将订阅权利添加为构建 SECRET 10.3. 使用 SUBSCRIPTION MANAGER 运行构建 10.4. 使用 RED HAT SATELLITE 订阅运行构建 10.5. 对 DOCKER 的构建层进行压缩 10.6. 其他资源 第 第 11 章 章 通 通过 过策略保 策略保护构 护构建 建 11.1. 在全局范围内禁用构建策略访问 11.2. 在全局范围内限制用户使用构建策略 11.3 脚本，将应用程序代码注入到几乎所有现有的 Docker 格式容器镜像，以此利用 现有的生态系统。请注意，S2I 目前依靠 tar 来注入应用程序源代码，因此镜像需要能够处理 tar 压缩的内容。 OpenShift Container Platform 4.4 构 构建（ 建（build） ） 4 速度 使用 S2I 时，汇编过程可以执行大量复杂操作，无需在每一步创建新层，进而能实现快速的流 程。此外，可以编写 S2I 脚本 用户执行操作，而能够 以非 root 用户运行脚本。 用户效率 S2I 禁止开发人员在应用程序构建期间执行任意 yum install 类型的操作。因为这类操作可能 会减慢开发迭代速度。 生态系统 S2I 倡导共享镜像生态系统，您可以将其中的最佳实践运用于自己的应用程序。 可重复生成性 生成的镜像可以包含所有输入，包括构建工具和依赖项的特定版本。这可确保精确地重新生成 镜像。 1.1.3. Custom

Platform 4.13 CI/CD 26 重要 重要 用户应该从最终的应用程序镜像中移除输入 secret，以便从该镜像运行的容器中不会存在 这些 secret。但是，secret 仍然存在于它们添加到的层中的镜像本身内。这一移除是 Dockerfile 本身的一部分。 为防止输入 secret 和配置映射的内容出现在构建输出容器镜像中并完全避免此移除过程， 请在 Docker 构建策略中使用构建卷。 字段上的任何设置都会被忽略。 2.5.1.5. 使用 使用 docker 构 构建的 建的 Squash 层 层 通常，Docker 构建会为 Dockerfile 中的每条指令都创建一个层。将 imageOptimizationPolicy 设置为 SkipLayers，可将所有指令合并到基础镜像顶部的单个层中。 流程 流程 将 imageOptimizationPolicy 设置为 SkipLayers： 通过构建 hook，可以将行为注入到构建过程中。 BuildConfig 对象的 postCommit 字段在运行构建输出镜像的临时容器内执行命令。Hook 的执行时间是 紧接在提交镜像的最后一层后，并且在镜像推送到 registry 之前。 当前工作目录设置为镜像的 WORKDIR，即容器镜像的默认工作目录。对于大多数镜像，这是源代码所处 的位置。 如果脚本或命令返回非零退出代码，或者启动临时容器失败，则

Kubernetes 网络策略在集群上部署的应用程序服务之间创建微分段。 您还可以使用 OpenShift Container Platform 中发现的 Route API 对象，包括其与 HAproxy 边缘路由层 集成在一起的 Kubernetes Ingress Controller。 2.1.4. 核心用户体验 OpenShift Kubernetes Engine 用户对 Kubernetes Operator、pod 5. 维护和策展的内容 使用 OpenShift Kubernetes Engine 订阅，您可从红帽生态系统目录和红帽 Connect ISV 市场访问 OpenShift Container Platform 内容。您可以访问 OpenShift Container Platform 生态环境所提供的所有 维护和策展的内容。 2.1.6. 兼容 OpenShift Container Storage

具有不同的容量。为了避免这种故障，请为每个节点使用适当的容量，并在虚拟机上设置节点关 联性以确保迁移成功。如需更多信息，请参阅配置所需的节点关联性规则。 其他 其他资 资源 源 关于 RHCOS. 用于支持的 CPU 红帽生态系统目录。 支持的存储. 4.1.2. 物理资源开销要求 OpenShift Virtualization 是 OpenShift Container Platform 的一个附加组件，它会带来额外的开销。除了 qemu-guest- 第 第 8 章 章 虚 虚拟 拟机 机 71 正在运行的 Windows 虚拟机装有 QEMU 客户机代理。VirtIO 驱动程序中包含 qemu-guest- agent。 第 2 层 vNIC 附加到虚拟机。 与 Windows 虚拟机处于相同网络的机器上装有 RDP 客户端。 流程 流程 1. 在 OpenShift Container Platform 控制台中，从侧边菜单中点 详 详情 情页。 3. 点击 Console 选项卡。 4. 在 Console 列表中，选择 Desktop Viewer。 5. 在 Network Interface 列表中，选择第 2 层 vNIC。 6. 点击 Launch Remote Desktop 下载 console.rdp 文件。 7. 打开 RDP 客户端并引用 console.rdp 文件。例如，使用 Remmina：

