14 发行注记 Red Hat OpenShift Container Platform 为软件开发人员和 IT 机构提供了一个混合云应用平台。使用这个 平台可以在配置和管理成本最小化的情况下，利用安全、可扩展的资源部署新的或已有的应用程序。 OpenShift Container Platform 支持大量编程语言和开发平台，如 Java、JavaScript、Python、Ruby 和 PHP。 基于 Red Hat Enterprise Linux（RHEL）和 Kubernetes，为当今的企业级 应用程序提供了一个更加安全、可扩展的多租户操作系统，同时提供了集成的应用程序运行时及程序库。 OpenShift Container Platform 可以满足用户对安全性、隐私、合规性及监管的要求。 1.1. 关于此版本 OpenShift Container Platform (RHSA bootstrap 过 过程中 程中启 启用 用 S3 存 存储 储桶 桶 在这个版本中，您可以选择在 AWS 上的集群 bootstrap 过程中自动删除 S3 存储桶。如果您有一个用于 防止删除 S3 存储桶的安全策略时，此选项很有用。 1.3.2.3. 使用 使用 NAT 网关在 网关在 Microsoft Azure 上安装集群（技 上安装集群（技术预览 术预览） ） 在 OpenShift Container

respective owners. 摘要 摘要 本文档提供在 OpenShift Container Platform 中定义身份提供程序的说明。它还讨论如何配置基于角 色的访问控制来保护集群的安全。 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 章 章 管理安全性上下文 管理安全性上下文约 约束 束 15.1. 关于安全性上下文约束 15.2. 关于预分配安全性上下文约束值 15.3. 安全性上下文约束示例 15.4. 创建安全性上下文约束 15.5. 基于角色的对安全性上下文限制的访问 15.6. 安全性上下文约束命令参考 15.7. 其他资源 第 第 16 章 章 了解并管理 了解并管理 POD 安全准入 安全准入 16 16.1. 安全性上下文约束与 POD 安全标准同步 16.2. 控制 POD 安全准入同步 16.3. 关于 POD 安全准入警报 16.4. 其他资源 第 第 17 章 章 模 模拟 拟 SYSTEM:ADMIN 用 用户 户 17.1. API 模仿 17.2. 模拟 SYSTEM:ADMIN 用户 17.3. 模拟 SYSTEM:ADMIN 组 第 第 18 章 章 同步 同步 LDAP

Virtualization（RHV）全堆栈安装程序的改进 1.2.2.21. 使用安装程序置备的基础架构为裸机部署改进修复失败的节点 1.2.3. 安全性与合规性 1.2.3.1. Compliance Operator 1.2.3.2. 配置 OAuth 令牌不活跃超时 1.2.3.3. 安全 OAuth 令牌存储格式 1.2.3.4. File Integrity Operator 现已正式发布 1.2.3.5 RHSA-2020:4297 - Moderate: OpenShift Container Platform 4.6 软件包安全更新 1.8.3. RHSA-2020:4298 - Moderate: OpenShift Container Platform 4.6 镜像安全更新 1.8.4. RHBA-2020:4339 - OpenShift Container Platform 4.6.3 程序错误修复更新 8.7. RHSA-2020:5159 - Low: OpenShift Container Platform 4.6 软件包安全更新 1.8.8. RHSA-2020:5259 - OpenShift Container Platform 4.6.8 程序错误修复和安全更新 1.8.8.1. 功能 1.8.8.1.1. 提供了新的 Red Hat Enterprise Linux CoreOS（RHCOS）引导镜像

优先级类 2.9.1.2. Pod 优先级名称 2.9.2. 了解 pod 抢占 2.9.2.1. 非抢占优先级类（技术预览） 2.9.2.2. Pod 抢占和其他调度程序设置 2.9.2.3. 安全终止被抢占的 pod 2.9.3. 配置优先级和抢占 2.10. 使用节点选择器将 POD 放置到特定节点 2.10.1. 使用节点选择器控制 pod 放置 第 第 3 章 章 控制 控制节 手动为节点分配资源 5.11. 为集群中的节点分配特定 CPU 5.11.1. 为节点保留 CPU 5.12. 为 KUBELET 启用 TLS 安全配置集 5.12.1. 了解 TLS 安全配置集 5.12.2. 为 kubelet 配置 TLS 安全配置集 5.13. 机器配置守护进程指标 5.13.1. 机器配置守护进程指标 5.14. 创建基础架构节点 5.14.1. OpenShift 用于从客户端发起端口转发的协议 6.9. 在容器中使用 SYSCTL 6.9.1. 关于 sysctl 6.9.1.1. 命名空间和节点级 sysctl 6.9.1.2. 安全与不安全 sysctl 6.9.2. 为 pod 设置 sysctl 6.9.3. 启用不安全 sysctl 第 第 7 章 章 操作集群 操作集群 7.1. 查看 OPENSHIFT CONTAINER PLATFORM 集群中的系统事件信息

