2. Pod 反关联性 3.3.4.3. 无匹配标签的 Pod 反关联性 3.4. 使用节点关联性规则控制节点上的 POD 放置 3.4.1. 了解节点关联性 3.4.2. 配置节点关联性必要规则 3.4.3. 配置首选的节点关联性规则 3.4.4. 节点关联性规则示例 3.4.4.1. 具有匹配标签的节点关联性 3.4.4.2. 没有匹配标签的节点关联性 3.4.5. 其他资源 3 器来控制 pod 的 的调 调度位置。使用 度位置。使用节 节点 点选择 选择器 器 时 时， ，OpenShift Container Platform 会将 会将 pod 调 调度到包含匹配 度到包含匹配标签 标签的 的节 节点。 点。 您可 您可为节 为节点、机器集或机器配置添加 点、机器集或机器配置添加标签 标签。将 。将标签 标签添加到机器集可确保 添加到机器集可确保节 对 对象、 象、Deployment 对 对象或 象或 DeploymentConfig 对 对象。任何属于 象。任何属于该 该 控制 控制对 对象的 象的现 现有 有 pod 都会在具有匹配 都会在具有匹配标签 标签的 的节 节点上重新 点上重新创 创建。如果要 建。如果要创 创建新 建新 pod，可以将 ，可以将节 节点 点选择 选择器直 器直 接添加到 接添加到 Pod 规 规格中。 格中。

的服务网格支持，包括多集群联邦。 1.2.2.4.4. istio-node DaemonSet 重命名 在此发行版本中，istio-node DaemonSet 被重命名为 istio-cni-node，以匹配上游 Istio 中的名称。 1.2.2.4.5. Envoy sidecar 网络更改 Istio 1.10 更新了 Envoy，默认使用 eth0 而不是 lo 将流量发送到应用程序容器。 片 段之前，确保您已将这些内容放入任何安全策略中。 ServiceMeshControlPlane 修改示例 修改示例 1.2.2.18.2. 授权策略所需的更新 Istio 为主机名本身和所有匹配端口生成主机名。例如，用于 "httpbin.foo" 主机的虚拟服务或网关会生成  apiVersion: maistra.io/v2 kind: ServiceMeshControlPlane SERVICE MESH 2.X 13 Istio 为主机名本身和所有匹配端口生成主机名。例如，用于 "httpbin.foo" 主机的虚拟服务或网关会生成 匹配 "httpbin.foo 和 httpbin.foo:*" 的配置。但是，完全匹配授权策略仅与为 hosts 或 notHosts 字段给 出的确切字符串匹配。 如果您使用精确字符串比较的 AuthorizationPolicy 来确定

2. Pod 反关联性 3.4.4.3. 无匹配标签的 Pod 反关联性 3.5. 使用节点关联性规则控制节点上的 POD 放置 3.5.1. 了解节点关联性 3.5.2. 配置节点关联性必要规则 3.5.3. 配置首选的节点关联性规则 3.5.4. 节点关联性规则示例 3.5.4.1. 具有匹配标签的节点关联性 3.5.4.2. 没有匹配标签的节点关联性 3.5.5. 其他资源 3 使用节点选择器控制 pod 放置 您可以使用节点上的 pod 和标签上的节点选择器来控制 pod 的调度位置。使用节点选择器时，OpenShift Container Platform 会将 pod 调度到包含匹配标签的节点。 您可为节点、机器集或机器配置添加标签。将标签添加到机器集可确保节点或机器停机时，新节点具有标 签。如果节点或机器停机，添加到节点或机器配置的标签不会保留。 要将节点选择器添加到现有 ReplicaSet 对 象、DaemonSet 对象、StatefulSet 对象、Deployment 对象或 DeploymentConfig 对象。任何属于该 控制对象的现有 pod 都会在具有匹配标签的节点上重新创建。如果要创建新 pod，可以将节点选择器直接 添加到 Pod 规格中。 注意 注意 您不能直接将节点选择器添加到现有调度的 pod 中。 先决条件 先决条件 要将节点选择器添加到现有

