启动前设置联网。因此，运行 10 个 pod 的系统实际上会运行 20 个容器。 注意 注意 云供应商的磁盘 IOPS 节流可能会对 CRI-O 和 kubelet 产生影响。当节点上运行大量 I/O 高负载的 pod 时，可能会出现超载的问题。建议您监控节点上的磁盘 I/O，并使用有足够 吞吐量的卷。 podsPerCore 根据节点中的处理器内核数来设置节点可运行的 pod 数量。例如：在一个有 4 个处理器内 14225400Ki pods: 500 1 ... $ oc get kubeletconfigs set-max-pods -o yaml spec: kubeletConfig: maxPods: 500 machineConfigPoolSelector: matchLabels: custom-kubelet: Instance Settings → Change instance type。 d. 将实例更改为较大的类型，确保类型与之前选择相同，并应用更改。例如，您可以将 m6i.xlarge 更改为 m6i.2xlarge 或 m6i.4xlarge。 OpenShift Container Platform 4.10 可伸 可伸缩 缩性和性能 性和性能 12 e. 启动实例。 f. 如果您的

. . . . . . . 目 目录 录 第 第 1 章 章 了解 了解 OPENSHIFT UPDATE SERVICE 1.1. 关于 OPENSHIFT UPDATE 服务 1.2. 非受管 OPERATOR 的支持策略 第 第 2 章 章 更新集群概述 更新集群概述 2.1. 了解 OPENSHIFT UPDATE SERVICE 2.2. 安装和配置 OPENSHIFT UPDATE 由 Operator 和一个或多个应用程序实例组成。 1.2. 非受管 OPERATOR 的支持策略 OpenShift Container Platform 4.7 更新集群 更新集群 4 Operator 的 管理状态 决定了一个 Operator 是否按设计积极管理集群中其相关组件的资源。如果 Operator 设置为 非受管（unmanaged） 状态，它不会响应配置更改，也不会收到更新。 状态，它不会响应配置更改，也不会收到更新。 虽然它可以在非生产环境集群或调试过程中使用，但处于非受管状态的 Operator 不被正式支持，集群管 理员需要完全掌控各个组件的配置和升级。 可使用以下方法将 Operator 设置为非受管状态： 独立 独立 Operator 配置 配置 独立 Operator 的配置中具有 managementState 参数。这可以通过不同的方法来访问，具体取 决于 Operator。例如，Red

Samples Operator 将停止为非 Source-to-Image (Non-S2I) 镜像流和模板 提供以下更新： 新镜像流和模板 更新现有镜像流和模板，除非它是 CVE 更新 根据 OpenShift Container Platform 生命周期策略日期和支持指南，Cluster Samples Operator 将提供对 Non-S2I 镜像流和模板的支持。 Cluster 将继续支持 S2I 构建器镜像和模板，并接受更新。S2I 镜像流和模板包括： Ruby Python Node.js Perl PHP HTTPD Nginx EAP Java Webserver .NET Go 从 OpenShift Container Platform 4.16 开始，Cluster Samples Operator 将停止管 理非 S2I 镜像流和模板 Operator 在镜像流中保留已弃用的镜像流标签，因为用户可能有使用已弃用的镜像流标 $ oc edit configs.samples.operator.openshift.io/cluster -o yaml apiVersion: samples.operator.openshift.io/v1 kind: Config # ... 第 第 2 章 章 配置 配置 CLUSTER SAMPLES

设置环境变量 避免默认密码 避免 sshd 对持久性数据使用卷 4.1.2. OpenShift Container Platform 特定准则 启用 Source-to-Image (S2I) 的镜像 支持任意用户 id 使用服务进行镜像间通信 提供通用库 使用环境变量进行配置 设置镜像元数据 集群 日志记录 存活 (liveness) 和就绪 (readiness) 探针 模板 资源上设置镜像触发器 第 第 9 章 章 镜 镜像配置 像配置资 资源 源 9.1. 镜像控制器配置参数 9.2. 配置镜像 REGISTRY 设置 9.2.1. 添加特定的 registry 9.2.2. 阻塞特定的 registry 9.2.3. 允许不安全的 registry 9.2.4. 添加允许镜像短名称的 registry 9.2.5. 为镜像 registry 访问配置额外的信任存储 9 在镜像流中保留已弃用的镜像流标签，因为用户可能有使用已弃用的镜像流标 签的部署。 $ oc edit configs.samples.operator.openshift.io/cluster -o yaml apiVersion: samples.operator.openshift.io/v1 kind: Config ... OpenShift Container Platform 4

hift Logging Bug Fix 5.4.4 。 1.5.1. 程序错误修复 在此次更新之前，非拉丁字符在 Elasticsearch 中无法正确显示。在这个版本中，Elasticsearch 可 以正确显示所有有效的 UTF-8 符号。(LOG-2794) 在此次更新之前，非拉丁字符在 Fluentd 中无法正确显示。在这个版本中，Fluentd 可以正确地 显示所有有效的 UTF-8 g. 点 Install。 h. 验证您是否安装了 LokiOperator。访问 Operators → Installed Operators 页面，并查找 "LokiOperator." i. 确保 LokiOperator 列在所有 Status 为 Succeeded 的项目中。 1.9.4. 程序错误修复 在此次更新之前，cluster-logging-operator 使用集群范围的角色和绑定来建立 在更新前，一些日志条目没有被识别为 UTF-8 字节，这会导致 Elasticsearch 拒绝消息并阻塞整 OpenShift Container Platform 4.8 日志 日志记录 记录 48 在更新前，一些日志条目没有被识别为 UTF-8 字节，这会导致 Elasticsearch 拒绝消息并阻塞整 个缓冲的有效负载。在这个版本中，被拒绝的载荷会丢弃无效的日志条目并重新提交剩余的条目 来解决这个问题。(LOG-1499)

