1.8.14. RHBA-2020:3510 - OpenShift Container Platform 4.5.8 バグ修正の更新
発行日: 2020-09-08
OpenShift Container Platform リリース 4.5.8 が公開されました。この更新に含まれるバグ修正の一覧は、RHBA-2020:3510 アドバイザリーにまとめられています。この更新に含まれる RPM パッケージは、 RHBA-2020:3511 アドバイザリーで提供されています。
このアドバイザリーでは、このリリースのすべてのコンテナーイメージに関する説明は除外されています。このリリースのコンテナーイメージに関する情報については、以下の記事を参照してください。
OpenShift Container Platform 4.5.8 コンテナーイメージの一覧
1.8.14.1. 機能
1.8.14.1.1. ネットワークインターフェイスの projectID フィールドを追加
新規 projectID フィールドは、.spec.template.spec.providerSpec.networkInterfaces 下の MachineSet カスタムリソースで設定できるようになりました。このフィールドでは、マシンを共有 VPC で起動できます。
...
providerSpec:
...
networkInterfaces:
- network: <infrastructureID>-network
subnetwork: <infrastructureID>-<role>-subnet
projectID: <projectID>
...詳細は、BZ#1868751 を参照してください。
1.8.14.1.2. 正しくない AWS パーミッションの検証をバイパスするために credentialsMode パラメーターを追加
AWS インストールの場合、OpenShift Container Platform はパーミッションを検証する際に AWS ポリシーシミュレーター API に依存します。AWS アカウントが AWS 組織サービス制御ポリシー (SCP) を使用するように設定されている場合、パーミッションは SCP で設定されるポリシーに対してチェックされます。SCP にグローバル条件を使用してすべてのアクションを拒否するか、または特定のパーミッションを要求するポリシーが含まれる場合、ポリシーシミュレーター API はパーミッションを適切に検証しません。たとえば、us-east-1 および us-west-2 を除くすべてのリージョン用、または role-xyz を除くすべてのロール用の条件のあるポリシーにより、AWS API は未検出 (false negative) を返します。パーミッションを検証できない場合、提供される認証情報に OpenShift Container Platform をインストールするのに必要なパーミッションがある場合でも、OpenShift Container Platform AWS のインストールに失敗します。
今回のリリースにより、credentialsMode パラメーターの値を install-config.yaml 設定ファイルに設定して、ポリシーシミュレーターのパーミッションチェックをバイパスできます。
サンプル install-config.yaml 設定ファイル
apiVersion: v1
baseDomain: cluster1.example.com
credentialsMode: Mint 1
compute:
- architecture: amd64
hyperthreading: Enabled
...
- 1
- この行は、
credentialsModeパラメーターをMintに設定するために追加されます。
credentialsMode の値を設定すると、SCP を使用するよう設定された AWS アカウントのパーミッションチェックがバイパスされ、インストールを続行できます。このチェックを省略する場合、指定する認証情報に指定されたモードに必要なパーミッションがあることを確認します。
credentialsMode の値は、Cloud Credential Operator (CCO) の動作を以下のように変更します。
-
Mint: CCO は提供される管理レベルのクラウド認証情報を使用してインストーラーを実行します。インストール後に認証情報が削除されない場合、これは保存され、クラスター内のCredentialsRequestカスタムリソースを処理し、特定の必要なパーミッションを持つそれぞれの新規ユーザーを作成するために CCO によって使用されます。 -
Passthrough: CCO は、インストーラーを実行してインストールを実行するのに十分なパーミッションを含む、提供される管理者以外のクラウド認証情報を使用します。インストールされている OpenShift Container Platform のバージョンのCredentialsRequestで指定されるパーミッションを見つける方法についての詳細は、Manually creating IAM for AWS を参照してください。
