OPERATOR 目录 2.7. 多租户集群中的 OPERATOR 2.8. CRD 第 第 3 章 章 用 用户 户任 任务 务 3.1. 从已安装的 OPERATOR 创建应用程序 3.2. 在命名空间中安装 OPERATOR 第 第 4 章 章 管理 管理员 员任 任务 务 4.1. 在集群中添加 OPERATOR 4.2. 更新安装的 OPERATOR 4.3. 从集群中删除 OPERATOR Java-based Operators, 和 Helm-based Operators。 使用 Operator SDK 来构建、测试并部署 Operator。 安装 Operator 并订阅命名空间。 通过 Web 控制台 从已安装的 Operator 创建应用程序。 其他 其他资源 源 Operator 开发人员的机器删除生命周期 hook 示例 1.2. 对于管理员 作为集群管理员，您可以执行以下 是为一组部署的工作负载（通常由命名空间或项目表示）共享共 同访问权限和特权的用户或组。您可以使用租户在不同的组或团队之间提供一定程度的隔离。 当集群由多个用户或组共享时，它被视为 多租户 集群。 2.3.1.11. operator 组 Operator 组将部署在同一命名空间中的所有 Operator 配置为 OperatorGroup 对象，以便在一系列命名 空间或集群范围内监视其 CR。 2

加到集群中时，MetalLB 可为该服务添加外部 IP 地址。 multicast 通过使用 IP 多播，数据可同时广播到许多 IP 地址。 命名空 命名空间 间 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 networking OpenShift Container Platform 集群的网络信息。 node OpenShift Container Platform 内置的 OAuth 服务器集成。 namespaceSelector namespaceSelector 用来过滤由 Ingress 控制器提供服务的一组命名空间。这 对实现分片（shard）非常有用。 routeSelector routeSelector 用于由 Ingress Controller 提供服务的一组 Routes。这对实现分 片（shard）非常有用。 ClientCA。 ClientCertificatePolicy 子字段接受以下两个值之一：Required 或 Optional。ClientCA 子字段指定 openshift-config 命名空间中的配置映射。配 置映射应包含 CA 证书捆绑包。 AllowedSubjectPatterns 是一个可选值，用于指定正则表达式列表，该列表 与有效客户端证书上的可分辨名称匹配以过滤请求。正则表达式必须使用

加到集群中时，MetalLB 可为该服务添加外部 IP 地址。 multicast 通过使用 IP 多播，数据可同时广播到许多 IP 地址。 命名空 命名空间 间 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 networking OpenShift Container Platform 集群的网络信息。 node OpenShift Container Platform 内置的 OAuth 服务器集成。 namespaceSelector namespaceSelector 用来过滤由 Ingress 控制器提供服务的一组命名空间。这 对实现分片（shard）非常有用。 routeSelector routeSelector 用于由 Ingress Controller 提供服务的一组 Routes。这对实现分 片（shard）非常有用。 ClientCA。 ClientCertificatePolicy 子字段接受以下两个值之一：Required 或 Optional。ClientCA 子字段指定 openshift-config 命名空间中的配置映射。配 置映射应包含 CA 证书捆绑包。AllowedSubjectPatterns 是一个可选值，用 于指定正则表达式列表，该列表与有效客户端证书上的可分辨名称匹配以过滤请 求。正则表达式必须使用

. . . . . . . . . . . . . . . . . . 6.8.5.1. 通过路由标签（label）配置 Ingress Controller 分片 6.8.5.2. 使用命名空间标签配置 Ingress Controller 分片 6.8.6. 配置 Ingress Controller 以使用内部负载均衡器 6.8.7. 将集群的默认 Ingress Controller IP 地址分配 13.2.1.1. 使用自动分配的出口 IP 地址时的注意事项 13.2.1.2. 使用手动分配出口 IP 地址时的注意事项 13.2.2. 为一个命名空间启用自动分配出口 IP 地址 13.2.3. 为一个命名空间配置手动分配出口 IP 地址 13.3. 为项目配置出口防火墙 13.3.1. 出口防火墙在一个项目中的工作原理 13.3.1.1. 出口防火墙的限制 13.3 OPENSHIFT SDN 集群网络供应商迁移 14.2.1. 迁移到 OVN-Kubernetes 网络供应商 14.2.1.1. 迁移到 OVN-Kubernetes 网络供应商时的注意事项 命名空间隔离 出口 IP 地址 出口网络策略 出口路由器 pod 多播 网络策略 14.2.1.2. 迁移过程如何工作 14.2.2. 迁移至 OVN-Kubernetes 默认 CNI 网络供应商 14

