1.4. 主な技術上の変更点

このアップデート以前は、NUMA Resources Operator は、NUMAResourcesScheduler カスタムリソース (CR) の spec.imageSpec フィールドに設定したイメージを検証していませんでした。この CR はクラスタースコープであり、スケジューラーは高い特権で実行されるため、CR への書き込みアクセス権を持つユーザーは、スケジューラー特権で任意のコンテナーイメージを実行できてしまう可能性があります。

今回のリリースでは、NUMA Resources Operator はデフォルトでスケジューラーイメージの検証を行うようになりました。Operator は、registry.redhat.io/openshift4/noderesourcetopology-scheduler-rhel9@sha256:<digest> のようなダイジェストベースのイメージ参照のみを受け入れます。また、ダイジェストは、現在または以前のリリースストリーム用に Operator に組み込まれている信頼できるスケジューラーイメージのいずれかと一致する必要があります。これらの要件を満たさないイメージを指定すると、NUMAResourcesScheduler リソースは InvalidSchedulerImage という理由で Degraded 状態になります。

NUMA Resources Operator および NUMAResourcesScheduler CR の詳細は、NUMA 対応ワークロードのスケジューリングを 参照してください。(OCPBUGS-94176)

このアップデート以前は、NUMA Resources Operator は、NUMAResourcesOperator カスタムリソース (CR) の spec.imageSpec フィールドに設定した Resource トポロジー Exporter (RTE) イメージを検証していませんでした。RTE はワーカーノード上でデーモンとして実行され、読み取り特権が昇格されているため、CR への書き込みアクセス権を持つユーザーは、その特権で任意のコンテナーイメージを実行できてしまう。

今回のリリースでは、NUMA Resources Operator はデフォルトではカスタム RTE イメージをサポートしていません。NUMAResourcesOperator CR の spec.imageSpec フィールドにエクスポートイメージを設定すると、リソースは CustomUserImage という 理由で Degraded 状態になり、オペレーターはリソースを調整しません。Operator が OpenShift Container Platform リリースのデフォルトの RTE イメージを使用するように、spec.imageSpec フィールドは未設定のままにしてください。非接続環境では、Operator コンテナーのイメージミラーリング設定により、デフォルトイメージが内部レジストリーにリダイレクトされます。

NUMA Resources Operator および NUMAResourcesOperator CR の詳細は、NUMA 対応ワークロードのスケジューリングを 参照してください。(OCPBUGS-94176)

etcd 用の Kubernetes KMS v2 暗号化は、OLM 管理アーキテクチャーを使用するようになりました。このアーキテクチャーでは、KMS プラグインは API サーバーと並行してサイドカーコンテナーとして実行され、VaultKMSConfig カスタムリソースを通じて設定されます。今回のリリースでは、KMS プロバイダー間の直接移行、ノードごとの KMS プラグインの健全性レポート、および KMS 設定変更の事前検証機能が追加されました。HashiCorp Vault Enterprise は、サポートされている唯一の KMS プロバイダーです。

詳細は、KMS 暗号化の設定を 参照してください。

今回のリリースでは、リーダーのデフラグを試みる前に、リーダーの転送を事前に完了させる新機能が追加されました。この転送の目的は、デフラグメンテーション中にリーダーが利用できない状況下で、タイムアウトによってリーダー選出が行われるリスクを低減することです。タイムアウトに基づくリーダー選出は通常、何らかの問題を示しているが、転送によって引き起こされるリーダー選出は、迅速なリーダー選出である。それは問題を示すものではありません。

この機能により、通常の運用時には、etcd Operator のデフラグメンテーションリコンシリエーションサイクルごとに、リーダー選出の回数が最大で 1 回増加することが安全に保証されます。この増加は、既存の 指導者選挙が多すぎるという 警告には影響しないはずです。これらのアラートは、クラスターが過剰で予期せぬリーダー選出に見舞われているかどうかを示す信頼できる指標であり、こうした選出は混乱を引き起こす可能性があります。