1.9.44. RHSA-2024:3889 - OpenShift Container Platform 4.15.18 のバグ修正とセキュリティー更新

OpenShift Container Platform 4.15 はルート上の SHA1 証明書をサポートしますが、Upgradeable=False を設定します。その結果、4.15 から 4.16 にアップグレードすると、SHA1 証明書を持つルートと Ingress Controller が拒否されます。

影響を受けるのは提供証明書のみです。ルートの場合、これは spec.tls.certificate で指定された証明書です。Ingress Controller の場合、これは spec.defaultCertificate で指定したシークレット内の提供証明書です。SHA1 を使用する CA 証明書は影響を受けません。ただし、OCPBUGS-42480 により、提供証明書が SHA1 を使用していないが CA 証明書が SHA1 を使用していた場合、一部の Ingress Controller が誤ってアップグレードをブロックしていました。この問題を解決するには、バージョン 4.15.37 にアップグレードしてこのバグ修正を受け取ってください。

さらに、この更新により、SHA1 証明書を含むルートに新しい UnservableInFutureVersions ステータス条件が導入されます。また、この新しいステータスがいずれかのルートに存在する場合、アップグレードをブロックするための admin-gate も追加されます。その結果、クラスター管理者が OpenShift Container Platform 4.15 で SHA1 証明書を使用するルートを持っている場合、これらの証明書をサポートされているアルゴリズムにアップグレードするか、作成された admin-gate に対して admin-ack を提供する必要があります。この admin-ack により、ルートが拒否されても、管理者は SHA1 証明書の問題を解決せずにアップグレードを続行できます。完全な admin-ack コマンドは次のとおりです。

$ oc -n openshift-config patch cm admin-acks --patch '{"data":{"ack-4.15-route-config-not-supported-in-4.16":"true"}}' --type=merge

(OCPBUGS-28928).