Platform 4.13 CI/CD 26 重要 重要 用户应该从最终的应用程序镜像中移除输入 secret，以便从该镜像运行的容器中不会存在 这些 secret。但是，secret 仍然存在于它们添加到的层中的镜像本身内。这一移除是 Dockerfile 本身的一部分。 为防止输入 secret 和配置映射的内容出现在构建输出容器镜像中并完全避免此移除过程， 请在 Docker 构建策略中使用构建卷。 字段上的任何设置都会被忽略。 2.5.1.5. 使用 使用 docker 构 构建的 建的 Squash 层 层 通常，Docker 构建会为 Dockerfile 中的每条指令都创建一个层。将 imageOptimizationPolicy 设置为 SkipLayers，可将所有指令合并到基础镜像顶部的单个层中。 流程 流程 将 imageOptimizationPolicy 设置为 SkipLayers： 镜像更改触 像更改触发 发器状 器状态 态 在构建配置中，buildConfig.status.imageChangeTriggers 是 ImageChangeTriggerStatus 元素的数 组。每个 ImageChangeTriggerStatus 元素都包含上例中所示的 from、lastTriggeredImageID 和 lastTriggerTime 元素。 具有最新 lastTriggerTime

1.2.4. 机器 API 1.2.4.1. 支持多个 支持多个块设备 块设备映射 映射 Machine API 现在支持 AWS 上运行的机器的多个块设备映射。如果有多个块设备，您现在可将日志、数 据存储在空目录 Pod 中，将 Docker 镜像保存在独立于机器的根设备的块设备中。 1.2.4.2. Machine API providerSpec 的默 的默认设 认设置和 置和验证 验证 OpenNESS Operator。 这些 Operator 支持 vRAN 部署对低功耗、成本和延迟的要求，同时还提供相应的功能来管理性能高峰。 4G 和 5G 工作负载中最需要计算资源的是 RAN 第 1 层 (L1) 转发错误更正 (FEC)，它可以解决不可靠或不 安全通信通道上的数据传输错误。 随着 FEC 的成熟和更多用户依赖网络，交付高性能 FEC 对 5G 而言至关重要。FEC 通常在字段可编程 redhat.io 会映射到 mirror.internal.customer.com。 具有广泛范围的 ICSP 可减少 ICSP 将来可能需要更改的次数，从而减少集群必须重新引导所有节点的次 数。 1.2.16. 集群日志记录 Log Forwarding API 已正式 已正式发 发布 布 Log Forwarding API 现已正式发布。Log Forwarding API 允许您通过配置带有端点的自定义资源来转发日

(number of vCPUs) \ 1 + 16 MiB * (number of graphics devices) 2 虚拟机请求的虚拟 CPU 数量 虚拟机请求的虚拟图形卡数 如果您的环境包含单一根 I/O 虚拟化（SR-IOV）网络设备或图形处理单元（GPU），请为每个设备分配 1 GiB 额外的内存开销。 4.1.2.2. CPU 开 开销 使用以下内容计算 OpenShift 弃。containerDisk 卷对于只读文件 系统（如 CD-ROM）或可处理的虚拟 机很有用。 emptyDisk 创建额外的稀疏 QCOW2 磁盘，与虚拟机接口的生命 周期相关联。当虚拟机中的客户端初始化重启后，数 据保留下来，但当虚拟机停止或从 web 控制台重启 时，数据将被丢弃。空磁盘用于存储应用程序依赖项 和数据，否则这些依赖项和数据会超出临时磁盘有限 的临时文件系统。 此外还必须提供磁盘容量 容量大小。 qemu-guest- 第 第 8 章 章 虚 虚拟 拟机 机 71 正在运行的 Windows 虚拟机装有 QEMU 客户机代理。VirtIO 驱动程序中包含 qemu-guest- agent。 第 2 层 vNIC 附加到虚拟机。 与 Windows 虚拟机处于相同网络的机器上装有 RDP 客户端。 流程 流程 1. 在 OpenShift Container Platform 控制台中，从侧边菜单中点

