1.3.9. インストールおよび更新

Google Cloud をインストールし、Google Cloud Workload Identity を使用するように設定すると、Cloud Credential Operator ユーティリティーがプロジェクトレベルで Machine API コントローラーサービスアカウントに付与する Google Cloud iam.serviceAccounts.actAs 権限を、コンピュートノードサービスアカウントのみに制限できるようになりました。

詳細は、サービスアカウントのなりすましをコンピュートノードサービスアカウントに制限する を参照してください。

デフォルトの cluster-provisioned DNS ソリューションの代わりに、ユーザーがプロビジョンしたドメインネームサーバー (DNS) を有効にできます。たとえば、組織のセキュリティーポリシーにより、Google Cloud DNS などのパブリック DNS サービスの使用が許可されていない場合があります。API サーバーと Ingress サーバーの IP アドレスに対してのみ DNS を管理できます。この機能を使用する場合は、api.<cluster_name>.<base_domain>. および *.apps.<cluster_name>.<base_domain>. のレコードを含む独自の DNS ソリューションを提供する必要があります。

ユーザーがプロビジョニングした DNS を使用して Google Cloud 上にクラスターをインストールする機能は、OpenShift Container Platform 4.19 でテクノロジープレビュー機能として導入されました。OpenShift Container Platform 4.21 では、この機能の一般提供が開始されました。

詳細は、ユーザー管理型 DNS の有効化 および 独自の DNS レコードのプロビジョニング を参照してください。

今回のアップデート以降、既存の VPC に Google Cloud 上のクラスターをインストールする際に、install-config.yaml ファイルで firewallRulesManagement パラメーターを有効にすることで、独自のファイアウォールルールを管理できるようになりました。ファイアウォールルールを管理することで、インストールプログラムに付与する権限を制限できます。

詳細は、独自のファイアウォールルールの管理 を参照してください。

今回のアップデートにより、Amazon Web Services にクラスターをインストールする際に、gp3 rootVolume ドライブの最大スループットをカスタマイズできるようになりました。このカスタマイズは、install-config.yaml ファイル内の compute.platform.aws.rootVolume.throughput または controlPlane.platform.aws.rootVolume.throughput パラメーターを変更することで設定できます。

詳細は、オプションの AWS 設定パラメーター を参照してください。

VMware vSphere Foundation (VVF) 9 および VMware Cloud Foundation (VCF) 9 に OpenShift Container Platform をインストールできるようになりました。

今回のアップデートにより、Assisted Installer を使用して Oracle Database Appliance 上にクラスターをインストールできるようになりました。

詳細は、Assisted Installer を使用した Oracle Database Appliance へのクラスターのインストール を参照してください。

RHOSP 17.1 以降では、RHOSP マシンネットワークが IPv6 のみの場合でも、デュアルスタックの OpenShift Container Platform クラスターをデプロイできます。ただし、クラスター内部およびサービスネットワークには引き続き IPv4 が使用されます。

詳細は、デュアルスタックネットワークを使用したクラスターの設定 を参照してください。

デフォルトの cluster-provisioned DNS ソリューションの代わりに、ユーザーがプロビジョンしたドメインネームサーバー (DNS) を有効にできます。たとえば、組織のセキュリティーポリシーにより、Amazon Web Services (AWS) DNS などのパブリック DNS サービスの使用が許可されていない場合があります。その結果、クラウドの DNS にレコードを追加するのではなく、独自のシステムで API および Ingress DNS レコードを管理できるようになります。この機能を使用する場合は、api.<cluster_name>.<base_domain>. および *.apps.<cluster_name>.<base_domain>. のレコードを含む独自の DNS ソリューションを提供する必要があります。user-provisioned DNS の有効化は、テクノロジープレビュー機能として利用できます。

詳細は、ユーザー管理型 DNS の有効化 および 独自の DNS レコードのプロビジョニング を参照してください。

今回のアップデートにより、NAT ゲートウェイをアウトバウンドルーティングストラテジーとして使用して、Azure 上にクラスターをインストールできるようになります。NAT ゲートウェイは、他の送信ルーティングストラテジーで発生する可能性のある SNAT ポートの枯渇リスクを最小限に抑えることができます。NAT ゲートウェイは、install-config.yaml ファイル内の platform.azure.outboundType パラメーターを使用して設定できます。

詳細は、追加の Azure 設定パラメーター を参照してください。

今回のリリースでは、OpenShift Container Platform クラスターをインストールする際に Google Cloud Private Service Connect (PSC) エンドポイントを使用できるため、組織の厳格な規制ポリシーに準拠したインストールが可能になります。

詳細は、オプションの設定パラメーター を参照してください。

今回のアップデートにより、ベアメタル上にクラスターをインストールする際に、BMC との通信を保護するために、独自のローカルまたは自己署名付き CA 証明書を提供できるようになりました。この証明書は、install-config.yaml ファイルの platform.baremetal.bmcCACert パラメーターを使用して設定できます。信頼済み CA 証明書を使用しない場合は、独自の CA 証明書を提供することで、BMC との通信を保護できます。インストール後、ローカルまたは自己署名付きの CA 証明書を設定することもできます。これは、クラスターが別の BMC CA 証明書を使用してインストールされた場合や、BMC CA 証明書を使用せずにインストールされた場合でも同様です。

詳細は、追加のインストール設定パラメーター および ローカルまたは自己署名付きのベースボード管理コントローラー CA 証明書の設定 を参照してください。

デプロイ済みベアメタルクラスター内のホストについては、ファームウェア属性とファームウェアイメージを更新できます。その結果、すでにプロビジョニング済みのホストに対して、プロビジョニングを完全に解除することなく、ファームウェアのアップグレードや BIOS 設定の更新を実行できます。HostFirmwareComponents、HostFirmwareSettings、または HostUpdatePolicy リソースに対するライブアップデートの実行は、破壊的かつ不安定な操作となる可能性があります。これらのアップデートは、慎重に検討した上で実施してください。

この機能は、OpenShift Container Platform 4.18 でテクノロジープレビューのステータスで導入されました。この機能は、OpenShift Container Platform 4.21 で一般提供としてサポートされるようになりました。

詳細は、HostFirmwareSettings リソースのライブアップデートの実行、HostFirmwareComponents リソースのライブアップデートの実行、および HostUpdatePolicy リソースの設定 を参照してください。

デフォルトの cluster-provisioned DNS ソリューションの代わりに、ユーザーがプロビジョンしたドメインネームサーバー (DNS) を有効にできます。たとえば、組織のセキュリティーポリシーにより、Microsoft Azure DNS などのパブリック DNS サービスの使用が許可されていない場合があります。API サーバーと Ingress サーバーの IP アドレスに対してのみ DNS を管理できます。この機能を使用する場合は、api.<cluster_name>.<base_domain>. および *.apps.<cluster_name>.<base_domain>. のレコードを含む独自の DNS ソリューションを提供する必要があります。user-provisioned DNS の有効化は、テクノロジープレビュー機能として利用できます。

詳細は、ユーザー管理型 DNS の有効化 および 独自の DNS レコードのプロビジョニング を参照してください。