5.2. OADP リリースノート

今回のアップデート以前は、OpenShift Container Platform のカスタムリソース定義 (CRD) が完全に初期化される前に不足していたため、イメージベースのアップグレード (IBU) 中にコントローラーがクラッシュしていました。その結果、この障害により、IBU アップグレード中の データ保護アプリケーション (DPA) のリコンシリエーションが 8 分間遅延した。今回のリリースでは、シングルノードの OpenShift 上の IBU 環境において、コントローラーが起動する前に OpenShift Container Platform の CRD がロードされるまで待機するようにすることで、この問題を解決します。また、リーダー選出も無効にします。この変更により、DPA リコンシリエーションウィンドウが短縮され、シングルノードの OpenShift クラスターの全体的なアップグレード期間が改善されます。

OADP-7508

OADP セルフサービスでのバックアップ作成中に、複数のコントローラーまたはプロセスが同じ NonAdminBackupStorageLocationRequest オブジェクトを同時に更新すると、リソースの競合が発生します。その結果、リコンシリエーションの試行は オブジェクトが変更されました というエラーで失敗します。既知の回避策はありません。

OADP-6700

この更新前は、OADP がすべての Backup Storage Location (BSL) の中で最初に検出されたカスタム CA 証明書のみを処理し、それをグローバルに適用していました。この動作により、それぞれ異なる CA 証明書を持つ複数の BSL が正しく動作していませんでした。さらに、システムが信頼する証明書が含まれていなかったため、標準サービスへの接続時にエラーが発生しました。

この更新により、OADP が次のように動作するように変更されました。

この機能拡張により、特に自己署名証明書を使用して内部イメージを AWS S3 互換ストレージにバックアップする場合に、それぞれ異なる証明書が必要な複数のストレージプロバイダーを使用する環境の互換性が向上します。

OADP-6765

この更新の前にテクノロジープレビューとして利用可能だった CloudStorage API 機能は、OADP 1.5.1 から完全にサポートされるようになりました。CloudStorage API は、オブジェクトストレージ用のバケットの作成を自動化します。

OADP-3307

DataProtectionTest (DPT) は、OADP 設定を検証するためのフレームワークを提供するカスタムリソース (CR) です。

DPT CR は次のパラメーターの情報をチェックし、報告します。

DPT CR のこの情報を使用することで、データ保護環境が適切に設定され、指定された設定に従って動作していることを確認できます。

Azure 上の OADP で DPT を使用する場合は、STORAGE_ACCOUNT_ID を設定する必要があることに注意してください。

OADP-6300

OADP-5832

この更新前は、DataProtectionApplicationSpec は非推奨の PodAnnotations を使用していたため、アノテーション制限のオーバーフローが発生していました。これにより、デプロイメントが誤まって設定される可能性がありました。このリリースでは、Operator によってデプロイされた Pod 内のアノテーション用の PodConfig が追加され、アノテーションの一貫性が確保され、エンドユーザーの管理性が向上しました。その結果、デプロイメントの信頼性が向上し、管理が容易になります。

OADP-6454

この更新前は、ユーザーが、非管理者 DataProtectionApplication (DPA) がすでに存在するクラスターに 2 つ目を作成しようとすると、新しい DPA のリコンサイルに失敗しました。このリリースでは、非管理者コントローラーのインストールがクラスターごとに 1 つに限定されていた制限が削除されました。その結果、ユーザーはエラーなしにクラスター全体に複数の非管理者コントローラーをインストールできます。

OADP-6500

この更新前は、Minio などのストレージプロバイダーでバックアップイメージに自己署名証明書を使用すると、バックアッププロセス中に x509: certificate signed by unknown authority エラーが発生しました。このリリースでは、証明書の検証が更新され、OADP で自己署名証明書がサポートされるようになり、バックアップが確実に成功するようになりました。

OADP-641

この更新前は、velero describe output コマンドで defaultVolumesToFsBackup フラグが省略されていました。これにより、ユーザーに対するバックアップ設定の詳細の可視性に影響が出ました。このリリースでは、velero describe 出力に defaultVolumesToFsBackup フラグ情報が含まれるようになり、バックアップ設定の可視性が向上しました。