可伸缩 缩性和性能 性和性能 12 e. 启动实例。 f. 如果您的 OpenShift Container Platform 集群具有实例对应的 Machine 对象，请更新对象的 实例类型以匹配 AWS 控制台中设置的实例类型。 3. 为每个 control plane 机器重复此步骤。 其他 其他资 资源 源 备份 etcd 1.5. 推荐的 ETCD 实践 因为 etcd 将 labels[machineconfiguration.openshift.io/role] 匹 配。这适用于控制器、worker 或自定义池。 节点的辅助存储设备（如 /dev/sdb ）必须与 sdb 匹配。在文件中的所有位置更改此引用。 注意 注意 这个过程不会将 root 文件系统的部分内容（如 /var/ ）移到已安装节点上的另一个磁盘或 分区。 Machine Config Operator pod 并运行以下命令来确定哪个 etcd 成员是领导： 输 输出示例 出示例 基于此输出的 IS LEADER 列，https://10.0.199.170:2379 端点是领导。与上一步输出匹配此 端点，领导的 pod 名称为 etcd-ip-10-0-199-170.example.redhat.com。 2. 清理 etcd 成员。 a. 连接到正在运行的 etcd 容器，传递 不是

。 1.1. OPENSHIFT CONTAINER PLATFORM 存储的常见术语表 该术语表定义了存储内容中使用的常用术语。 访问模式 模式 卷访问模式描述了卷功能。您可以使用访问模式匹配持久性卷声明 (PVC) 和持久性卷 (PV)。以下是访 问模式的示例： ReadWriteOnce (RWO) ReadOnlyMany (ROX) ReadWriteMany (RWX) ft Container Platform 将会把 PVC 绑定到匹配所有其他标准的最小 PV。 如果匹配的卷不存在，或者相关的置备程序无法创建所需的存储，则请求将会处于未绑定的状态。当出现 了匹配的卷时，相应的声明就会与其绑定。例如：在一个集群中有多个手动置备的 50Gi 卷。它们无法和 一个请求 100Gi 的 PVC 相匹配。当在这个集群中添加了一个 100Gi PV 时， PVC 就可以和这个 声明会与有类似访问模式的卷匹配。用来进行匹配的标准只包括访问模式和大小。声明的访问模式代表一 个请求。比声明要求的条件更多的资源可能会匹配，而比要求的条件更少的资源则不会被匹配。例如：如 果一个声明请求 RWO，但唯一可用卷是一个 NFS PV（RWO+ROX+RWX），则该声明与这个 NFS 相匹 配，因为它支持 RWO。 系统会首先尝试直接匹配。卷的模式必须与您的请求匹配，或包含更多模式。大小必须大于或等于预期

istio-operator 中默认的 Jaeger 版本为 1.12.0，它与 Red Hat OpenShift Service Mesh 0.12.TechPreview 提供的 Jaeger 版本 1.13.1 不匹配。 MAISTRA-622 在 Maistra 0.12.0/TP12 中，permissive 模式无法正常工作。用户可以使用 Plain text 模式或 Mutual TLS 模式，但不能使用 上游 Istio 社区安装提供的选项包括：标头精确匹配、匹配标头中的通配符，或匹配标头中包括的特定前 缀或后缀。 Red Hat OpenShift Service Mesh 使用正则表达式来扩展与请求标头匹配的功能。使用正则表达式指定 request.regex.headers 的属性键。 上游 上游 Istio 社区匹配 社区匹配请求 求标头示例 示例 Red Hat OpenShift OpenShift Service Mesh 使用正 使用正则表 表达式匹配 式匹配请求 求标头 2.1.7. OpenSSL Red Hat OpenShift Service Mesh 将 BoringSSL 替换为 OpenSSL。OpenSSL 是包含安全套接字层 (SSL) 和传输层 (TLS) 协议的开源实现的软件库。Red Hat OpenShift Service Mesh Proxy 二进制代码动

为一个命名空间配置手动分配出口 IP 地址 13.3. 为项目配置出口防火墙 13.3.1. 出口防火墙在一个项目中的工作原理 13.3.1.1. 出口防火墙的限制 13.3.1.2. 出口防火墙策略规则的匹配顺序 13.3.1.3. 域名服务器 (DNS) 解析如何工作 13.3.2. EgressNetworkPolicy 自定义资源 (CR) 对象 13.3.2.1. EgressNetworkPolicy 网络供应商回滚到 OpenShift SDN 14.4. 为项目配置出口防火墙 14.4.1. 出口防火墙在一个项目中的工作原理 14.4.1.1. 出口防火墙的限制 14.4.1.2. 出口防火墙策略规则的匹配顺序 14.4.2. EgressFirewall 自定义资源（CR）对象 14.4.2.1. EgressFirewall 规则 14.4.2.2. EgressFirewall CR 对象示例 的 DNS Operator 对象： 这允许 Operator 使用基于 Server 的额外服务器配置块来创建和更新名为 dns-default 的 ConfigMap。如果没有服务器带有与查询匹配的区，则命名解析功能会返回到由 /etc/resolv.conf中指定的名称服务器。 DNS 示例 示例 Labels: Annotations: API

