第2章 MTC リリースノート

FIPS (Federal Information Processing Standard)

FIPS は、Federal Information Security Management Act (FISMA) に従って米国連邦政府が開発した一連のコンピューターセキュリティー標準です。

OpenShift Container Platform 4.12 のサービスアカウントに関連付けられた SCC を移行できない

OpenShift Container Platform 4.12 のサービスアカウントに関連付けられた Security Context Constraints (SCC) は移行できません。この問題は、MTC の今後のリリースで解決される予定です。(MIG-1454)

MTC がストレージクラスの変換時に statefulset.spec.volumeClaimTemplates[].spec.storageClassName にパッチを適用しない

StatefulSet アプリケーションのストレージクラスの変換を実行している間、MTC は、移行された PVC 名を使用するために .spec.volumeClaimTemplates[].metadata.name 内の永続ボリューム要求 (PVC) 参照を更新します。MTC が spec.volumeClaimTemplates[].spec.storageClassName を更新しないため、アプリケーションがスケールアップします。さらに、新しいレプリカが、移行されたストレージクラスではなく、古いストレージクラスで作成された PVC を使用します。(MIG-1660)

StorageClass 変換を実行すると、namespace 内のすべてのアプリケーションのスケールダウンがトリガーされる

複数のアプリケーションで StorageClass 変換を実行すると、MTC が、移行に関係のないアプリケーションも含め、カットオーバーフェーズのすべてのアプリケーションをスケールダウンします。(MIG-1661)

namespace の変更後、MigPlan を編集してターゲット namespace をソースクラスターと同じにすることができない

MTC UI で MigPlan を作成するときに、ターゲット namespace をソース namespace とは異なる namespace に変更した後、MigPlan を再度編集して、ターゲット namespace をソース namespace と同じにすることができません。(MIG-1600)

移行されたビルダー Pod がイメージレジストリーへのプッシュに失敗する

BuildConfig を含むアプリケーションをソースクラスターからターゲットクラスターに移行すると、ビルダー Pod でエラーが発生し、イメージをイメージレジストリーにプッシュできません。(BZ#2234781)

競合状態が表示後すぐにクリアされる

競合エラーが発生する新しい状態移行プランを作成すると、そのエラーが表示後すぐにクリアされます。(BZ#2144299)

pv_resizing_threshold を設定しても PvCapacityAdjustmentRequired 警告が表示されない

pv_resizing_threshold の調整後、移行計画に PvCapacityAdjustmentRequired 警告が表示されません。(BZ#2270160)

DirectVolumeMigration による KubeVirt 仮想マシンのサポート

MTC 1.8.4 では、Direct Volume Migration (DVM) を備えた KubeVirt 仮想マシン (VM) のサポートが追加されました。

OpenShift Virtualization がインストールされていると Ansible Operator が破損する

python3-openshift パッケージにはバグがあり、OpenShift Virtualization をインストールすると、タスク中に例外 ValueError: too many values to unpack が返されます。以前のバージョンの MTC は影響を受けますが、MTC 1.8.4 では回避策が実装されています。MTC 1.8.4 に更新すると、この問題の影響を受けなくなります。(OCPBUGS-38116)

移行計画の作成中に UI が namespace で停止する

MTC UI から移行計画を作成しようとすると、移行計画ウィザードが namespace ステップで停止します。この問題は MTC 1.8.4 で解決されました。(MIG-1597)

バージョン kubevirt/v1 の仮想マシンの種類に一致するものがないというエラーで移行が失敗する

アプリケーションの移行中に、バックアップ、DVM、復元などの必要なすべての手順が正常に完了します。ただし、移行は失敗としてマークされ、エラーメッセージ no matches for kind Virtual machine in version kubevirt/v1 が表示されます。(MIG-1594)

直接ボリューム移行は、ソース namespace とは異なる namespace に移行すると失敗します。

ソースクラスターからターゲットクラスターへの移行を実行するときに、ターゲット namespace がソース namespace と異なると、DVM は失敗します。(MIG-1592)

ダイレクトイメージ移行は migplan のラベルセレクターを尊重しない

Direct Image Migration (DIM) を使用する場合は、移行計画にラベルセレクターが設定されていても、DIM はそれを尊重せず、namespace 内のすべてのイメージストリームを移行しようとします。(MIG-1533)

OpenShift Container Platform 4.12 のサービスアカウントに関連付けられた SCC を移行できない

OpenShift Container Platform 4.12 のサービスアカウントに関連付けられた Security Context Constraints (SCC) は移行できません。この問題は、MTC の今後のリリースで解決される予定です。(MIG-1454)