OADP-5762

この更新前は、DPT CR に仕様フィールドで caCert をスキップまたは追加する機能がなかったため、証明書が検証されていないことが原因で s3Url が保護されているときに DataProtectionTest (DPT) の実行に失敗しました。その結果、証明書が検証されていないことが原因でデータのアップロードに失敗しました。このリリースでは、DPT CR が更新され、仕様フィールドで CA 証明書を受け入れてスキップするようになり、SSL 検証エラーが解決されました。その結果、セキュリティー保護された s3Url を使用するときに DPT が失敗しなくなりました。

OADP-6235

この更新前は、DataProtectionApplication (DPA) に同じ名前の 2 番目の backupLocation を追加すると、OADP が無効な状態になり、Velero が Secret 認証情報を読み取ることができないためにバックアップと復元が失敗していました。その結果、バックアップと復元の操作は失敗しました。このリリースでは、DPA での重複した backupLocation 名が許可されなくなり、バックアップと復元の失敗を防ぐことができます。その結果、重複する backupLocation 名は拒否され、データをシームレスに保護できるようになります。

OADP-6459

Cinder Container Storage Interface (CSI) ドライバーを使用して OpenStack プラットフォーム上で作成されたバックアップの復元操作を開始すると、ソースアプリケーションを手動でスケールダウンしてからでないと、初期バックアップに成功しません。復元ジョブが失敗し、バックアップからアプリケーションのデータと状態を正常に復元できなくなります。既知の回避策はありません。

OADP-5552

Velero 1.14 以降の問題が原因で、OADP ノードエージェントは loadAffinity 配列にある最初の nodeSelector 要素しか処理しません。結果として、複数の nodeSelector オブジェクトを定義すると、最初のオブジェクト以外のすべてのオブジェクトが無視され、バックアップ中に予期しないノードで datamover Pod がスケジュールされる可能性があります。

この問題を回避するには、複数の nodeSelector オブジェクトから必要な matchExpressions をすべて最初の nodeSelector オブジェクトに統合します。その結果、すべてのノードアフィニティールールが正しく適用され、datamover Pod が適切なノードにスケジュールされるようになります。

OADP-6469

CA 証明書は、実行中の Velero コンテナーにファイルとして保存されません。その結果、Velero コンテナーに caCert がないため、手動でのセットアップとダウンロードが必要となり、ユーザーエクスペリエンスが低下しました。この問題を回避するには、Velero デプロイメントに証明書を手動で追加します。手順は、velero デプロイメント経由でエイリアスされた velero コマンドで cacert を使用する を参照してください。

OADP-4668

nodeAgent パラメーターに nodeSelector フィールドを設定して Data Protection Application (DPA) を作成すると、復元操作が完了する代わりに、Data Mover の復元が部分的に失敗します。既知の回避策はありません。

OADP-4743

DataProtectionApplication (DPA) の caCert を使用してバックアップ中に S3 接続で検証されていない証明書があると、ocp-django アプリケーションのバックアップが部分的に失敗し、データが失われます。既知の回避策はありません。

OADP-4817

ephemeral-storage パラメーターが設定され、ファイルシステムの復元が実行されている場合、キャッシュはワーカーノードから自動的に削除されません。その結果、バックアップの復元中に /var パーティションがオーバーフローし、ストレージ使用量が増加し、リソースが枯渇する可能性があります。この問題を回避するには、ノードエージェント Pod を再起動してキャッシュをクリアします。その結果、キャッシュが削除されます。

OADP-4855

Google Cloud Workload Identity で volumeSnapshotLocation (VSL) バックアップを実行するときに、DataProtectionApplication (DPA) の snapshotLocations 設定でも Google Cloud プロジェクトが指定されていると、Velero Google Cloud プラグインによって無効な API リクエストが作成されます。その結果、Google Cloud API が RESOURCE_PROJECT_INVALID エラーを返し、バックアップジョブが PartiallyFailed ステータスで終了します。既知の回避策はありません。

OADP-6697

AZURE_RESOURCE_GROUP が VSL の DataProtectionApplication (DPA) 設定にすでに記載されていても、認証情報ファイルに AZURE_RESOURCE_GROUP パラメーターがないため、volumeSnapshotLocation (VSL) バックアップは失敗します。既知の回避策はありません。

OADP-6676

STS を使用して Azure クラスター上のイメージストリームリソースを含むアプリケーションをバックアップする場合、OADP プラグインはコンテナーレジストリーのシークレットベースの認証情報を誤って検索しようとします。その結果、必要なシークレットが STS 環境で見つからず、ImageStream カスタムバックアップアクションが失敗します。この結果、全体的なバックアップステータスが PartiallyFailed としてマークされます。既知の回避策はありません。