SERVICEMESHCONTROLPLANE 1.9. 在服务网格中添加服务 1.10. 启用 SIDECAR 注入 1.11. 升级 SERVICE MESH 1.12. 管理用户和配置集 1.13. 安全性 1.14. 管理服务网格中的流量 1.15. 指标、日志和追踪 1.16. 性能和可扩展性 1.17. 为生产环境配置 SERVICE MESH 1.18. 连接服务网格 1.19. 扩展 1 2.3. SERVICE MESH 和 ISTIO 的不同 2.4. 准备安装 SERVICE MESH 2.5. 安装 SERVICE MESH 2.6. 在 SERVICE MESH 中自定义安全性 2.7. 流量管理 2.8. 在 SERVICE MESH 上部署应用程序 2.9. 数据可视化和可观察性 2.10. 自定义资源 2.11. 使用 3SCALE ISTIO 适配器 2 OpenShift Service Mesh 在服务网络间提供了实现关键功能的统一方式： 流量管理 - 控制服务间的流量和 API 调用，提高调用的可靠性，并使网络在条件不好的情况保持 稳定。 服务标识和安全性 - 在网格中提供可验证身份的服务，并提供保护服务流量的能力，以便可以通 过信任度不同的网络进行传输。 策略强制 - 对服务间的交互应用机构策略，确保实施访问策略，并在用户间分配资源。通过配置

Container Platform 提供 oc tag 命令，该命令类似于 docker tag 命令，但是在镜像流上运 行，而非直接在镜像上运行。 1.6. 镜像 ID 镜像 ID 是 SHA（安全哈希算法）代码，可用于拉取（pull）镜像。SHA 镜像 ID 不能更改。特定 SHA 标 识符会始终引用完全相同的容器镜像内容。例如： 1.7. 容器 OpenShift Container Platform 您可使用细粒度访问控制来共享镜像，快速向整个团队分发镜像。 如果源更改，imagestreamtag 仍将指向已知良好的镜像版本，以确保您的应用程序不会意外中 断。 您可以通过镜像流对象的权限配置安全性，以了解谁可以查看和使用镜像。 在集群级别上缺少读取或列出镜像权限的用户仍可使用镜像流来检索项目中标记的镜像。 您可以管理镜像流，将镜像流 与 Kubernetes 资源一起使用，并触发镜像流更新。 Platform 中使用，在创建容器镜像时都需要遵循以下指导信 息。 重复利用 重复利用镜 镜像 像 您的镜像尽可能使用 FROM 语句基于适当的上游镜像。这可确保，在上游镜像更新时您的镜像也可轻松 从中获取安全修复，而不必再直接更新依赖项。 此外，请使用 FROM 指令中的标签（如 rhel:rhel7），方便用户准确了解您的镜像基于哪个版本的镜像。 使用除 latest 以外的标签可确保您的镜像不受 latest

镜像拉取（PULL）策略 5.3.1. 镜像拉取（pull）策略概述 5.4. 使用镜像 PULL SECRET 5.4.1. 允许 pod 在项目间引用镜像 5.4.2. 允许 Pod 引用其他安全 registry 中的镜像 5.4.2.1. 通过委托身份验证从私有 registry 拉取（pull） 5.4.3. 更新全局集群 pull secret 第 第 6 章 章 管理 管理镜 4. 更新镜像流标签 6.7.5. 删除镜像流标签 6.7.6. 配置定期导入镜像流标签 6.8. 从私有容器镜像仓库（REGISTRY）导入镜像和镜像流 6.8.1. 允许 Pod 引用其他安全 registry 中的镜像 第 第 7 章 章 KUBERNETES 资 资源使用 源使用镜 镜像流 像流 7.1. 使用 KUBERNETES 资源启用镜像流 第 第 8 章 章 在 在镜 资源 源 9.1. 镜像控制器配置参数 9.2. 配置镜像 REGISTRY 设置 9.2.1. 添加特定的 registry 9.2.2. 阻塞特定的 registry 9.2.3. 允许不安全的 registry 9.2.4. 添加允许镜像短名称的 registry 9.2.5. 为镜像 registry 访问配置额外的信任存储 9.2.6. 配置镜像 registry 存储库镜像

