1.7. 既知の問題

Day 2 のプロキシーサポート対応に関して Machine Config Operator (MCO) で問題が生じます。既存のプロキシーされていないクラスターがプロキシーを使用するように再設定されるタイミングが記述されます。MCO は設定マップの新たに設定されたプロキシー CA 証明書を RHCOS 信頼バンドルに適用する必要がありますが、これが正常に機能しません。回避策として、プロキシー CA 証明書を信頼バンドルに手動で追加してから、信頼バンドルを更新する必要があります。

$ cp /opt/registry/certs/<my_root_ca>.crt /etc/pki/ca-trust/source/anchors/
$ update-ca-trust extract
$ oc adm drain <node>
$ systemctl reboot

(BZ#1784201)

クラスタープロキシー設定 HTTP_PROXY は OpenShift Container Platform コンポーネントでのみ利用でき、ユーザーアプリケーションでは使用できません。回避策として、以下のコマンドを実行してユーザーアプリケーションのクラスタープロキシー設定を有効にする必要があります。

$ oc set env dc/jenkins \
    http_proxy=$(oc get proxy cluster -o jsonpath='{.status.httpProxy}') \
    https_proxy=$(oc get proxy cluster -o jsonpath='{.status.httpsProxy}') \
    no_proxy=$(oc get proxy cluster -o jsonpath='{.status.noProxy}')

(BZ#1780125)

OpenShift Container Platform クラスターをバージョン 4.3 から 4.4 に更新する場合、etcd Operator は動作が低下した状態のためにアップグレードに失敗することがあります。これは、InstallerPod の失敗によって生じます。回避策として、InstallerPod の失敗を解決できるように etcd で新規リビジョンを強制的に実行する必要があります。これにより、etcd Operator をリカバリーできます。

Topology Manager の問題により、Guaranteed QoS Pod が同じノードで同時に作成されると、NUMA リソースが同じ NUMA ノードに配置されない可能性がありました。その結果、Pod 仕様で要求されるリソースが NUMA で配置されない可能性があります。

4.4 でこの問題を回避するには、ノード上の Guaranteed QoS を持つ複数の Pod を同時にスピンアップしないでください。

この問題が発生する場合には、Pod を削除してから再作成します。(BZ#1834979)

OpenShift Container Platform 4.1 では、匿名ユーザーは検出エンドポイントにアクセスできました。後のリリースでは、一部の検出エンドポイントは集約された API サーバーに転送されるため、このアクセスを無効にして、セキュリティーの脆弱性の可能性を減らすことができます。ただし、既存のユースケースに支障がで出ないように、認証されていないアクセスはアップグレードされたクラスターで保持されます。

OpenShift Container Platform 4.1 から 4.4 にアップグレードされたクラスターのクラスター管理者の場合、認証されていないアクセスを無効にするか、またはこれを引き続き許可することができます。特定の必要がなければ、認証されていないアクセスを無効にすることが推奨されます。認証されていないアクセスを引き続き許可する場合は、それに伴ってリスクが増大することに注意してください。

以下のスクリプトを使用して、検出エンドポイントへの認証されていないアクセスを無効にします。

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

このスクリプトは、認証されていないサブジェクトを以下のクラスターロールバインディングから削除します。

(BZ#1821771)