Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

リリースノート

OpenShift sandboxed containers 1.9

Red Hat Customer Content Services

概要

このリリースノートには、すべての新機能と拡張機能、注目すべき技術的変更、以前のバージョンからの主要な修正、および一般提供時の既知のバグがまとめられています。

Red Hat ドキュメントへのフィードバック (英語のみ)
リンクのコピー

HCIDOCS プロジェクトの Jira 問題を作成してフィードバックを提供したり、エラーを報告したりすることができ、そこでは、フィードバックの進捗状況を追跡できます。Red Hat Jira アカウントがあり、ログインしている必要があります。

  1. Create Issue フォームを起動します。

  2. Summary フィールド、Description フィールド、および Reporter フィールドに入力します。

    Description フィールドに、ドキュメントの URL、章またはセクション番号、および問題の詳しい説明を入力します。

  3. Create をクリックします。

第1章 このリリースについて
リンクのコピー

これらのリリースノートは、Red Hat OpenShift Container Platform 4.18 とともに OpenShift サンドボックスコンテナー 1.9 の開発を追跡します。リリースノートには元のチケットへのリンクが含まれています。プライベートチケットにはリンクがありません。

OpenShift Container Platform は FIPS 用に設計されています。FIPS モードでブートされた Red Hat Enterprise Linux (RHEL) または Red Hat Enterprise Linux CoreOS (RHCOS) を実行する場合、OpenShift Container Platform コアコンポーネントは、x86_64、ppc64le、および s390x アーキテクチャーのみで、FIPS 140-2/140-3 検証のために NIST に提出された RHEL 暗号化ライブラリーを使用します。

NIST の検証プログラムの詳細は、Cryptographic Module Validation Program を参照してください。検証のために提出された RHEL 暗号化ライブラリーの個別バージョンの最新の NIST ステータスは、政府の標準規格 を参照してください。

このリリースのメジャーバージョンとマイナーバージョンのセキュリティーとバグ修正を含むすべての アドバイザリー は、Red Hat カスタマーポータルで確認できます。

第2章 新機能および機能拡張
リンクのコピー

このセクションでは、OpenShift sandboxed containers 1.9 で導入された新機能と拡張機能を説明します。

OpenShift Sandboxed Containers の Google Cloud サポート

Google Cloud で OpenShift Sandboxed Containers のワークロードを実行できるようになりました。OpenShift Sandboxed Containers は、昇格権限を必要とする CI などのワークロードの分離を強化します。

Jira:KATA-2414

Confidential Containers の initdata

Confidential Containers は、実行時にピア Pod を設定するための initdata 仕様をサポートするようになりました。これにより、ピア Pod の仮想マシンイメージに機密データを埋め込む必要がなくなります。この機能により、機密情報の漏洩が減り、セキュリティーが強化され、カスタムイメージビルドが不要になるため柔軟性が向上します。initdata 設定をグローバルに適用することも、特定の Pod に適用することもできます。

Jira:KATA-3426

カスタムピア Pod 仮想マシンイメージのサポート

OpenShift Sandboxed Containers および Confidential Containers は、ピア Pod のカスタム仮想マシンイメージをサポートするようになりました。この機能を使用すると、ワークロード要件に合わせて調整されたイメージを選択できます。カスタムイメージは、Pod マニフェストにアノテーションを追加することによって参照され、ピア Pod の config map で指定されたデフォルトイメージをオーバーライドします。

Jira:KATA-3420

Kata エージェントポリシーのカスタマイズ

Kata エージェントポリシーは、Kata ランタイムで実行されている Pod のエージェント API 要求を制御するセキュリティーメカニズムです。このポリシーは、どの操作が許可または拒否されるかを決定します。ピア Pod マニフェストにアノテーションを追加することで、testing または development のカスタムポリシーでデフォルトポリシーをオーバーライドできます。実稼働環境では、initdata を使用してポリシーを変更します。

