maxUnavailable 是中断期间可以无法使用的 pod 的数量。 注意 注意 允许 maxUnavailable 为 0% 或 0，minAvailable 为 100％ ％ 或等于副本数，但这样设置可 能会阻止节点排空操作。 您可以使用以下命令来检查所有项目的 pod 中断预算： 输 输出示例 出示例 如果系统中至少有 minAvailable 个 pod 正在运行，则 PodDisruptionBudget 的目 的目标 标平均 平均 CPU 使用率。如果未指定最小 使用率。如果未指定最小值 值， ，则 则 OpenShift Container Platform 服 服务 务器会 器会为 为 pod 赋 赋予一个默 予一个默认值 认值。要自 。要自动缩 动缩放特定 放特定 CPU 值 值， ，创 创建一个 建一个带 带有目 有目标 标 CPU 和 和 pod 限制的 限制的 HorizontalPodAutoscaler 的目 的目标 标平均内存使用率。如果未指定 平均内存使用率。如果未指定 最小 最小值 值， ，则 则 OpenShift Container Platform 服 服务 务器会 器会为 为 pod 赋 赋予一个默 予一个默认值 认值。 。 重要 重要 根据内存使用率自 根据内存使用率自动缩 动缩放 放仅 仅是一 是一项 项技 技术预览 术预览功能。技 功能。技术预览 术预览功能不包括在

maxUnavailable 是中断期间可以无法使用的 pod 的数量。 注意 注意 允许 maxUnavailable 为 0% 或 0，minAvailable 为 100％ ％ 或等于副本数，但这样设置可 能会阻止节点排空操作。 您可以使用以下命令来检查所有项目的 pod 中断预算： 输 输出示例 出示例 如果系统中至少有 minAvailable 个 pod 正在运行，则 PodDisruptionBudget 中以各种方式消耗配置数据。配置映射可用于： 在容器中填充环境变量值 设置容器中的命令行参数 填充卷中的配置文件 用户和系统组件可以在配置映射中存储配置数据。 配置映射与 secret 类似，但设计为能更加便捷地支持与不含敏感信息的字符串配合。 配置映射限制 配置映射限制 在 在 pod 中可以消耗它的内容前，必 中可以消耗它的内容前，必须创 须创建配置映射。 建配置映射。 可以编写控制器来容许 其 中键的名称是文件名称，键的值是文件的内容。 例如，上一命令会创建以下配置映射： 输 输出示例 出示例 您可以看到，映射中的两个键都是从命令中指定的目录中的文件名创建的。因为这些键的内容可 能较大，所以 oc describe 的输出只会显示键的名称及其大小。 3. 使用带有 -o 选项的 oc get 命令以查看键的值： 输 输出示例 出示例 how.nice.to.look=fairlyNice

2. OPENSHIFT CONTAINER PLATFORM 4.13 中的可选集群功能 目前，集群 Operator 为这些可选功能提供功能。以下总结了每个功能提供的功能，并在禁用时丢失的功 能。 其他 其他资 资源 源 集群 Operator 参考 3.2.1. 裸机功能 用途 用途 Cluster Baremetal Operator 为 baremetal 功能提供功能。 Cluster 重要 重要 OpenShift Container Platform 4.13 安装 安装 28 重要 重要 这些要求基于本地测试结果，且只测试了发行镜像和 Operator 镜像。存储要求可 能会因您的组织的需求而有所不同。例如，当镜像了多个 z-streams 时，则可能需 要更多空间。您可以使用标准 Red Hat Quay 功能 或适当的 API 调用来删除不必 要的镜像并释放空间。 也可以使用此信任捆绑包。 字符串 功能 功能 控制可选核心组件的安装。您可以通过 禁用可选组件来减少 OpenShift Container Platform 集群的空间。如需 更多信息，请参阅安装中的"集群功 能"页面。 字符串数组 capabilities.baseline CapabilitySet 选择要启用的一组初始可选功能。有效 值为 None、v4.11、v4.12 和 vCurrent。默认值为

