服务 务 第 第 4 章 章 外部存 外部存储 储服 服务 务 第 第 5 章 章 安全考 安全考虑 虑 5.1. FIPS-140-2 5.2. 代理环境 5.3. 数据加密选项 5.4. TRANSIT 中的加密 第 第 6 章 章 订阅 订阅 6.1. 订阅服务 6.2. 灾难恢复订阅要求 6.3. 内核与 VCPU 和超线程 6.4. 分割内核 6.5. 订阅要求 第 第 7 章 Pytorch 等机器学习框架。 注意 注意 不支持在 CephFS 持久性卷上运行 PostgresSQL 工作负载，建议使用 RADOS 块设备 (RBD) 卷。如需更多信息，请参阅知识库文章解决方案 ODF 数据库工作负载必须不使用 CephFS PV/PVC。 Red Hat OpenShift Data Foundation 版本 4.x 由一组软件项目组成，包括： Ceph，提供块存储、共享分布式文件系统以及内部对象存储 Standard Publication 140-2 (FIPS-140-2) 是定义使用加密模块的一系列 安全要求的标准。这个标准受到美国政府机构和承包商的强制要求，在其他国际和行业特定的标准中也会 引用该标准。 Red Hat OpenShift Data Foundation 现在使用 FIPS 验证的加密模块。Red Hat Enterprise Linux OS/CoreOS(RHCOS)提供这些模块。

. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7.2. 配置 AZURE 帐户 7.3. 为 AZURE 启用用户管理的加密 7.4. 在 AZURE 上快速安装集群 7.5. 使用自定义在 AZURE 上安装集群 7.6. 使用网络自定义在 AZURE 上安装集群 7.7. 将 AZURE 上的集群安装到现有的 VNET 访问主机的情况下手动收集日志 26.5. 从安装程序获取调试信息 26.6. 重新安装 OPENSHIFT CONTAINER PLATFORM 集群 第 第 27 章 章 支持 支持 FIPS 加密 加密 27.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 27.2. 集群使用的组件支持 FIPS 27.3. 在 FIPS 模式下安装集群 3864 3866 您还可以将集群机器配置为使用 RHEL 加密库在安装过程中为 FIPS 140-2/140-3 Validation 提交给 NIST。 重要 重要 当以 FIPS 模式运行 Red Hat Enterprise Linux (RHEL) 或 Red Hat Enterprise Linux CoreOS (RHCOS)时，OpenShift Container Platform 核心组件使用 RHEL 加密库，在 x86_64、ppc64le

. . . . . . . . . . . . . . . . . . . . . . . . . . . 7.3. 为 AZURE 手动创建 IAM 7.4. 为 AZURE 启用用户管理的加密 7.5. 在 AZURE 上快速安装集群 7.6. 使用自定义在 AZURE 上安装集群 7.7. 使用网络自定义在 AZURE 上安装集群 7.8. 将 AZURE 上的集群安装到现有的 VNET source image。当镜像索引包括对镜像 registry 中不再存在的镜像的引用 时，会发生此错误。镜像索引可能会保留旧的引用，以便为运行这些镜像 的用户在升级图表中显示新的升级路径。作为临时解决方案，您可以使用 --skip-missing 选项绕过错误并继续下载镜像索引。如需更多信息，请参 阅 Service Mesh Operator 镜像失败。 如果本地容器 registry 连接到镜像主机，请执行以下操作： source image。当镜像索引包括对镜像 registry 中不再存在的镜像的引用时，会 发生此错误。镜像索引可能会保留旧的引用，以便为运行这些镜像的用户在升级图 表中显示新的升级路径。作为临时解决方案，您可以使用 --skip-missing 选项绕 过错误并继续下载镜像索引。如需更多信息，请参阅 Service Mesh Operator 镜像 失败。 oc adm catalog mirror