yum 缓存最终留在镜像层： 请注意，如果您改写为： 则首次 yum 调用会将额外文件留在该层，后续运行 yum clean 操作时无法删除这些文件。最终镜像中看 不到这些额外文件，但它们存在于底层中。 如果在较早层中删除了一些内容时，当前容器构建进程不允许在较晚的层中运行一个命令来缩减镜像使用 的空间。但是，这个行为可能会在以后的版本中有所改变。这表示，如果在较晚层中执行 rm 命令，虽然 yum clean 示例一 样，最好尽可能使用创建文件的同一命令删除文件，以免文件最终写入层中。 另外，在单个 RUN 语句中执行多个命令可减少镜像中的层数，缩短下载和提取时间。 按正确 按正确顺 顺序放置指令 序放置指令 容器构建程序读取 Dockerfile，并自上而下运行指令。成功执行的每个指令都会创建一个层，可在下次构 建该镜像或其他镜像时重复使用。务必要将很少更改的指令放置在 Dockerfile podman build 或 docker build 时，系统都可重复利用 yum 命令 的缓存层，仅为 ADD 操作生成新层。 如果您将 Dockerfile 改写为： 则您每次更改 myfile 和重新运行 podman build 或 docker build 时，ADD 操作都会导致 RUN 层缓存无 效，因此 yum 操作也必须要重新运行。 标记 标记重要端口 重要端口 EXPOSE

yum 缓存最终留在镜像层： 请注意，如果您改写为： 则首次 yum 调用会将额外文件留在该层，后续运行 yum clean 操作时无法删除这些文件。最终镜像中看 不到这些额外文件，但它们存在于底层中。 如果在较早层中删除了一些内容时，当前容器构建进程不允许在较晚的层中运行一个命令来缩减镜像使用 的空间。但是，这个行为可能会在以后的版本中有所改变。这表示，如果在较晚层中执行 rm 命令，虽然 ，与 yum clean 示例一 样，最好尽可能使用创建文件的同一命令删除文件，以免文件最终写入层中。 另外，在单个 RUN 语句中执行多个命令可减少镜像中的层数，缩短下载和提取时间。 按正确顺序放置指令 容器构建程序读取 Dockerfile，并自上而下运行指令。成功执行的每个指令都会创建一个层，可在下次构 建该镜像或其他镜像时重复使用。务必要将很少更改的指令放置在 Dockerfile 的顶部。这样做可确保下 podman build 或 docker build 时，系统都可重复利用 yum 命令 的缓存层，仅为 ADD 操作生成新层。 如果您将 Dockerfile 改写为： 则您每次更改 myfile 和重新运行 podman build 或 docker build 时，ADD 操作都会导致 RUN 层缓存无 效，因此 yum 操作也必须要重新运行。 标记重要端口 EXPOSE 指令使主机系统

OpenShift Service Mesh 简介 Red Hat OpenShift Service Mesh 通过在应用程序中创建集中控制点来解决微服务架构中的各种问题。它 在现有分布式应用上添加一个透明层，而无需对应用代码进行任何更改。 微服务架构将企业应用的工作分成模块化服务，从而简化扩展和维护。但是，随着微服务架构上构建的企 业应用的规模和复杂性不断增长，理解和管理变得困难。Service Mesh ，了解和管理它就会变得非常困难。 Red Hat OpenShift Service Mesh 基于开源 Istio 项目，它在不需要修改服务代码的情况下，为现有的分 布式应用程序添加了一个透明的层。您可以在服务中添加对 Red Hat OpenShift Service Mesh 的支持，方 法是将一个特殊的 sidecar 代理服务器部署到用于处理不同微服务之间的所有网络通讯的服务网格中。您 34 1.5.1.5. OpenSSL Red Hat OpenShift Service Mesh 将 BoringSSL 替换为 OpenSSL。OpenSSL 是包含安全套接字层 (SSL) 和传输层 (TLS) 协议的开源实现的软件库。Red Hat OpenShift Service Mesh Proxy 二进制代码动 态地将 OpenSSL 库（libssl 和 libcrypto）与底层的