该术语表定义了存储内容中使用的常用术语。这些术语可帮助您有效地了解 OpenShift Container Platform 架构。 访问 访问模式 模式 卷访问模式描述了卷功能。您可以使用访问模式匹配持久性卷声明 (PVC) 和持久性卷 (PV)。以下是访 问模式的示例： ReadWriteOnce (RWO) ReadOnlyMany (ROX) ReadWriteMany (RWX) ft Container Platform 将会把 PVC 绑定到匹配所有其他标准的最小 PV。 如果匹配的卷不存在，或者相关的置备程序无法创建所需的存储，则请求将会处于未绑定的状态。当出现 了匹配的卷时，相应的声明就会与其绑定。例如：在一个集群中有多个手动置备的 50Gi 卷。它们无法和 一个请求 100Gi 的 PVC 相匹配。当在这个集群中添加了一个 100Gi PV 时， PVC 就可以和这个 声明会与有类似访问模式的卷匹配。用来进行匹配的标准只包括访问模式和大小。声明的访问模式代表一 个请求。比声明要求的条件更多的资源可能会匹配，而比要求的条件更少的资源则不会被匹配。例如：如 果一个声明请求 RWO，但唯一可用卷是一个 NFS PV（RWO+ROX+RWX），则该声明与这个 NFS 相匹 配，因为它支持 RWO。 系统会首先尝试直接匹配。卷的模式必须与您的请求匹配，或包含更多模式。大小必须大于或等于预期

registry 至少必须与 OpenShift Container Platform OpenShift Container Platform 4.7 安装 安装 60 集群的生产环境可用性相匹配。 使用 OpenShift Container Platform 镜像填充镜像 registry 时，可以遵循以下两种情况。如果您的主机可 以同时访问互联网和您的镜像 registry，而不能访 False，请检查新发行版本的 CredentialsRequests 自定义资源，并在升级前更新集群中手动维护的凭证以匹配。 除了为您要升级到的发行版本镜像创建新凭证外，还需要查看现有凭证所需的权限，并满足新发行版本中 现有组件的所有新权限要求。CCO 无法检测到这些不匹配的问题，且在此情况下无法将 upgradable 设 置为 false。 云供应商安装内容的"手动创建 IAM"部分解释了如何获取和使用您的云所需的凭证。 0/24。 CIDR 表示法中的 IP 网络块。 例如： 10.0.0.0/16。 注意 注意 将 networking.machin eNetwork 设置为与 首选 NIC 所在的 CIDR 匹配。 参数 参数 描述 描述 值 值 4.5.5.1.3. 可 可选 选配置参数 配置参数 下表描述了可选安装配置参数： 表 表 4.3. 可 可选 选参数 参数 参数 参数 描述 描述 值

污点和容限可确保将 pod 调度到适当的节点上。您可以在节点上应用一个或多个污点。 容限 容限 (tolerations) 您可以将容限应用到 pod。容限 (toleration) 允许调度程序调度具有匹配污点的 pod。 Web 控制台 控制台 用于管理 OpenShift Container Platform 的用户界面(UI)。 第 第 1 章 章 了解网 了解网络 络 9 第 2 章 OPERATOR 21 1 2 3 这允许 Operator 使用基于 Server 的额外服务器配置块来创建和更新名为 dns-default 的 ConfigMap。如果没有服务器带有与查询匹配的区，则命名解析功能会返回到由 /etc/resolv.conf中指定的名称服务器。 DNS 示例 示例 name 必须符合 rfc6335 服务名称的语法。 zones 必须符合 rfc1123 置映射应包含 CA 证书捆绑包。AllowedSubjectPatterns 是一个可选值，用 于指定正则表达式列表，该列表与有效客户端证书上的可分辨名称匹配以过滤请 求。正则表达式必须使用 PCRE 语法。至少一种模式必须与客户端证书的可分辨 名称匹配；否则，入口控制器拒绝证书，并拒绝连接。如果没有指定，ingress 控制器不会根据可分辨的名称拒绝证书。 routeAdmission routeAdmission