程 化的安装和更新流程 使用 OpenShift Container Platform 4.10 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 安装集群。 对于将 RHCOS 用于所有机器的集群，不论是更新还是升级，OpenShift OpenShift Container Platform 互联网访问 在 OpenShift Container Platform 4.10 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， 并且没有禁用 Telemetry，该服务会自动授权您的集群。 访问 Quay 多区。 Version 是集群中安装的 OpenShift 版本。如果有可用的更新，您可以从此字段更新。 Created at 显示集群创建的日期和时间。 Owner 标识创建集群并具有所有者权限。 Subscription type 显示创建时选择的订阅模式。 Infrastructure type 是集群使用的帐户类型。 Status 显示集群的当前状态。 Total vCPU 显示此集群可用虚拟

OpenShift Container Platform 4.3 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 OpenShift Container Platform 4.3 架 架构 构 4 使用 OpenShift Container Platform 4.3 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 清单正确后，可以由 Telemetry 自动维护，也可以使用 OCM 手动维护，使用订阅监控 来跟踪帐户或多集群级别的 OpenShift Container Platform 订阅。 您必须具有以下互联网访问权限： 访问 Red Hat OpenShift Cluster Manager 页面，以下载安装程序并执行订阅管理。如果集群可 以访问互联网，并且没有禁用 Telemetry，该服务会自动授权您的集群。 经过专门调优的功 能，以便于这些容器最终部署到 OpenShift Container Platform 或其他 Kubernetes 环境中。这些工具不 是作为守护进程运行的，可在没有 root 权限的情况下运行，因此运行它们的开销比较小。 最终在 OpenShift Container Platform 中运行容器时，您要使用 CRI-O 容器引擎。CRI-O 在 OpenShift Container

用于所有集群机器相比，您必须执行更多的系统维护。 2.1.3.2. 简化的安装和更新流程 化的安装和更新流程 使用 OpenShift Container Platform 4.7 时，如果您拥有具有正确权限的帐户，通过运行单个命令并提供 几个值，就能在支持的云中部署生产集群。如果使用支持的平台，您还可以自定义云安装或在数据中心中 安装集群。 第 第 2 章 章 OPENSHIFT CONTAINER OpenShift Container Platform 的互联网访问 在 OpenShift Container Platform 4.7 中，您需要访问互联网来安装集群。 您必须具有以下互联网访问权限： OpenShift Container Platform 4.7 架 架构 构 8 访问 OpenShift Cluster Manager 以下载安装程序并执行订阅管理。如果集群可以访问互联网， systemd 服务直接在主机上运行，因为它们必须先运行，然后您才能运行其 他容器。 installer-* 和 revision-pruner-* control plane pod 必须使用 root 权限运行，因为它们需要写入属于 root 用户的 /etc/kubernetes 目录。这些 pod 位于以下命名空间中： openshift-etcd openshift-kube-apiserver

镜像，可以自定义构建流程。 自定义构建器镜像是嵌入了构建过程逻辑的普通容器镜像，例如用于构建 RPM 或基本镜像的逻辑。 自定义构建以级别很高的特权运行，默认情况下不可供用户使用。只有可赋予集群管理权限的用户才应被 授予运行自定义构建的权限。 2.1.1.4. Pipeline 构 构建 建 重要 重要 Pipeline 构建策略在 OpenShift Container Platform 4 中弃用。基于 Tekton Container Platform 4.13 CI/CD 10 构建器 pod 需要访问定义为构建源的任何 Git 存储库。源克隆 secret 为构建器 pod 提供了通常无权访问 的资源的访问权限，例如私有存储库或具有自签名或不可信 SSL 证书的存储库。 支持以下源克隆 secret 配置： .gitconfig 文件 基本身份验证 SSH 密钥身份验证 可信证书颁发机构 注意 destinationDir 路径中的最终目录，则会创建该目录。destinationDir 中的所有 上述目录都必须存在，否则会发生错误。 注意 注意 输入 secret 将以全局可写（具有 0666 权限）形式添加，并且在执行 assemble 脚本后其 大小会被截断为零。也就是说，生成的镜像中会包括这些 secret 文件，但出于安全原因， 它们将为空。 assemble 脚本完成后不会截断输入配置映射。