19. 虚拟机磁盘 第 第 9 章 章 虚 虚拟 拟机模板 机模板 9.1. 创建虚拟机模板 9.2. 编辑虚拟机模板 9.3. 为虚拟机模板启用专用资源 9.4. 将虚拟机模板部署到自定义命名空间 9.5. 删除虚拟机模板 第 第 10 章 章 实时 实时迁移 迁移 10.1. 虚拟机实时迁移 10.2. 实时迁移限制和超时 10.3. 迁移虚拟机实例到另一节点 10.4. 在专用额外网络中迁移虚拟机 原因、诊断问题来源的故障排除过程以及解决每个警报的步骤。 集群管理员现在可以使用 OpenShift API 进行 OpenShift Virtualization 插件的数据保护 来备份包 含虚拟机的命名空间。 管理员现在可以通过编辑 HyperConverged CR 来声明性 创建和公开介质设备，如虚拟图形处理 单元(vGPU)。然后，虚拟机所有者可将这些设备分配给虚拟机。 您可以通过将单个 N 1) 作为临时解决方案，请手动添加 RBAC 规则来允许特定用户添加磁盘。 web 控制台不显示部署到自定义命名空间的虚拟机模板。仅部署到 default 命名空间的模板才会 显示在 web 控制台中。(BZ#2054650) 作为临时解决方案，请避免将模板部署到自定义命名空间中。 在单节点 OpenShift(SNO)集群中，如果 VMI 的 spec.evictionStrategy 字段设置为

OpenShift distributed tracing 平台 Operator 被默认安装到 openshift- distributed-tracing 命名空间。在以前的版本中，默认安装已在 openshift-operator 命名空间中。 1.2.2.10.1. Red Hat OpenShift Service Mesh 2.1.2 版中包含的组件版本 组 组件 件 版本 版本 Istio Kiali 1.36.7 1.2.2.11.2. 禁用网络策略 Red Hat OpenShift Service Mesh 自动在 Service Mesh control plane 和应用程序命名空间中创建和管理 多个 NetworkPolicies 资源。这是为了确保应用程序和 control plane 可以相互通信。 如果要禁用自动创建和管理 NetworkPolicies 资源，例如为了强制执行公司安全策略，您可以编辑 Service Mesh 故障排除功能 control plane 和网关监控 代理同步状态 Envoy 配置视图 显示 Envoy 代理和应用程序日志处于交集的统一视图 支持联邦服务网格视图的命名空间和集群选择 新的验证、向导和分布式追踪增强 1.2.2.13. Red Hat OpenShift Service Mesh 2.0.11.1 的新功能 的新功能 此 Red Hat OpenShift

虚拟机磁盘 第 第 11 章 章 虚 虚拟 拟机模板 机模板 11.1. 创建虚拟机模板 11.2. 编辑虚拟机模板 11.3. 为虚拟机模板启用专用资源 11.4. 将虚拟机模板部署到自定义命名空间 11.5. 删除虚拟机模板 11.6. 创建并使用引导源 11.7. 管理自动引导源更新 第 第 12 章 章 实时 实时迁移 迁移 12.1. 虚拟机实时迁移 12.2. 实时迁移限制和超时 元素 描述 描述 YAML 开关 设置为 ON，以在 YAML 配置文件中查看您的实时更改。 Name VirtualMachine 名称 Namespace VirtualMachine 命名空间 标签 点编辑图标编辑标签。 注解 点编辑图标编辑注解。 描述 点编辑图标，以输入描述。 操作系统 操作系统名称 CPU|内存 点编辑图标编辑 CPU|Memory 请求。 CPU 数量通过以下公式来计算： 例 4.27. 详 详情 情标签页 标签页 元素 元素 描述 描述 YAML 开关 设置为 ON，以在 YAML 配置文件中查看您的实时更改。 Name 模板名称 Namespace 模板命名空间 标签 点编辑图标编辑标签。 注解 点编辑图标编辑注解。 显示名称 点编辑图标编辑显示名称。 描述 点编辑图标，以输入描述。 操作系统 操作系统名称 OpenShift Container