Jira:KATA-3249

デフォルトのクラスター認証情報の上書き

バージョン 1.7 以降、OpenShift sandboxed containers は、デフォルトで Cloud Credentials Operator によって提供される OpenShift Container Platform クラスターの認証情報を使用します。クラウドプロバイダーの認証情報を指定するピア Pod シークレットを作成することで、デフォルトの認証情報を上書きできます。Cloud Credentials Operator をアンインストールする場合は、ピア Pod シークレットを作成する必要があります。

Jira:KATA-2216

第3章 テクノロジープレビュー
リンクのコピー

このセクションでは、OpenShift sandboxed containers 1.9 で利用可能なすべてのテクノロジープレビューのリストを示します。

詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。

IBM Z および IBM LinuxONE のピア Pod サポート

IBM Z® および IBM® LinuxONE (s390x アーキテクチャー) 上のピア Pod を使用することで、ネストされた仮想化なしで OpenShift サンドボックスコンテナーワークロードをデプロイできます。

Jira:KATA-2030

Microsoft Azure Cloud Computing Services、IBM Z、および IBM LinuxONE 上の Confidential Containers

Confidential Containers は、クラウドネイティブアプリケーションのセキュリティーを強化し、Trusted Execution Environments (TEE) と呼ばれる安全で分離された環境でアプリケーションを実行できるようにします。これにより、使用中でもコンテナーとそのデータが保護されます。

以下の制限事項に注意してください。

  • 機密仮想マシン (CVM) ルートファイルシステム (rootfs) の暗号化と整合性保護はありません。CVM は TEE 内で実行され、コンテナーワークロードを実行します。rootfs の暗号化と整合性保護が不十分な場合、悪意のある管理者が rootfs に書き込まれた機密データを盗み出したり、rootfs データを改ざんしたりする可能性があります。rootfs の整合性保護と暗号化は現在進行中です。アプリケーションのすべての書き込みがメモリー内に確実に保存されるようにする必要があります。
  • 暗号化されたコンテナーイメージはサポートされていません。現在、署名されたコンテナーイメージのサポートのみが利用可能です。暗号化されたコンテナーイメージのサポートの提供に向けて作業を進行しています。
  • Kata shim と CVM 内のエージェントコンポーネント間の通信は改ざんされる可能性があります。CVM 内のエージェントコンポーネントは、OpenShift ワーカーノードで実行されている Kata shim から Kubernetes API コマンドを実行します。Kubernetes API 経由での機密データの流出を防ぐために、コンテナーの Kubernetes exec および log API をオフにするエージェントポリシーを CVM で使用します。ただし、これはまだ完了しておらず、シムとエージェントコンポーネント間の通信チャネルを強化するために、さらなる作業が進行中です。エージェントポリシーは、Pod アノテーションを使用して実行時にオーバーライドできます。現在、Pod 内のランタイムポリシーアノテーションは、アテステーションプロセスによって検証されていません。
  • 暗号化された Pod 間通信はネイティブでサポートされていません。Pod 間通信は暗号化されていません。すべての Pod 間通信には、アプリケーションレベルで TLS を使用する必要があります。
  • ワーカーノードと CVM 内でのイメージのダブルプル: コンテナーイメージは、TEE 内で実行される CVM にダウンロードされ、実行されます。ただし、現在はイメージはワーカーノードにもダウンロードされます。
  • Confidential Containers の CVM イメージを構築するには、クラスターで OpenShift sandboxed containers Operator が使用可能である必要があります。

Jira:KATA-2416

第4章 既知の問題
リンクのコピー

このセクションでは、OpenShift Sandboxed Containers 1.9 の既知の問題を説明します。

Confidential Containers on Azure で、セキュアブートがデフォルトで無効になる

Confidential Containers on Azure で、セキュアブートがデフォルトで無効になっています。これはセキュリティー上のリスクです。この問題を回避するには、ピア Pod の config map を更新する ときに、ENABLE_SECURE_BOOT を true に設定します。