OADP-6675

ユーザーがバケットを作成し、backupLocations.bucket.cloudStorageRef 設定を使用する場合、バケットの認証情報は DataProtectionApplication (DPA) カスタムリソース (CR) に存在しません。その結果、バケット認証情報が CloudStorage CR に存在していても、DPA リコンシリエーションは失敗します。この問題を回避するには、DPA CR の backupLocations セクションに同じ認証情報を追加します。

OADP-6669

OADP 1.5.0 では、configuration.restic 仕様フィールドは非推奨になりました。kopia または restic を uploaderType として選択するには、uploaderType フィールドとともに nodeAgent セクションを使用します。Restic は OADP 1.5.0 では非推奨になっていることに注意してください。

OADP-5158

OADP 1.5.0 では OADP Self-Service という名前の新しい機能が導入され、OpenShift Container Platform 上で namespace admin ユーザーがアプリケーションのバックアップおよび復元を実行できるようになりました。OADP の以前のバージョンでは、アプリケーションのバックアップと復元、Backup Storage Location の作成などの OADP 操作を実行するための cluster-admin ロールが必要でした。

OADP 1.5.0 以降では、バックアップおよび復元操作を実行するために cluster-admin ロールは必要ありません。namespace admin ロールで OADP を使用できます。namespace admin ロールには、ユーザーが割り当てられている namespace への管理者アクセスのみがあります。Self-Service 機能は、クラスター管理者が OADP Operator をインストールし、必要なパーミッションを付与した後にのみ使用できます。

OADP-4001

must-gather ツールを使用して、ログ、および OpenShift API for Data Protection (OADP) カスタムリソースに関する情報を収集できます。must-gather データはすべてのカスタマーケースに添付する必要があります。このツールは、must-gather ログクラスターディレクトリーにある収集された情報を含む Markdown 出力ファイルを生成します。

OADP-5384

Data Protection Application (DPA) の nodeAgent フィールドに、以下のパラメーターが含まれるようになりました。

OADP-3736

Velero は、nodeAgent デーモンセットの設定に node-agent-config config map を使用しなくなりました。この更新により、nodeAgent デーモンセットを設定するには、Data Protection Application (DPA) で新しい spec.configuration.nodeAgent パラメーターを使用する必要があります。

OADP-5042

Velero 1.15 以降では、リポジトリーごとのキャッシュの合計サイズを設定できるようになりました。これにより、一時ストレージ不足による Pod の削除が阻止されます。DPA の NodeAgentConfig フィールドに追加された次の新しいパラメーターを参照してください。

OADP-5900

この更新により、以下の変更が追加されました。

OADP-5031

デフォルトでは、1 つのスレッドのみがアイテムブロックを処理します。Velero 1.16 は並列アイテムのバックアップをサポートしており、バックアップ内の複数のアイテムを並行して処理できます。

オプションの Velero サーバーパラメーター --item-block-worker-count を使用して、追加のワーカースレッドを実行し、アイテムを並行して処理できます。OADP でこれを有効にするには、dpa.Spec.Configuration.Velero.ItemBlockWorkerCount パラメーターをゼロより大きい整数値に設定します。

OADP-5635

OADP 1.5.0 のリリースにより、ログを JSON 形式で利用できるようになりました。Elastic ログ管理システムに事前に解析されたデータがあると便利です。

OADP-3391

このリリースにより、ユーザーエクスペリエンスを向上させるために、oc get dpa コマンドが、NAME および AGE のみを表示する代わりに、RECONCILED ステータスを表示するようになりました。以下に例を示します。

$ oc get dpa -n openshift-adp
NAME            RECONCILED   AGE
velero-sample   True         2m51s

OADP-1338

このリリースにより、terminationMessagePolicy フィールドは、operator-manager、velero、node-agent、non-admin-controller などの OpenShift API for Data Protection (OADP) Operator コンテナーの FallbackToLogsOnError 値を設定できるようになりました。

この変更により、コンテナーがエラーで終了し、終了メッセージファイルが空の場合、OpenShift はコンテナーログの最後の部分を終了メッセージとして使用します。

OADP-5183

以前は、名前空間管理者は復元操作後にアプリケーションを実行できませんでした。

実行は以下のエラーで失敗しました。

この更新により、この問題は解決され、namespace admin は復元後にアプリケーションに正常にアクセスできるようになりました。

OADP-5611

以前は、ステータスの復元は、Restore カスタムリソース (CR) の restoreStatus フィールドを使用してリソースタイプでのみ設定されていました。