9.1. 为 OpenShift Logging 配置 systemd-journald 4.10. 维护和支持 4.10.1. 不支持的配置 4.10.2. 不支持的配置 4.10.3. 非受管 Operator 的支持策略 第 第 5 章 章 查 查看 看资 资源的日志 源的日志 5.1. 查看资源日志 第 第 6 章 章 使用 使用 KIBANA 查 查看集群日志 看集群日志 在更新前，如果您重新部署了一个完整的 Elasticsearch 集群，它会处于不健康状态，一个非数据 节点正在运行，所有其他数据节点关闭。出现这个问题的原因是，新证书阻止 Elasticsearch Operator 缩减 Elasticsearch 集群的非数据节点。在这个版本中，Elasticsearch Operator 可以缩 减所有数据和非数据节点，然后再次备份，以便它们加载新证书。Elasticsearch Operator 9) 。 1.2.2.1. 程序 程序错误 错误修复 修复 此发行版本包括以下程序错误修正： 在更新前，一些日志条目没有被识别为 UTF-8 字节，这会导致 Elasticsearch 拒绝消息并阻塞整 个缓冲的有效负载。在这个版本中解决了这个问题：被拒绝的载荷丢弃了无效的日志条目并重新 提交剩余的条目。(LOG-1574) 在更新前，编辑 ClusterLogging 自定 自定义资 义资源

Machine Config Operator (MCO)是一个集群级别的 Operator，用于管理操作系统和机器配置。通过 MCO，平台管理员可以配置和更新 worker 节点上的 systemd、CRI-O 和 Kubelet、内核、 NetworkManager 和其他系统功能。 OpenShift 更新服 更新服务 务 OpenShift Update Service (OSUS)为 OpenShift configuration https://bugzilla.redhat.com/show_bug.cgi?id=2111817#c22 $ oc get clusterversion version -o json | jq '.status.availableUpdates' OpenShift Container Platform 4.14 更新集群 更新集群 8 输出示例 出示例 类似的命令可用于检查条件更新： com/errata/RHBA-2023:3213", "version": "4.11.41" }, ... ] $ oc get clusterversion version -o json | jq '.status.conditionalUpdates' [ { "conditions": [ { "lastTransitionTime":

负载均衡器提供的服务主机名，而不是使用 OpenShift 路由器。 1.5.2. Kiali 修复的问题 KIALI-3239 如果一个 Kiali Operator pod 失败且状态为 “Evicted”，它会阻塞 Kiali operator 的部 署。解决办法是删除被逐出的 pod，并重新部署 Kiali operator。 KIALI-3096 Runtime metrics 在 Service Mesh clusterrole/istio-cni clusterrolebinding/istio-cni $ oc get crds -o name | grep '.*\.istio\.io' | xargs -r -n 1 oc delete $ oc get crds -o name | grep '.*\.maistra\.io' | xargs -r -n 1 oc delete OpenShift "infinity"] imagePullPolicy: IfNotPresent 第 第 4 章 章 第二天 第二天 51 $ oc get cm -n istio-system istio -o jsonpath='{.data.mesh}' | grep disablePolicyChecks 3. 如果为 disablePolicyChecks: true，编辑 Service Mesh

foo:*" 的配置。但是，完全匹配授权策略仅与为 hosts 或 notHosts 字段给 出的确切字符串匹配。 如果您使用精确字符串比较的 AuthorizationPolicy 来确定 主机或非主机，则会影响您的集群。 您必须更新授权策略 规则，以使用前缀匹配而不是完全匹配。例如，在第一个 AuthorizationPolicy 示例 中，将 hosts: ["httpbin.com"] 替换为 OpenShift Service Mesh 不再阻止您安装不支持的 CNI 协议。支持的网 络配置没有改变。 第 第 1 章 章 SERVICE MESH 2.X 25 MAISTRA-1089 迁移到在非 control plane 命名空间中创建的 2.0 网关将自动删除。从 SMCP spec 中删除网关定义后，您需要手动删除这些资源。 MAISTRA-858 Envoy 日志中以下与 与 Istio $ oc create -n istio-system -f servicemeshmemberroll-default.yaml $ oc get smmr -n istio-system -o wide NAME READY STATUS AGE MEMBERS default 1/1 Configured 70s ["bookinfo"]

25.6. 从额外网络中删除 POD 25.7. 编辑额外网络 25.8. 删除额外网络 25.9. 为 VRF 分配从属网络 第 第 26 章 章 硬件网 硬件网络 络 26.1. 关于单根 I/O 虚拟化（SR-IOV）硬件网络 26.2. 安装 SR-IOV NETWORK OPERATOR 26.3. 配置 SR-IOV NETWORK OPERATOR 26.4. 配置 SR-IOV 直通和为蓝绿部署分割流量。 扩 扩展 展 增加或减少资源容量。 service 在一组 pod 上公开正在运行的应用程序。 单 单根 根 I/O 虚 虚拟 拟化 化 (SR-IOV) Network Operator Single Root I/O Virtualization（SR-IOV）Network Operator 管理集群中的 SR-IOV 网络设备和网络 附加。 软 软件定 internal。 6. 从您手动部署到 Amazon EC2 的堡垒 SSH 主机中，SSH 部署到该 control plane 主机。确定您使 用了在安装过程中指定的相同的 SSH 密钥： $ ssh -i core@ 第 第 3 章 章 访问 访问主机 主机 13 第 4 章 网络 OPERATOR 概述 OpenShift Container