具有一组必须 实现的目标，并且每个目标都有一组依赖项。因为每个目标仅关注其自己的依赖项，所以安装程序可以采 取措施来并行实现多个目标。最终目标是正常运行的集群。通过满足依赖项而不是运行命令，安装程序能 够识别和使用现有的组件，而不必运行命令来再次创建它们。 下图显示了安装目标和依赖项的子集： 图 图 2.1. OpenShift Container Platform 安装目 安装目标 标和依 和依赖项 或 docker run 命令。其 中， 是新容器镜像的名称，类似于 quay.io/myrepo/myapp:latest。registry 可 能需要凭证才能推送和拉取镜像。 如需有关如何构建容器镜像、将其推送到 registry 并运行它们的过程的更多详细信息，请参阅使用 Buildah 自定义镜像构建。 4.2.1. 容器构建工具选项 OpenShift Container Platform 和任何其他容器平台中运 行。 使用 buildah、podman 和 skopeo 构建和管理容器会生成行业标准的容器镜像，其包含经过专门调优的功 能，以便于这些容器最终部署到 OpenShift Container Platform 或其他 Kubernetes 环境中。这些工具不 是作为守护进程运行的，可在没有 root 权限的情况下运行，因此运行它们的开销比较小。

Platform 与 vMotion 搭配使用 重要 重要 OpenShift Container Platform 通常支持仅用于计算的 vMotion。使用 Storage vMotion 可 能会导致问题且不被支持。 如果您在 pod 中使用 vSphere 卷，请手动或通过 Storage vMotion 在数据存储间迁移虚拟机，这会导致 OpenShift Container Platform control plane 机器的负 载均衡器。此记录必须能由集群外 的客户端和集群内的所有节点解 析。 Ingress VIP *.apps... 通配符 DNS A/AAAA 或 CNAME 记录，指向以运行入口路由器 Pod 的机器（默认为 worker 节点）为 目标的负载均衡器。此记录必须能 由集群外的客户端和集群内的所有 节点解析。 1 Platform 与 vMotion 搭配使用 重要 重要 OpenShift Container Platform 通常支持仅用于计算的 vMotion。使用 Storage vMotion 可 能会导致问题且不被支持。 如果您在 pod 中使用 vSphere 卷，请手动或通过 Storage vMotion 在数据存储间迁移虚拟机，这会导致 OpenShift Container Platform

认位置。如果应用程序位 于子目录中，您可以使用此字段覆盖默认位置（根文件夹）。 如果提供可选的 dockerfile 字段，它应该是包含 Dockerfile 的字符串，此文件将覆盖源存储库中可 能存在的任何 Dockerfile。 如果 ref 字段注明拉取请求，则系统将使用 git fetch 操作，然后 checkout FETCH_HEAD。 如果未提供 ref 值，OpenShift 控制台添加 SECRET 您可以在构建配置中添加 secret，以便它可以访问私有存储库。 第 第 5 章 章 使用 使用构 构建策略 建策略 51 流程 流程 在构建配置中添加 secret 使其能访问私有存储库： 1. 创建一个新的 OpenShift Container Platform 项目。 2. 创建一个包含用于访问私有源代码存储库的凭证的 secret。 3. 创建构建配置。 构建中使用 建中使用红 红帽 帽订阅 订阅 79 第 11 章 通过策略保护构建 OpenShift Container Platform 中的构建在特权容器中运行。根据所用的构建策略，这允许能运行构建的 用户升级其在集群和主机节点上的权限。为安全起见，请限制可以运行构建的人员以及用于这些构建的策 略。Custom 构建本质上不如 Source 构建安全，因为它们可以在特权容器内执行任何代码，这在默认情

程序都需要一定程度的内核级性能优化。Node Tuning Operator 为用户提供了一个统一的、节点一级的 sysctls 管理接口，并可以根据具体用户的需要灵活地添加定制的性能优化设置（当前还是一个技术预览功 能）。Node Tuning Operator 把为 OpenShift Container Platform 容器化的 tuned 守护进程作为一个 Kubernetes DaemonSet 进行管理 服务使用端口 5000 而不是端口 443。 (BZ#1701422) 如果所选的 Availability Zone 没有请求的资源，则在 AWS 环境中进行 machineset scaling 操作可 能会失败。 (BZ#1713157) 在通过自定义的 PKI 配置 ingress wildcard 证书后使用 OAuth 端点会导致登陆失败。。 (BZ#1712525) Source-to-Image 将会最少涉及到 2 个次发行版本（例如，3.4 到 3.5 到 3.6）来更新旧的 oc， 使用新功能可能会需要使用新版本的 oc。一个 3.2 版本的服务器可能会带有版本 3.1 的 oc 不能使用的功 能，而一个版本为 3.2 的 oc 也可能会带有不被版本 3.1 服务器支持的功能。 表 表 2.1. 兼容性列表 兼容性列表 X.Y (oc Client) X.Y+N [a] (oc Client)