Jira:HCIDOCS-557

CPU がオフラインの場合、コンテナーの CPU リソース制限を増やせない

要求された CPU がオフラインの場合に、コンテナーの CPU リソース制限を使用して Pod で使用可能な CPU の数を増やすと失敗します。この機能が利用可能な場合は、oc rsh <pod> コマンドを実行して Pod にアクセスし、次に lscpu コマンドを実行することで、CPU リソースの問題を診断できます。 

$ lscpu
Copy to Clipboard Toggle word wrap

出力例: 

CPU(s):                                16
On-line CPU(s) list:             0-12,14,15
Off-line CPU(s) list:            13
Copy to Clipboard Toggle word wrap

オフライン CPU のリストは予測不可能で、実行ごとにリストが異なる可能性があります。

この問題を回避するには、次の例のように Pod アノテーションを使用して追加の CPU をリクエストします。 

metadata:
  annotations:
    io.katacontainers.config.hypervisor.default_vcpus: "16"
Copy to Clipboard Toggle word wrap

Jira:KATA-1376

sizeLimit を増やしても一時ボリュームは拡張されない

ボリュームサイズはデフォルトで、sandboxed container に割り当てられたメモリーの 50% であるため、Pod 仕様の sizeLimit パラメーターを使用して一時ボリュームを拡張できません。

この問題を回避するには、ボリュームを再マウントしてサイズを変更します。たとえば、sandboxed container に割り当てられたメモリーが 6 GB で、一時ボリュームが /var/lib/containers にマウントされている場合、次のコマンドを実行して、このボリュームのサイズをデフォルトの 3 GB より大きくすることができます。 

$ mount -o remount,size=4G /var/lib/containers
Copy to Clipboard Toggle word wrap

マウントコマンドは Pod 内で実行する必要があることに注意してください。これを Pod マニフェスト自体の一部として使用することも、oc rsh を実行して Pod 内でシェルセッションを起動し、mount コマンドを実行することもできます。

Jira:KATA-2579

OpenShift Sandboxed Containers 1.7 以降は、OpenShift Container Platform 4.14 以前のバージョンでは動作しません。

OpenShift sandboxed containers Operator をインストールまたはアップグレードする前に、OpenShift Container Platform 4.15 以降にアップグレードする必要があります。詳細は、ナレッジベースの OpenShift sandboxed containers operator 1.7 is not available および Upgrade to OSC 1.7.0 put running Peer Pods into Container Creating status を参照してください。

Jira:KATA-3193

AWS 上の Podvm Image Builder はスナップショットを残します

Podvm Image Builder はスナップショットから AMI イメージを作成しますが、適切なアンインストールプロセス中に AMI は削除されますが、スナップショット自体は削除されず、手動で削除する必要があります。

これは、AWS 上のすべてのピア Pod バージョンで発生します。

Jira:KATA-3478

クラスターを廃止する前に kataconfig を適切に削除しないと、アクティブな Pod 仮想マシンが実行したままになる可能性があります。

ピア Pod 機能がなければ、OSC Operator をアンインストールせずにクラスターを廃止できますが、ピア Pod を使用すると、Pod はクラスターワーカーノードの外部 (ピア Pod ごとに作成された podvm インスタンス上) で実行され、クラスターをシャットダウンする前に適切な kataconfig 削除が実行されないと、これらの podvm インスタンスは放棄され、終了されません。

Jira:KATA-3480

法律上の通知
リンクのコピー

Copyright © 2025 Red Hat, Inc.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution–Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, the Red Hat logo, JBoss, OpenShift, Fedora, the Infinity logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
Linux® is the registered trademark of Linus Torvalds in the United States and other countries.
Java® is a registered trademark of Oracle and/or its affiliates.
XFS® is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries.
MySQL® is a registered trademark of MySQL AB in the United States, the European Union and other countries.
Node.js® is an official trademark of Joyent. Red Hat is not formally related to or endorsed by the official Joyent Node.js open source or commercial project.
The OpenStack® Word Mark and OpenStack logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community.
All other trademarks are the property of their respective owners.
Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

Theme

© 2026 Red Hatトップに戻る