このリリースにより、次のアノテーションを使用して、個々のリソースインスタンスレベルでステータスの復元を指定できるようになりました。

metadata:
  annotations:
    velero.io/restore-status: "true"

OADP-5968

以前は、excludedClusterScopedResources フィールドが storageclasses、Namespace パラメーターに設定されたアプリケーションのバックアップを実行すると、バックアップは成功していましたが、復元は部分的に失敗していました。この更新により、復元も成功するようになりました。

OADP-5239

以前は、以下のエラーメッセージが表示され、バックアップは failed とマークされていました。

failureReason: found a backup with status "InProgress" during the server starting,
mark it as "Failed"

この更新により、waitingForPluginOperations フェーズ中に再起動された場合、バックアップは完了します。

OADP-2941

以前は、Data Protection Application (DPA) の spec.configuration.velero.disableFsBackup フィールドが true に設定されている場合、バックアップが部分的に失敗し、エラーメッセージもわかりにくいものでした。

この更新により、エラーメッセージがトラブルシューティングに役立つ内容になります。たとえば、disableFsBackup: true が DPA における問題であることを示すエラーメッセージや、非管理者ユーザーが DPA にアクセスできないことを示すエラーメッセージなどが表示されるようになります。

OADP-5952

以前は、STS 認証を使用する AWS 認証情報が適切に検証されませんでした。

この更新により、parseAWSSecret 関数は STS 固有のフィールドを検出し、STS プロファイルを正しく処理できるように ensureSecretDataExists 関数を更新します。

OADP-6105

以前は、リポジトリーメンテナンスジョブ Pod アフィニティーの新しい設定が DPA 仕様にはありませんでした。

この更新により、BackupRepository 識別子を設定にマッピングするための repositoryMaintenance ジョブアフィニティー設定を使用できるようになりました。

OADP-6134

以前は、スケジュール CR が間違った spec.schedule 値で作成され、後で正しい値でパッチが適用された場合、ValidationErrors フィールドが引き続き存在していました。その結果、仕様が正しい場合でも、ValidationErrors フィールドに誤った情報が表示されました。

この更新により、CR 仕様が正しくなると、ValidationErrors フィールドは自動的に消えるようになります。

OADP-5419

以前は、復元仕様の includedNamespace フィールドで復元操作がトリガーされると、復元操作が正常に完了しましたが、volumeSnapshotContents カスタムリソース (CR) が作成されず、PVC は Pending ステータスになっていました。

この更新により、restoreSpec で includedNamesapces フィールドが使用されている場合でも、volumeSnapshotContents CR が復元されるようになりました。その結果、復元後、アプリケーション Pod は Running 状態になります。

OADP-5939

以前は、コンテナーはセキュリティー目的で readOnlyRootFilesystem: true 設定で設定されていましたが、コードは os.CreateTemp() 関数を使用して /tmp ディレクトリーに一時ファイルを作成しようとしていました。そのため、Cloud Credential Operator (CCO) フローで AWS STS 認証を使用すると、OADP は次のエラーを表示し、AWS 認証情報の処理に必要な一時ファイルを作成できませんでした。

ERROR unable to determine if bucket exists. {"error": "open /tmp/aws-shared-credentials1211864681: read-only file system"}

この更新により、この問題に対応するために、以下の変更が追加されました。

OADP-6019

バックアップを削除した後でも、バックアップの有効期限が切れると、Kopia は S3 ロケーションの ${bucket_name}/kopia/$openshift-adp からボリュームアーティファクトを削除しません。期限切れおよび削除されたデータファイルに関する情報は、メタデータ内に残ります。

OpenShift API for Data Protection (OADP) が正常に機能するように、データは削除されず、/kopia/ ディレクトリーにあります。以下に例を示します。

OADP-5131

OpenShift API for Data Protection (OADP) 1.5.0 では、configuration.restic 仕様フィールドは非推奨になりました。kopia または restic を uploaderType として選択するには、uploaderType フィールドとともに nodeAgent セクションを使用します。OpenShift API for Data Protection (OADP) 1.5.0 では、Restic は非推奨となっていることに注意してください。

OADP-5158

OADP は、テクノロジープレビューとして、HyperShift がホストする OpenShift クラスター内でのアプリケーションの移行をサポートおよび容易化できます。これにより、ホステッドクラスターのアプリケーションのシームレスなバックアップおよび復元操作が実現します。

Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。

OADP-3930