1.2.2.3. kube-apiserver はトークンの前にクライアント証明書をチェックする

以前のバージョンの OpenShift Container Platform では、kube-apiserver は認証用にトークンをチェックしてから、クライアント証明書をチェックしていました。kube-apiserver は、クライアント証明書をチェックしてからトークンをチェックするようになりました。

たとえば、system:admin kube 設定があり、以前のバージョンの OpenShift Container Platform で oc --token=foo get pod コマンドを実行している場合、トークン foo を持つユーザーとして認証が実行されました。今回のリリースにより、system:admin としての認証が実行されるようになりました。以前のリリースでは、このような場合には、クライアント証明書の使用時にトークンを上書きするのではなく、パラメーター --as を使用してユーザーの権限を借用することが推奨されましたが、これは不要になりました。