1.6. バグ修正

以前は、Cluster Version Operator (CVO) が SecurityContextConstraints リソースを期待どおりに調整しませんでした。CVO は、リリースイメージで定義された状態に合わせて SecurityContextConstraints リソースを適切に調整し、サポートされていない変更をすべて元に戻します。

以前の OpenShift Container Platform バージョンからアップグレードしたいユーザー、および変更されたシステム SecurityContextConstraints リソースに応じてワークロードを操作するユーザーは、ナレッジベースの記事 の手順に従って、変更されたシステムの SecurityContextConstraint リソースなしでワークロードを実行できるようにする必要があります。(OCPBUGS-19465)

インストール中のクラスターのステータスが installing-pending-user-action の場合、ステータスが解決されるまでインストールは完了しません。以前は、openshift-install agent wait-for bootstrap-complete コマンドを実行した場合、このステータスの原因となった問題を解決する方法が示されていませんでした。この更新により、問題解決のためにどのアクションを実行する必要があるかを示すメッセージが、コマンド出力に表示されます。(OCPBUGS-4998)

たとえば、無効なブートディスクが使用された場合の wait-for 出力は、次のようになります。

"level=info msg=Cluster has hosts requiring user input
level=debug msg=Host master-1 Expected the host to boot from disk, but it booted the installation image - please reboot and fix boot order to boot from disk QEMU_HARDDISK drive-scsi0-0-0-0 (sda, /dev/disk/by-path/pci-0000:03:00.0-scsi-0:0:0:0)
level=debug msg=Host master-2 Expected the host to boot from disk, but it booted the installation image - please reboot and fix boot order to boot from disk QEMU_HARDDISK drive-scsi0-0-0-0 (sda, /dev/disk/by-path/pci-0000:03:00.0-scsi-0:0:0:0)
level=info msg=cluster has stopped installing... working to recover installation"

以前は、クライアント相互 TLS (mTLS) が Ingress コントローラー上で設定されており、CA バンドル内の認証局 (CA) 証明書をダウンロードするために 1 MB を超える証明書失効リスト (CRL) を必要とする場合、サイズ制限のために CRL config map を更新できませんでした。CRL が欠落しているため、有効なクライアント証明書を使用した接続が、unknown ca エラーで拒否されていた可能性があります。

この更新により、CRL は config map に配置されなくなり、ルーターは CRL を直接ダウンロードするようになりました。その結果、各 Ingress コントローラーの CRL config map は存在しなくなります。CRL が直接ダウンロードされるようになり、有効なクライアント証明書を使用した接続は拒否されなくなりました。(OCPBUGS-6661)

以前は、OpenShift Container Platform の指定された 512 バイトのバッファーサイズを超える UDP 応答を提供する非準拠のアップストリーム DNS サーバーにより、CoreDNS がオーバーフローエラーをスローしていました。したがって、DNS クエリーに対する応答は提供されません。

この更新により、ユーザーは dnses.operator.openshift.io カスタムリソース (CR) の protocolStrategy フィールドを TCP に設定できるようになりました。このフィールドを TCP に設定すると、CoreDNS はアップストリーム要求に TCP プロトコルを使用し、非準拠のアップストリーム DNS サーバーによる UDP オーバーフローの問題を回避します。(OCPBUGS-6829)

以前は、クラスター管理者が NoExecute 効果を持つテイントを使用してインフラノードを設定した場合、Ingress Operator のカナリア Pod は、これらのインフラノードでスケジュールされませんでした。しばらくすると、DaemonSet 設定がオーバーライドされ、インフラノード上の Pod が終了しました。

このリリースでは、Ingress Operator は、NoExecute 効果を指定する node-role.kubernetes.io/infra ノード taint を許容するように、カナリア DaemonSet を設定するようになりました。その結果、どのような効果が指定されているかに関係なく、カナリア Pod はインフラノード上でスケジュールされます。(OCPBUGS-9274)

以前は、Ingress コントローラーでクライアント相互 TLS (mTLS) が設定されている場合、クライアント認証局 (CA) 証明書のいずれかに、別の CA によって発行された CRL の証明書失効リスト (CRL) 配布ポイントが含まれており、その CRL の有効期限が切れた場合、配布 CA と発行 CA の間の不一致により、間違った CRL がダウンロードされていました。その結果、CRL バンドルが更新されて、誤ってダウンロードされた CRL の余分なコピーが含まれることになり、更新する必要のある CRL がなくなっていました。CRL がないため、有効なクライアント証明書を使用した接続が、unknown ca というエラーで拒否される可能性がありました。

この更新により、ダウンロードした CRL はそれらを配布元の CA によって追跡されるようになりました。CRL の有効期限が切れると、配布 CA の CRL 配布ポイントを使用して更新された CRL がダウンロードされます。その結果、有効なクライアント証明書は拒否されなくなりました。(OCPBUGS-9464)

以前は、Gateway API ゲートウェイの DNS を設定するときに、リスナーがクラスターのベースドメインの外部にあるドメインのホスト名を指定した場合でも、Ingress Operator はゲートウェイリスナーの DNS レコードを作成しようとしていました。その結果、Ingress Operator は DNS レコードを公開しようとして失敗し、failed to publish DNS record to zone というエラーを返しました。

この更新により、ゲートウェイリスナーの DNSRecord カスタムリソース (CR) を作成するときに、ドメインがクラスターの基本ドメイン外にある場合、Ingress Operator は、DNSRecord’s DNS 管理ポリシーを Unmanaged に設定するようになりました。その結果、Ingress Operator はレコードの公開を試行しなくなり、failed to publish DNS record to zone というエラーのログも記録されなくなりました。(OCPBUGS-10875)

以前は、Cluster Network Operator コントローラーが必要以上に広範なリソースのセットを監視していたため、そのリコンサイラーがかなり頻繁にトリガーされていました。その結果、Cluster Network Operator と kube-apiserver の両方の負荷が増加しました。

この更新により、Cluster Network Operator の allowlist コントローラーは、cni-sysctl-allowlist config map の変更を監視します。その結果、allowlist コントローラーのリコンサイラーは、config map が変更されたときにトリガーされるのではなく、cni-sysctl-allowlist config map または default-cni-sysctl-allowlist config map に変更が加えられた場合にのみトリガーされます。その結果、Cluster Network Operator API リクエストと config map リクエストが減少します。(OCPBUGS-11565)

以前は、タグとダイジェストの両方を持つコンテナーイメージ参照は oc-mirror プラグインによって正しく解釈されず、次のエラーが発生していました。

"localhost:6000/cp/cpd/postgresql:13.7@sha256" is not a valid image reference: invalid reference format

この動作は修正され、参照が受け入れられ、正しくミラーリングされるようになりました。(OCPBUGS-11840)