Rsync Pod の起動に失敗し、DVM フェーズが失敗する

権限の問題により Rsync Pod の起動に失敗したため、DVM フェーズは失敗します。

移行されたビルダー Pod がイメージレジストリーにプッシュできない

BuildConfig を含むアプリケーションをソースクラスターからターゲットクラスターに移行すると、ビルダー Pod でエラーが発生し、イメージをイメージレジストリーにプッシュできません。

競合状態は作成後すぐに解消される

競合エラーが発生する新しい状態移行プランを作成すると、そのエラーは表示された後すぐにクリアされます。

PvCapacityAdjustmentRequired Warning Not Displayed After Setting pv_resizing_threshold

pv_resizing_threshold が調整された後、移行計画に PvCapacityAdjustmentRequired 警告が表示されません。

OADP 1.3 がサポートされるようになりました

MTC 1.8.3 では、MTC 1.8.z の依存関係として OpenShift API for Data Protection (OADP) のサポートが追加されました。

CVE-2024-24786: Golang protobuf モジュールの不具合により、unmarshal 関数が無限ループに入ります

MTC の以前のリリースで、Golang の protobuf モジュールに脆弱性が発見されました。この脆弱性では、unmarshal 関数が、特定の無効な入力を処理する際に無限ループに入っていました。その結果、攻撃者が慎重に構築した無効な入力を提供することで、関数が無限ループに入っていました。

CVE-2023-45857: Axios のクロスサイトリクエストフォージェリーの脆弱性

MTC の以前のリリースで、Axios 1.5.1 に脆弱性が発見されました。この脆弱性により、ホストに対するすべてのリクエストの HTTP ヘッダー X-XSRF-TOKEN で、cookie に保存されている機密の XSRF-TOKEN が誤って公開されていました。結果として、攻撃者が機密情報を閲覧できる状態になっていました。

ソースワークロードが休止していない場合、Restic バックアップが正常に動作しません

MTC の以前のリリースでは、ルートを使用してアプリケーションをデプロイするときに、一部のファイルが移行されませんでした。ソースワークロードの休止オプションがオフになっている場合、Restic バックアップは期待どおりに機能しませんでした。

Velero でサポートされていない値のエラーにより、Migration Controller のインストールに失敗します

Velero でサポートされていない値のエラーにより、MigrationController のインストールに失敗していました。OADP 1.3.0 を OADP 1.3.1 に更新すると、この問題は解決されます。詳細は、BZ#2267018 を参照してください。

OpenShift Virtualization がインストールされていると Ansible Operator が破損する

python3-openshift パッケージにはバグがあり、OpenShift Virtualization をインストールすると、タスク中に例外 ValueError: too many values to unpack が返されます。MTC 1.8.4 では回避策が実装されています。MTC 1.8.4 に更新すると、この問題の影響を受けなくなります。(OCPBUGS-38116)

OpenShift Container Platform 4.12 のサービスアカウントに関連付けられた SCC を移行できない

OpenShift Container Platform バージョン 4.12 のサービスアカウントに関連付けられた Security Context Constraints (SCC) は移行できません。この問題は、MTC の今後のリリースで解決される予定です。(MIG-1454)

カスタム CA レプリケーションリポジトリーの設定後にバックアップフェーズが失敗します

以前の Migration Toolkit for Containers (MTC) リリースでは、レプリケーションリポジトリーを編集し、カスタム CA 証明書を追加し、リポジトリーに正常に接続して移行をトリガーした後、バックアップフェーズ中にエラーが発生しました。

CVE-2023-26136: 4.1.3 より前の tough-cookie パッケージはプロトタイプ汚染に対して脆弱です

以前の (MTC) リリースでは、MTC で使用される tough-cookie パッケージの 4.1.3 より前のバージョンは、プロトタイプ汚染に対して脆弱でした。この脆弱性は、rejectPublicSuffixes の値が false に設定されている場合に CookieJar が cookie を適切に処理しないために発生しました。

CVE-2022-25883 openshift-migration-ui-container: nodejs-semver: 正規表現によるサービス拒否

以前の (MTC) リリースでは、MTC で使用されている semver パッケージの 7.5.2 より前のバージョンは、信頼できないユーザーデータが範囲として指定された場合、関数 newRange からの Regular Expression Denial of Service (ReDoS) に対して脆弱でした。

OpenShift Virtualization がインストールされていると Ansible Operator が破損する

python3-openshift パッケージにはバグがあり、OpenShift Virtualization をインストールすると、タスク中に例外 ValueError: too many values to unpack が返されます。MTC 1.8.4 では回避策が実装されています。MTC 1.8.4 に更新すると、この問題の影響を受けなくなります。(OCPBUGS-38116)