ReadWriteMany (RWX) 访问模式。 与 Filesystem 卷模式相比，Block 卷模式性能有显著提高。这是因为 Filesystem 卷模式使用更 多存储层，包括文件系统层和磁盘镜像文件。虚拟机磁盘存储不需要这些层。 例如，如果您使用 Red Hat OpenShift Data Foundation，Ceph RBD 卷优先于 CephFS 卷。 重要 重要 您无法实时迁移使用以下配置的虚拟机： + (additional memory overhead) 4 在 virt-launcher pod 中运行的进程需要。 虚拟机请求的虚拟 CPU 数量。 虚拟机请求的虚拟图形卡数。 额外的内存开销： 如果您的环境包含单一根 I/O 虚拟化（SR-IOV）网络设备或图形处理单元（GPU），请为 每个设备分配 1 GiB 额外的内存开销。 6.1.2.2. CPU 开 开销 ReadWriteMany (RWX) 访问模式。 与 Filesystem 卷模式相比，Block 卷模式性能有显著提高。这是因为 Filesystem 卷模式使用更 多存储层，包括文件系统层和磁盘镜像文件。虚拟机磁盘存储不需要这些层。 例如，如果您使用 Red Hat OpenShift Data Foundation，Ceph RBD 卷优先于 CephFS 卷。 重要 重要 您无法实时迁移使用以下配置的虚拟机：

. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8.1.2.3. 增加线程数 8.1.2.4. 增加缓冲的影响 8.1.2.5. HAProxy Reloads 的优化 第 第 9 章 章 扩 扩展集群指 展集群指标 标 9.1. 概述 9.2. 针对 OPENSHIFT aster-config.yaml 中的以下设置可以减少这个缓存大小： 发送到 API 服务器的客户端请求或 API 调用数量由每秒的 Queries(QPS)值和 API 服务器处理的并发请求 数决定。客户端可能会过量 QPS 速率发出的请求数量取决于突发值，这对具有极限的应用程序来说非常 有用，并可执行不监管的请求数量。当 API 服务器处理大量并发请求时，对请求的响应时间，特别是大型 和/或高密度的集群。建议您监控 支持动态 PV 部署的存储技术的挂载时间延迟较低，且不与节点绑定来支持一个健康的集群。 应用程序开发人员需要了解应用程序对存储的要求，以及如何与所需的存储一起工作以确保应用 程序扩展或者与存储层交互时不会出现问题。 5.3.2. 其他特定的应用程序存储建议 OpenShift Container Platform 内部 etcd：为了获得最好的 etcd 可靠性，首选使用具有最低一致 性延迟的存储技术。

要禁用 Ingress 访问日志，请保留 spec.logging 或 spec.logging.access 为空： 6.8.5. 设置 Ingress Controller 线程数 集群管理员可设置线程数，以增加集群可以处理的入站的连接量。您可以修补现有的 Ingress Controller 来增加线程量。 先决条件 先决条件 以下假设您已创建了 Ingress Controller。 代表连接测试条件和最近连接发生和失败的日志的对 象。 status.conditions 数 数组 组 连接检查以及任何之前的状态的最新状态。 status.failures 数 数组 组 连接测试日志不会失败。 status.outages 数 数组 组 涵盖任何中断的时间连接测试日志。 status.successes 数 数组 组 成功尝试的连接测试日志。 字段 字段 类 类型 型 描述 描述 类 类型 型 描述 描述 end 字符串 字符串 连接失败时的时间戳。 endLogs 数 数组 组 连接日志条目，包括与成功关闭相关的日志条目。 message 字符串 字符串 以人类可读格式显示停机详情概述。 开始 开始 字符串 字符串 第一次检测到连接失败时的时间戳。 startLogs 数 数组 组 连接日志条目，包括原始失败。 连 连接日志字段 接日志字段 下表中描述了连接日志条目的字段。该对象用于以下字段：

