时，汇编过程可以执行大量复杂操作，无需在每一步创建新层，进而能实现快速的流 程。此外，可以编写 S2I 脚本来重复利用应用程序镜像的旧版本，而不必在每次运行构建时下 载或构建它们。 可修补性 如果基础镜像因为安全问题而需要补丁，则 S2I 允许基于新的基础镜像重新构建应用程序。 操作效率 通过限制构建操作而不许随意进行 Dockerfile 允许的操作，PaaS 运维人员可以避免意外或故 意滥用构建系统。 时，汇编过程可以执行大量复杂操作，无需在每一步创建新层，进而能实现快速的流 程。此外，可以编写 S2I 脚本来重复利用应用程序镜像的旧版本，而不必在每次运行构建时下 载或构建它们。 可修补性 如果基础镜像因为安全问题而需要补丁，则 S2I 允许基于新的基础镜像重新构建应用程序。 操作效率 通过限制构建操作而不许随意进行 Dockerfile 允许的操作，PaaS 运维人员可以避免意外或故 意滥用构建系统。

用的路径，如 JAVA_HOME。 避免默 避免默认 认密 密码 码 避免设置默认密码。许多人扩展镜像时会忘记删除或更改默认密码。如果在生产环境中的用户被分配了众 所周知的密码，则这可能引发安全问题。可以使用环境变量来配置密码。 如果您的确要选择设置默认密码，请确保在容器启动时显示适当的警告消息。消息中应告知用户默认密码 的值并说明如何修改密码，例如要设置什么环境变量。 避免 避免 sshd image.config.openshift.io/cluster CR 示例： 指定用于镜像简短名称的 registry。您应该只使用带有内部或私有 registry 的镜像短名称， 以减少可能的安全问题。 确保在 containerRuntimeSearchRegistries 下列出的任何 registry 都包含在 allowedRegistries 列表中。 注意 注意 $ oc edit

便可轻松找到版本。另一示例是在系统上公告可供其他进程使用的路径，如 JAVA_HOME。 避免默认密码 避免设置默认密码。许多人扩展镜像时会忘记删除或更改默认密码。如果在生产环境中的用户被分配了众 所周知的密码，则这可能引发安全问题。可以使用环境变量来配置密码。 如果您的确要选择设置默认密码，请确保在容器启动时显示适当的警告消息。消息中应告知用户默认密码 的值并说明如何修改密码，例如要设置什么环境变量。 避免 sshd 最好避免在您的镜像中运行 Container Platform 4.7 镜 镜像 像 70 1 2 指定用于镜像简短名称的 registry。您应该只使用带有内部或私有 registry 的镜像短名称， 以减少可能的安全问题。 确保在 containerRuntimeSearchRegistries 下列出的任何 registry 都包含在 allowedRegistries 列表中。 注意 注意 当定义 allowedRegistries

ComputerName，它必须遵循 Kubernetes 名称规格。这些规格也适用于在创建新 虚拟机时在生成的模板中执行的 Guest OS 自定义。 禁用自动登录，以避免在启动时使用管理员特权打开终端的安全问题。这是默认值，不 得更改。 将 MyPassword 占位符替换为 Administrator 帐户的密码。这可防止内置的 Administrator 帐户默认拥有空白密码。遵循 Microsoft

路径，如 JAVA_HOME。 避免默 避免默认 认密 密码 码 最好避免设置默认密码。很多人扩展镜像时会忘记删除或更改默认密码。如果在生产环境中的用户被分配 了众所周知的密码，则这可能引发安全问题。应该使用环境变量来使密码可以被配置。 如果您的确要选择设置默认密码，请确保在容器启动时显示适当的警告消息。消息中应告知用户默认密码 的值并说明如何修改密码，例如要设置什么环境变量。 避免 避免

在以前的版本中，安装程序在使用安装程序置备的基础架构的裸机上安装时，使用端口 80 向 Baseboard Management Controller (BMC) 和部署代理提供镜像。这可能会造成安全问题，因为 许多类型的公共流量都使用端口 80。在这个版本中，安装程序使用端口 6180。(OCPBUGS- 8509) Machine Config Operator 在以前的版本中，在 AWS

不同的路径。但是，一些后 端服务选择通过将多个斜杠合并成单斜杠来规范 URL 路径。这可能导致绕过授权策略（//admin 不匹配 /admin），用户可以在后端的路径 /admin 上访问资源，这可能会产生安全问题。 如果您使用 ALLOW action + notPaths 字段或者 DENY action + paths 字段特征，您的集群会受到这个 漏洞的影响。这些模式可能会被意外的策略绕过。 在以下情况下，集群不会受到此漏洞的影响： 不同的路径。但是，一些后 端服务选择通过将多个斜杠合并成单斜杠来规范 URL 路径。这可能导致绕过授权策略（//admin 不匹配 /admin），用户可以在后端的路径 /admin 上访问资源，这可能会产生安全问题。 如果您使用 ALLOW action + notPaths 字段或者 DENY action + paths 字段特征，您的集群会受到这个 漏洞的影响。这些模式可能会被意外的策略绕过。 在以下情况下，集群不会受到此漏洞的影响：