Controller 的全局设置值。 6.8.13. 启用 HTTP/2 入口连接 您可以在 HAProxy 中启用透明端到端的 HTTP/2 连接。此功能使应用程序所有者利用 HTTP/2 协议功 能，包括单一连接、标头压缩、二 进制流等等。 您可以为单独的 Ingress Controller 或整个集群启用 HTTP/2 连接。 要在从客户端到 HAProxy 的连接中启用 HTTP/2， 在需要低延迟性能的电信或其他部署配置中，PTP 守护进程线程在受限制的 CPU 占用空间以及剩余的基 础架构组件一起运行。默认情况下，PTP 线程使用 SCHED_OTHER 策略运行。在高负载下，这些线程可 能没有获得无错操作所需的调度延迟。 要缓解潜在的调度延迟错误，您可以将 PTP Operator linuxptp 服务配置为允许线程使用 SCHED_FIFO 策略运行。如果为 PtpConfig CR 对 对象 象 IPAM CNI 插件的配置对象。该插件管理附加定义的 IP 地址分 配。 注意 注意 如果您为插件配置指定 master key，请使用与主网络插件关联的物理网络接口，以避免可 能冲突。 13.2.3.4.1. macvlan 配置示例 配置示例 以下示例配置了名为 macvlan-net 的额外网络： 13.2.4. 为额外网络配置 IP 地址分配 IP 地址管理 (IPAM)

2. OPENSHIFT CONTAINER PLATFORM 4.14 中的可选集群功能 目前，集群 Operator 为这些可选功能提供功能。以下总结了每个功能提供的功能，并在禁用时丢失的功 能。 其他 其他资 资源 源 集群 Operator 参考 OpenShift Container Platform 4.14 安装 安装 24 3.2.1. 裸机功能 用途 用途 Cluster 如果禁用裸机功能，集群将无法置备或管理裸机节点。只有在部署中没有 BareMetalHost 资源时才禁用该功能。baremetal 能力取决于 MachineAPI 功能。如果启用 baremetal 功 能，还必须启用 MachineAPI。 其他 其他资 资源 源 在裸机上部署安装程序置备的集群 准备裸机集群安装 裸机配置 3.2.2. 构建功能 用途 用途 Build 功能启用 Build 或更多空间。 重要 重要 第 第 4 章 章 断开 断开连 连接的安装 接的安装镜 镜像 像 29 重要 重要 这些要求基于本地测试结果，且只测试了发行镜像和 Operator 镜像。存储要求可 能会因您的组织的需求而有所不同。例如，当镜像了多个 z-streams 时，则可能需 要更多空间。您可以使用标准 Red Hat Quay 功能 或适当的 API 调用来删除不必 要的镜像并释放空间。

附加存储可能会导致网络延迟无法预计。要大规模向 etcd 节点提供快速存储，请使用 PCI 透传将 NVM 设备直接传递给节点。 始终使用相关工具（如 fio）进行基准测试。当集群性能增加时，您可以使用这些工具不断监控集群性 能。 注意 注意 避免使用网络文件系统 (NFS) 协议或其他基于网络的文件系统。 需要在部署的 OpenShift Container Platform 集群上监控的一些关键指标包括，日志持续时间之前的 并非所有工作负载都适合适用高过量使用比率。如果工作负载是 CPU 密集型的，那么您可能无法 在不对性能造成影响的情况下使用高的比率。对于高 I/O 密集型工作负载，即便具有较高的过量 使用比率，也能保持一致的性能。 其他 其他资 资源 源 Z/VM 通用性能问题和解决方案 Z/VM 过量使用注意事项 LPAR CPU 管理 2.2. 禁用透明巨页 Transparent Huge Pages 点接受，从而导致性能更差或无法达到预期。例如，当 pod 调度程序通过不知道 pod 请求的资源可用而 导致做出非最佳的调度决定时，pod 创建可能会出现 Topology Affinity Error 状态。调度不匹配决策可 能会导致 pod 启动延迟。另外，根据集群状态和资源分配，pod 调度决策可能会因为启动失败而对集群造 成额外的负载。 NUMA Resources Operator 部署了一个自定义 NUMA 资源辅助调度程序和其他资源，以缓解默认