pod 优先级 2.9.1.1. Pod 优先级类 2.9.1.2. Pod 优先级名称 2.9.2. 了解 pod 抢占 2.9.2.1. Pod 抢占和其他调度程序设置 2.9.2.2. 安全终止被抢占的 pod 2.9.3. 配置优先级和抢占 2.10. 使用节点选择器将 POD 放置到特定节点 2.10.1. 使用节点选择器控制 pod 放置 第 第 3 章 章 控制 控制节 用于从客户端发起端口转发的协议 6.9. 在容器中使用 SYSCTL 6.9.1. 关于 sysctl 6.9.1.1. 命名空间和节点级 sysctl 6.9.1.2. 安全与不安全 sysctl 6.9.2. 为 pod 设置 sysctl 6.9.3. 启用不安全 sysctl 第 第 7 章 章 操作集群 操作集群 7.1. 查看 OPENSHIFT CONTAINER PLATFORM 集群中的系统事件信息 决定节点的最佳 system-reserved CPU 和内存资源，也可以手动为节点决定和设置最佳资源。 根据 节点上的处理器内核数和或硬限制，配置可在节点上运行的 pod 数量。 使用 pod 反关联性 安全地重新引导节点。 通过使用机器集缩减 集群来从集群中删除节点。要从裸机集群中删除节点，您必须首先排空节点 上的所有 pod，然后手动删除该节点。 功能增 功能增强 强操作 操作 OpenShift

驱动程序 5.22. VMWARE VSPHERE CSI DRIVER OPERATOR 第 第 6 章 章 通用 通用临时 临时卷 卷 6.1. 概述 6.2. 生命周期和持久性卷声明 6.3. 安全性 6.4. 持久性卷声明命名 6.5. 创建通用临时卷 第 第 7 章 章 扩 扩展持久性卷 展持久性卷 7.1. 启用卷扩展支持 7.2. 扩展 CSI 卷 7.3. 使用支持的驱动程序扩展 ReadWriteMany (RWX) ReadWriteOncePod (RWOP) Cinder Red Hat OpenStack Platform (RHOSP) 的块存储服务，用于管理所有卷的管理、安全性和调度。 配置映射 配置映射 配置映射提供将配置数据注入 pod 的方法。您可以在类型为 ConfigMap 的卷中引用存储在配置映射 中的数据。在 pod 中运行的应用程序可以使用这个数据。 中挂载卷的路径。 要挂载的卷的名称。不要挂载到容器 root、/ 或主机和容器中相同的任何路径。如果容器有足够权 限，可能会损坏您的主机系统（如主机的 /dev/pts 文件）。使用 /host 挂载主机是安全的。 要使用的 PVC 名称（存在于同一命名空间中）。 3.5. 块卷支持 OpenShift Container Platform 可以静态置备原始块卷。这些卷没有文件系统。对于可以直接写入磁盘或

OPERATOR 5.5. 基于 HELM 的 OPERATOR 5.6. 基于 JAVA 的 OPERATOR 5.7. 定义集群服务版本（CSV） 5.8. 使用捆绑包镜像 5.9. 遵守 POD 安全准入 5.10. 云供应商上的 OPERATOR 的令牌身份验证 5.11. 使用 SCORECARD 工具验证 OPERATOR 5.12. 验证 OPERATOR 捆绑包 5.13. 高可用性或单节点集群检测和支持 策略的高级策略。 RukPak 提供用于在 Kubernetes 集群上安装各种工件的内容生态系统。工件示例包括 Git 仓库、Helm chart 和 OLM 捆绑包。然后，RukPak 可以以安全的方式管理、扩展和升级这些工件，以启用强大的集群 扩展。 在其核心上，RukPak 是一组 API 和控制器。API 打包为自定义资源定义 (CRD)，用于表达要在集群中安 装的内容以及如何创建运行的内容。控制器会监视 元数据创建的 YAML 清单，可辅助 Operator Lifecycle Manager (OLM) 在集群中运行 Operator。 OLM 需要与 Operator 相关的元数据，以确保它可以在集群中安全运行，并在发布新版 Operator 时提供 有关如何应用更新的信息。这和传统的操作系统的打包软件相似；可将 OLM 的打包步骤认为是制作 rpm、deb 或 apk 捆绑包的阶段。 CSV 中包含