（builder）镜像，这有助于通过将您的代码或配置添加到现有镜像来创建新镜像。 由于应用程序会随时间发展，因此单个镜像名称实际上可以指代同一镜像的许多不同版本。每个不同的镜 像都可以通过其唯一的哈希值识别（很长的十六进制数，如fd44297e2ddb050ec4f…），通常可缩短为 12 个字符（如：fd44297e2ddb）。 3.2. 容器 OpenShift Container Platform 应用程序的基本单元称为容器。Linux OpenShift Container Platform 4.2 镜 镜像 像 18 第 4 章 创建镜像 了解如何基于就绪可用的预构建镜像来创建自己的容器镜像。这一过程包括学习编写镜像、定义镜像元数 据、测试镜像以及使用自定义构建程序工作流创建可用于 OpenShift Container Platform 的镜像的最佳实 践。创建完镜像后，您可将其推送到内部 registry。 4.1. 学习容器最佳实践 括通过 ADD 命令添加的任何文件。例如，我们强烈建 议您在执行 yum install 操作后运行 yum clean 命令。 您可按照如下所示创建 RUN 语句来防止 yum 缓存最终留在镜像层： RUN yum -y install mypackage && yum -y install myotherpackage && yum clean all -y 请注意，如果您改写为： RUN

，了解和管理它就会变得非常困难。 Red Hat OpenShift Service Mesh 基于开源 Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的环境中。您可以 ，了解和管理它就会变得非常困难。 Red Hat OpenShift Service Mesh 基于开源 Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的服务网格中。您 的入站网络数据。如果从 Service Mesh 中删除了 一个成员，则这个 NetworkPolicy 资源会从项目中删除。 注意 注意 这也限制了到成员项目的入站网络数据。如果需要来自非成员项目的入站网络数 据，您需要创建一个 NetworkPolicy 来允许这些网络流量。 Multitenant: Red Hat OpenShift Service Mesh 将每个成员项目的 NetNamespace

REGISTRY 的 的 CLUSTER SAMPLES OPERATOR 25 第 4 章 创建镜像 了解如何基于就绪可用的预构建镜像来创建自己的容器镜像。这一过程包括学习编写镜像、定义镜像元数 据、测试镜像以及使用自定义构建程序工作流创建可用于 OpenShift Container Platform 的镜像的最佳实 践。创建完镜像后，您可将其推送到内部 registry。 4.1. 学习容器最佳实践 yum 缓存最终留在镜像层： 请注意，如果您改写为： 则首次 yum 调用会将额外文件留在该层，后续运行 yum clean 操作时无法删除这些文件。最终镜像中看 不到这些额外文件，但它们存在于底层中。 如果在较早层中删除了一些内容时，当前容器构建进程不允许在较晚的层中运行一个命令来缩减镜像使用 的空间。但是，这个行为可能会在以后的版本中有所改变。这表示，如果在较晚层中执行 rm 命令，虽然 ，与 yum clean 示例一 样，最好尽可能使用创建文件的同一命令删除文件，以免文件最终写入层中。 另外，在单个 RUN 语句中执行多个命令可减少镜像中的层数，缩短下载和提取时间。 按正确顺序放置指令 容器构建程序读取 Dockerfile，并自上而下运行指令。成功执行的每个指令都会创建一个层，可在下次构 建该镜像或其他镜像时重复使用。务必要将很少更改的指令放置在 Dockerfile 的顶部。这样做可确保下

OpenShift Service Mesh 简介 Red Hat OpenShift Service Mesh 通过在应用程序中创建集中控制点来解决微服务架构中的各种问题。它 在现有分布式应用上添加一个透明层，而无需对应用代码进行任何更改。 微服务架构将企业应用的工作分成模块化服务，从而简化扩展和维护。但是，随着微服务架构上构建的企 业应用的规模和复杂性不断增长，理解和管理变得困难。Service Mesh ，了解和管理它就会变得非常困难。 Red Hat OpenShift Service Mesh 基于开源 Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的服务网格中。您 34 1.5.1.5. OpenSSL Red Hat OpenShift Service Mesh 将 BoringSSL 替换为 OpenSSL。OpenSSL 是包含安全套接字层 (SSL) 和传输层 (TLS) 协议的开源实现的软件库。Red Hat OpenShift Service Mesh Proxy 二进制代码动 态地将 OpenSSL 库（libssl 和 libcrypto）与底层的