CVE-2023-39325: golang: net/http、x/net/http2: ストリームの急速なリセットにより余計な作業が発生する可能性がある

MTC が使用する HTTP/2 プロトコルの多重化ストリームの処理に不具合が見つかりました。 クライアントは、新しい多重化ストリームの要求を繰り返し行い、すぐに RST_STREAM フレームを送信してそれをキャンセルする可能性があります。これにより、接続ごとのアクティブなストリームの最大数に関するサーバー側の制限を回避しながら、ストリームのセットアップと削除に関してサーバーに追加のワークロードが発生し、サーバーリソースの消費によるサービス拒否が発生します。(BZ#2245079)

OpenShift Virtualization がインストールされていると Ansible Operator が破損する

OpenShift Virtualization をインストールすると、python3-openshift パッケージにバグが発生します。タスク中に例外 ValueError: too many values to unpack が返されます。MTC 1.8.4 では回避策が実装されています。MTC 1.8.4 に更新すると、この問題の影響を受けなくなります。(OCPBUGS-38116)

間接的な移行がバックアップ段階で停止する

以前のリリースでは、InvalidImageName エラーが原因で、間接的な移行がバックアップ段階で停止していました。((BZ#2233097))

PodVolumeRestore は In Progress のままになり、移行が Stage Restore で停止する

以前のリリースでは、間接的な移行を実行すると、移行は Stage Restore ステップで停止し、podvolumerestore が完了するまで待機していました。((BZ#2233868))

移行されたアプリケーションが、ターゲットクラスターの内部レジストリーからイメージをプルできない

以前のリリースでは、アプリケーションをターゲットクラスターに移行する際に、移行されたアプリケーションが内部イメージレジストリーからイメージをプルできず、その結果 application failure が発生していました。((BZ#2233103))

認可の問題により Azure で移行が失敗する

以前のリリースでは、Azure クラスター上で Azure ストレージにバックアップする際に、Backup 段階で移行が失敗していました。((BZ#2238974))

OpenShift Virtualization がインストールされていると Ansible Operator が破損する

python3-openshift パッケージには、OpenShift Virtualization をインストールすると発生するバグがあり、タスク中に例外 ValueError: too many values to unpack が返されます。MTC 1.8.4 では回避策が実装されています。MTC 1.8.4 に更新すると、この問題の影響を受けなくなります。(OCPBUGS-38116)

MTC 1.7.x から 1.8.x にアップグレードしても古い Restic Pod が削除されない

このリリースでは、MTC Operator を 1.7.x から 1.8.x にアップグレードする際に、古い Restic Pod は削除されません。そのため、アップグレードした後に Restic Pod とノードエージェント Pod の両方が namespace に表示されます。((BZ#2236829))

移行されたビルダー Pod がイメージレジストリーにプッシュできない

このリリースでは、BuildConfig を含むアプリケーションをソースクラスターからターゲットクラスターに移行すると、ビルダー Pod で error が発生し、イメージをイメージレジストリーにプッシュできません。((BZ#2234781))

[UI] CA バンドルファイルのフィールドが適切にクリアされない

このリリースでは、Require SSL verification を有効にし、MigStorage 内の MCG NooBaa バケットの CA バンドルファイルにコンテンツを追加すると、想定どおり接続が失敗します。しかし、CA バンドルのコンテンツを削除し、Require SSL verification をオフにしてこれらの変更を元に戻しても、接続は依然として失敗します。この問題は、リポジトリーを削除して再追加しなければ解決できません。((BZ#2240052))

カスタム CA レプリケーションリポジトリーの設定後にバックアップフェーズが失敗します

(MTC) では、レプリケーションリポジトリーを編集し、カスタム CA 証明書を追加し、リポジトリーに正常に接続して移行をトリガーした後、バックアップフェーズ中にエラーが発生しました。

CVE-2023-26136: 4.1.3 より前の tough-cookie パッケージはプロトタイプ汚染に対して脆弱です

MTC で使用される tough-cookie パッケージの 4.1.3 より前のバージョンは、プロトタイプ汚染に対して脆弱です。この脆弱性は、rejectPublicSuffixes の値が false に設定されている場合に CookieJar が cookie を適切に処理しないために発生します。

CVE-2022-25883 openshift-migration-ui-container: nodejs-semver: 正規表現によるサービス拒否

以前の (MTC) リリースでは、MTC で使用されている semver パッケージの 7.5.2 より前のバージョンは、信頼できないユーザーデータが範囲として指定された場合、関数 newRange からの Regular Expression Denial of Service (ReDoS) に対して脆弱です。