OG-2534) 在此次更新之前，网关组件强制租期中的错误，用于读取带有 Kubernetes 命名空间的日志的有限 访问会导致 "audit" 以及一些 "infrastructure" 日志不可读取。在这个版本中，代理可以正确地检 测到具有 admin 访问权限的用户，并允许在没有命名空间的情况下访问日志。(LOG-2448) 在此次更新之前，system:serviceaccount:o 服务帐户 将集群级别权限作为 clusterrole 和 clusterrolebinding。在这个版本中，服务帐户使用角色和 rolebinding 限制到 openshift-logging 命名空间。(LOG-2437) 在此次更新之前，Linux 审计日志时间解析依赖于键/值对的正序位置。此更新会将解析更改为使 用正则表达式来查找时间条目。(LOG-2321) 1.8.2. CVE 例 Installed Namespace 下，选择 openshift-operators-redhat。 您必须指定 openshift-operators-redhat 命名空间。openshift-operators 命名空间可能会 包含社区提供的 operator。这些 operator 不被信任，其发布的 metric 可能与 OpenShift Container Platform metric

除了持久性存储外，Pod 和容器还需要临时或短暂的本地存储才能进行操作。此临时存储的生命周期不会 超过每个 pod 的生命周期，且此临时存储无法在 pod 间共享。 Pod 使用临时本地存储进行涂销空间、缓存和日志。与缺少本地存储相关的问题包括： Pod 无法检测到有多少可用的本地存储。 Pod 无法请求保证的本地存储。 本地存储是一个最佳资源。 pod 可能会因为其他 pod 填充本地存 /var/lib/containers。如果集群管理员将 /var/lib/containers 放置在单独的磁盘上，则可以使用 df 命令来 显示 /var/lib/kubelet 的可用空间。 要在 /var/lib 中显示已用和可用空间的信息，请输入以下命令： apiVersion: v1 kind: Pod metadata: name: frontend spec: containers: OpenShift Container Platform 集群间共享，并可以被任何项目使用。在 PV 绑定 到 PVC 后，就不会将 PV 绑定到额外的 PVC。这意味着这个绑定 PV 被限制在一个命名空间（绑定的项 目）中。 PV 由 PersistentVolume API 对象定义，它代表了集群中现有存储的片段，这些存储可以由集群管理员 静态置备，也可以使用 StorageClass 对象动态

7.9. 配置 OPENID CONNECT 身份提供程序 第 第 8 章 章 使用 使用 RBAC 定 定义 义和 和应 应用 用权 权限 限 8.1. RBAC 概述 8.2. 项目和命名空间 8.3. 默认项目 5 5 6 7 8 8 8 9 11 11 11 11 12 13 14 16 17 19 19 19 20 21 22 22 22 23 25 25 Operator（CCO）的默认和推荐的最佳实践设置，用于支持它的平台。 在这个模式下，CCO 使用提供的管理员级云凭证为集群中组件创建新凭证，且只具有所需的特定权 限。 namespace 命名空间隔离所有进程可见的特定系统资源。在一个命名空间中，只有属于该命名空间的进程才能看 到这些资源。 node 节点是 OpenShift Container Platform 集群中的 worker 机器。节点是虚拟机 (VM) 或物理计算机。 管理员可以定义权限，并使用 RBAC 对象（如规则、角色和绑定）将它们分配给用户。要了解授权在 OpenShift Container Platform 中的工作方式，请参阅评估授权。 您还可以通过项目和命名空间来控制对 OpenShift Container Platform 集群的访问。 除了控制用户对集群的访问外，您还可以控制 Pod 可以执行的操作，以及它可使用 安全性上下文约束 (SCC) 访问的资源。