tracing。目前还不支持 Collector 的其他功能。 OpenTelemetry 收集器允许开发人员使用与供应商无关的 API 检测其代码，避免了供应商锁定并启用不 断增长的可观察性工具生态系统。 1.6. RED HAT OPENSHIFT 分布式追踪已知问题 Red Hat OpenShift 分布式追踪中存在这些限制： 不支持 Apache spark。 IBM Z 和 IBM 38 es: tls: cert: TLS 证书文件的路径，用 来识别此进程到远程服务 器。 es: tls: enabled: 与远程服务器对话时启用 传输层安全(TLS)。默认 禁用此选项。 true/ false false es: tls: key: TLS 私钥文件的路径，用 来识别此进程到远程服务 器。 es: tls: tls: cert: TLS 证书文件的路径，用 来识别此进程到远程服务 器。 es-archive: tls: enabled: 与远程服务器对话时启用 传输层安全(TLS)。默认 禁用此选项。 true/ false false es-archive: tls: key: TLS 私钥文件的路径，用 来识别此进程到远程服务 器。

ReadWriteMany (RWX) 访问模式。 与 Filesystem 卷模式相比，Block 卷模式性能有显著提高。这是因为 Filesystem 卷模式使用更 多存储层，包括文件系统层和磁盘镜像文件。虚拟机磁盘存储不需要这些层。 例如，如果您使用 Red Hat OpenShift Data Foundation，Ceph RBD 卷优先于 CephFS 卷。 重要 重要 您无法实时迁移使用以下配置的虚拟机： 具有不同的容量。为了避免这种故障，请为每个节点使用适当的容量，并在虚拟机上设置节点关 联性以确保迁移成功。如需更多信息，请参阅配置所需的节点关联性规则。 其他 其他资 资源 源 关于 RHCOS. 用于支持的 CPU 红帽生态系统目录。 支持的存储. 6.1.2. 物理资源开销要求 OpenShift Virtualization 是 OpenShift Container Platform 的一个附加组件，它会带来额外的开销。除了 ReadWriteMany (RWX) 访问模式。 与 Filesystem 卷模式相比，Block 卷模式性能有显著提高。这是因为 Filesystem 卷模式使用更 多存储层，包括文件系统层和磁盘镜像文件。虚拟机磁盘存储不需要这些层。 例如，如果您使用 Red Hat OpenShift Data Foundation，Ceph RBD 卷优先于 CephFS 卷。 重要 重要 您无法实时迁移使用以下配置的虚拟机：

4.13 网 网络 络 6 目 目录 录 7 第 1 章 关于网络 Red Hat OpenShift 网络是一个功能生态系统、插件和高级网络功能，它使用高级网络相关功能来扩展 Kubernetes 网络，集群需要为其一个或多个混合集群管理网络流量。这个网络功能生态系统集成了入 口、出口、负载均衡、高性能吞吐量、安全性和集群内部流量管理，并提供基于角色的可观察工具来减少 其自然复杂性。 值。如果您没有为上游指定端口，则会尝试默认端口 853。 2. 可选：在高度监管的环境中工作时，您可能需要在将请求转发到上游解析器时保护 DNS 流量，以 便您可以确保额外的 DNS 流量和数据隐私。集群管理员可以配置传输层安全(TLS)来转发 DNS 查询。 使用 TLS 配置 DNS 转发 必须符合 rfc6335 服务名称语法。 apiVersion: operator.openshift.io/v1 kind: 不会传递给 pod。当省略时，实现网络的逻辑交换机只提供第 2 层通信，用户必须为 pod 配置 IP。端口安全只阻止 MAC 欺骗。 字段 字段 类 类型 型 描述 描述 25.2.3.6.2. 配置交 配置交换 换拓扑 拓扑 交换机（层 2）拓扑网络通过集群范围的逻辑交换机互连工作负载。此配置可用于 IPv6 和双栈部署。 注意 第 2 层切换拓扑网络只允许在集群中的 pod 间传输数据数据包。