16 docker ⽤于运⾏容器。 rkt rkt 是⼀个Docker的替代品，⽀持在实验中运⾏容器 supervisord supervisord 是⼀个轻量级的进程监控/控制系统，可⽤于保持kubelet和docker运⾏。 fluentd fluentd 是⼀个守护进程，利⽤它可实现 cluster-level logging 。 04-K8s组件 17 Kubernetes Deployment（失败的Deployment） 您的Deployment在尝试部署最新ReplicaSet的过程中可能会阻塞，永远也⽆法完成。这可能是由于以下⼀些因素造成 的： 配额不⾜ 就绪探针探测失败 镜像拉取错误 权限不⾜ 范围限制 应⽤程序运⾏时配置错误 您可以检测到这种情况的⼀种⽅法，是在Deployment spec中指定⼀个期限参数：（ spec.progressDeadlineSeconds key都必须列在 items 字段中。 所有列出的key必须存在于相应的Secret中。否则，Volume不会被创建。 Secret files permissions （Secret⽂件权限） 你也可以指定⼀个Secret的权限模式位。如不指定，默认使⽤ 0644 。可指定整个Secret Volume的默认模式，并根据 需要覆盖每个key。 例如，你可以指定⼀个像这样的默认模式： apiVersion:

身份提供程序 7.8. 配置 GOOGLE 身份提供程序 7.9. 配置 OPENID CONNECT 身份提供程序 第 第 8 章 章 使用 使用 RBAC 定 定义 义和 和应 应用 用权 权限 限 8.1. RBAC 概述 8.2. 项目和命名空间 8.3. 默认项目 5 5 6 7 8 8 8 9 11 11 11 11 12 13 14 16 17 19 19 19 Container Platform 集群的访问，并确保只有经过身份验证的用户可以 访问 OpenShift Container Platform 集群。 授 授权 权 授权决定识别的用户是否有权限来执行所请求的操作。 bearer 令牌 令牌 bearer 令牌用于通过标头 Authorization: Bearer 向 API 进行身份验证。 Cloud Credential 据中 心、公有云或私有云或本地主机中运行容器。 自定 自定义资 义资源 源 (CR) CR 是 Kubernetes API 的扩展。 group 组是一组用户。组可用于一次性向多个用户授予权限。 HTPasswd htpasswd 更新存储 HTTP 用户验证的用户名和密码的文件。 Keystone Keystone 是一个 Red Hat OpenStack Platform

身份认证攻击........................................................................................35 2.6.4 权限滥用攻击........................................................................................35 2.6 攻击过程复现........................................................................................39 3.3k8s 权限提升攻击........................................................................................40 3.3 3.1 基础设施即代码安全............................................................................59 4.3.2 权限管理............................................................................................... 60

Container Platform 的互联网访问 1.1.3. VMware vSphere 基础架构要求 1.1.4. 网络连接要求 1.1.5. vCenter 要求 所需的 vCenter 帐户权限 将 OpenShift Container Platform 与 vMotion 搭配使用 集群资源 集群的限制 网络要求 所需的 IP 地址 DNS 记录 1.1.6. 生成 SSH 私钥并将其添加到代理中 Container Platform 的互联网访问 1.2.3. VMware vSphere 基础架构要求 1.2.4. 网络连接要求 1.2.5. vCenter 要求 所需的 vCenter 帐户权限 将 OpenShift Container Platform 与 vMotion 搭配使用 集群资源 集群的限制 网络要求 所需的 IP 地址 DNS 记录 1.2.6. 生成 SSH 私钥并将其添加到代理中 Container Platform 的互联网访问 1.3.3. VMware vSphere 基础架构要求 1.3.4. 网络连接要求 1.3.5. vCenter 要求 所需的 vCenter 帐户权限 将 OpenShift Container Platform 与 vMotion 搭配使用 集群资源 集群的限制 网络要求 所需的 IP 地址 DNS 记录 1.3.6. 生成 SSH

BundleDeployment 警告 警告 BundleDeployment 对象通过安装和删除对象来更改 Kubernetes 集群的状态。务必 要验证并信任正在安装和限制访问权限的内容，方法是使用 RBAC 到 BundleDeployment API 到需要这些权限的用户。 RukPak BundleDeployment API 指向 Bundle 对象，并表明它应当处于活动状态。这包括从活跃捆绑包 的旧版本获取。BundleDeployment 而需创建的资源的计算列表。 2.3.1.10. 多租 多租户 OpenShift Container Platform 中的 租户 是为一组部署的工作负载（通常由命名空间或项目表示）共享共 同访问权限和特权的用户或组。您可以使用租户在不同的组或团队之间提供一定程度的隔离。 当集群由多个用户或组共享时，它被视为 多租户 集群。 2.3.1.11. operator 组 Operator 组将部署在同一命名空间中的所有 的值。如果没有设置该字段，则默认值为 legacy。在以后的 OpenShift Container Platform 发行版本中，计划默认值为 restricted。如果您的目录无法使用 restricted 权限运行，建议您手动将此字段设置为 legacy。 可选： 对于 grpc 类型目录源，请覆盖在 spec.image 中提供内容的 pod 的默认节点选择器（如 果定义）。 可选： 对于 grpc