密库，在 x86_64、ppc64le、s390x 架构上提交给 NIST 的 FIPS 140-2/140-3 Validation。 有关 NIST 验证程序的更多信息，请参阅加密模块验证程序。有关为验证提交的 RHEL 加密库的单独版本 的最新 NIST 状态，请参阅 Compliance Activities 和 Government Standards。 1.2. OPENSHIFT CONTAINER 配置用户定 义的标签。 1.3.2.8. Azure 的机密虚 的机密虚拟 拟机（技 机（技术预览 术预览） ） 您可以在 Azure 上安装集群时启用机密虚拟机。您可以在安装过程中使用机密计算来加密虚拟机客户机状 态存储。这个功能只是一个技术预览，它存在一些已知的问题，这些问题在本文档的已知问题部分列出。 如需更多信息，请参阅 启用机密虚拟机。 1.3.2.9. Azure 的可信 的可信启动 (RHCOS) 镜像模板或虚拟机的绝对路径。然后，安装程序可以使用镜像模板或虚拟机在 vSphere 主机上快速安装 RHCOS。 这个安装方法是在 vSphere 主机上上传 RHCOS 镜像的替代方案。 重要 重要 在为 template 参数设置 path 值前，请确保 OpenShift Container Platform 发行版本中的 默认 RHCOS 引导镜像与 RHCOS 镜像模

Grafana Tempo 项 目。 红 红帽 帽构 构建的 建的 OpenTelemetry，它基于开源 OpenTelemetry 项目。 重要 重要 Jaeger 不使用经 FIPS 验证的加密模块。 1.1.2. Red Hat OpenShift distributed tracing Platform 3.0 中的组件版本 Operator 组 组件 件 Version Red 如果您在执行本文档所述的某个流程或 OpenShift Container Platform 时遇到问题，请访问 红帽客户门户 网站。 通过红帽客户门户网站： 搜索或者浏览红帽知识库，了解与红帽产品相关的文章和解决方案。 提交问题单给红帽支持。 访问其他产品文档。 要识别集群中的问题，您可以在 OpenShift Cluster Manager 中使用 Insights。Insights 提供了问题的详细 Grafana Tempo 项 目。 红 红帽 帽构 构建的 建的 OpenTelemetry，它基于开源 OpenTelemetry 项目。 重要 重要 Jaeger 不使用经 FIPS 验证的加密模块。 1.2.2. Red Hat OpenShift distributed tracing Platform 2.9.2 中的组件版本 第 第 1 章 章 分布式追踪 分布式追踪发 发行注

访问主机的情况下手动收集日志 25.5. 从安装程序获取调试信息 25.6. 重新安装 OPENSHIFT CONTAINER PLATFORM 集群 第 第 26 章 章 支持 支持 FIPS 加密 加密 26.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 26.2. 集群使用的组件支持 FIPS 26.3. 在 FIPS 模式下安装集群 2741 2741 的基础架构安装过程中配置这些自定义区域。 您还可以将集群机器配置为在安装过程中使用 FIPS 验证的/Modules in Process 加密库 。 重要 重要 只有在 x86_64 架构中的 OpenShift Container Platform 部署支持 FIPS 验证的/Modules in Process 加密库。 2.2. 安装后为用户准备集群 在安装集群时不需要进行一些配置，但建议在用户访问集群前进行操作。您可以通过自定义组成集群的 source image。当镜像索引包括对镜像 registry 中不再存在的镜像的引用 时，会发生此错误。镜像索引可能会保留旧的引用，以便为运行这些镜像 的用户在升级图表中显示新的升级路径。作为临时解决方案，您可以使用 --skip-missing 选项绕过错误并继续下载镜像索引。如需更多信息，请参 阅 Service Mesh Operator 镜像失败。 如果本地容器 registry 连接到镜像主机，请执行以下操作：

OpenShift Container Platform 4.14 存 存储 储 4 Key Management Service (KMS) 可帮助您在不同服务间实现所需的数据加密级别。您可以使用 KMS 密钥加密、解密和重新加密数据。 本地卷 本地卷 本地卷代表挂载的本地存储设备，如磁盘、分区或目录。 NFS 网络文件系统(NFS)允许远程主机通过网络挂载文件系统，并像它们挂载在本地那样与这些文件系统进 block-pvc 3 OpenShift Container Platform 4.14 存 存储 储 22 Block 否 值 值 默 默认 认 表 表 3.6. 块卷的 卷的绑定方案 定方案 PV volumeMode PVC volumeMode 绑 绑定 定结 结果 果 Filesystem Filesystem 绑定 Unspecified Unspecified 绑定 卷。持久性卷不与某个特定项目或命名空间相关 联，它们可以在 OpenShift Container Platform 集群间共享。持久性卷声明是针对某个项目或者命名空间 的，相应的用户可请求它。您可以定义 KMS 密钥来加密 AWS 上的 container-persistent 卷。默认情况 下，新创建的使用 OpenShift Container Platform 版本 4.10 和更高版本的集群使用 gp3 存储和

. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 第 第 20 章 章 支持 支持 FIPS 加密 加密 20.1. OPENSHIFT CONTAINER PLATFORM 中的 FIPS 验证 20.2. 集群使用的组件支持 FIPS 20.3. 在 FIPS 模式下安装集群 2581 2581 FIPS 验证的/Modules in Process 加密库 。 重要 重要 OpenShift Container Platform 4.8 安装 安装 14 重要 重要 只有在 x86_64 架构中的 OpenShift Container Platform 部署支持 FIPS 验证的/Modules in Process 加密库。 2.2. 安装后为用户准备集群 在安装集群时不 Quay 以了解概念验证的文档，或使用 Quay Operator。如果您需要额外的帮助来选择并安装 registry，请联络您的销售代表或红帽支 持。 如果您还没有容器镜像 registry 的现有解决方案，则会为 Red Hat OpenShift 提供一个 OpenShift Container Platform 订阅(mirror) registry。Red Hat OpenShift 的镜像 registry

规范化）、修改和标准化传 入请求的路径，以便能够以标准的方式处理规范化路径。在路径规范化后，同步不同路径可能是等同的。 Istio 在根据授权策略和路由请求前，支持请求路径中的以下规范化方案： 表 1.1. 规范化方案 选项 选项 描述 描述 示例 示例 备 备注 注 第 第 1 章 章 SERVICE MESH 2.X 15 NONE 没有进行规范化。Envoy 接收的任何内容都会完全 按原样转发到任何后端服 ServiceMeshExtension 检查问题，您会看到以下错 误：stderr: Error create mount namespace before pivot: function not implemented。 临时解决方案：ServiceMeshExtension 在 Service Mesh 2.2 中已弃用。从 ServiceMeshExtension 迁移到 WasmPlugin 资源。如需更多信息，请参阅从 在为服务网格 control plane 中为 ingressgateway 配置 Service ExternalIP 时，不会 创建该服务。SMCP 的 schema 缺少该服务的参数。 临时解决方案：禁用 SMCP spec 中的网关创建，手动管理网关部署（包括 Service、Role 和 RoleBinding）。 OSSM-882 适用于 Service Mesh 2.1 及更早版本。命名空间位于

Container Platform 4.8 存 存储 储 4 KMS 密 密钥 钥 Key Management Service (KMS) 可帮助您在不同服务间实现所需的数据加密级别。您可以使用 KMS 密钥加密、解密和重新加密数据。 本地卷 本地卷 本地卷代表挂载的本地存储设备，如磁盘、分区或目录。 NFS 网络文件系统(NFS)允许远程主机通过网络挂载文件系统，并像它们挂载在本地那样与这些文件系统进 PVC 的名称匹配。 表 表 3.5. volumeMode 接受的 接受的值 值 值 值 默 默认 认 Filesystem 是 Block 否 表 表 3.6. 块 块卷的 卷的绑 绑定方案 定方案 PV volumeMode PVC volumeMode 绑 绑定 定结 结果 果 Filesystem Filesystem 绑定 Unspecified Unspecified 绑定 策略设置为 RunAsAny。这代表提供的任何组群 ID 都被接受，且不进行范围检 查。 因此，上面的 pod 可以通过，并被启动。但是，如果需要进行组 ID 范围检查，使用自定义 SCC 就是首选 的解决方案。可创建一个定义了最小和最大组群 ID 的自定义 SCC，这样就会强制进行组 ID 范围检查，组 ID 5555 将被允许 。 注意 注意 要使用自定义 SCC，需要首先将其添加到适当的服务帐户（service