Red Hat build of Cryostat 4.0 のリリースノート

Red Hat は、Cryostat のメジャーバージョンを最低 6 カ月間サポートします。Red Hat は、製品が Red Hat カスタマーポータルでリリースされる時期に基づいてこの数値を定めています。

Cryostat は、x86_64 または ARM64 アーキテクチャーで実行される Red Hat OpenShift Container Platform 4.12 以降のバージョンにインストールしてデプロイできます。

このセクションでは、Cryostat 4.0 リリースが提供する新機能を説明します。

完全な Red Hat サポート

4.0 リリース以降、Red Hat Build of Cryostat は Red Hat によって完全にサポートされる製品となりました。4.0 リリースより前は、Red Hat build of Cryostat はテクノロジープレビュー製品でした。

Cryostat Web コンソールプラグイン

Cryostat 4.0 以降では、Cryostat Web コンソールは Red Hat OpenShift Container Platform の動的プラグインとしても利用できるようになります。このプラグインを使用すると、OpenShift Container Platform コンソールから直接 Cryostat Web コンソール機能にアクセスできるため、個々の Cryostat インスタンスの個別のユーザーインターフェイスにアクセスする必要はありません。

Red Hat OpenShift Container Platform 4.15 以降に Cryostat Operator をインストールすると、Cryostat Operator によって Cryostat Web コンソールプラグインが自動的にインストールされます。この場合、Web コンソールの更新が利用可能であることを示すプロンプトがパネルの右上隅に表示されます。Web コンソールを更新すると、OpenShift Container Platform コンソールの左側のナビゲーションペインに Cryostat オプションが追加されます。Cryostat Operator を使用して 1 つ以上の Cryostat インスタンスを作成した後、Cryostat オプションをクリックすると、OpenShift Container Platform コンソールからこれらのインスタンスに直接アクセスできるようになります。

Cryostat Agent Init コンテナー

Cryostat 4.0 以降では、Red Hat Ecosystem Catalog に Cryostat Agent Init コンテナーイメージ (cryostat-agent-init) も含まれます。cryostat-agent-init コンテナーは、Cryostat エージェントのコンテナーベースのディストリビューションを提供し、Red Hat Maven リポジトリーからエージェントの JAR ファイルをダウンロードする必要をなくします。

cryostat-agent-init コンテナーは、選択した Pod へのエージェントの自動設定と注入に使用されます。

Cryostat エージェントの自動設定

Cryostat 4.0 以降では、Cryostat Operator を使用して Cryostat エージェントを自動的に設定できます。この機能を有効にするには、Pod がどの Cryostat インスタンスと連携するかを識別する cryostat.io/name および cryostat.io/namespace ラベルをアプリケーションデプロイメントに追加する必要があります。Cryostat Operator が、アプリケーションに cryostat.io/name および cryostat.io/namespace ラベルがあることを検出すると、Operator はエージェント JAR ファイルを含むボリュームをこのアプリケーションにマウントします。

この自動設定機能の一部として、Cryostat は、作成時に Pod を変更して Cryostat エージェントを注入する mutating admission webhook を使用します。また、webhook は、選択された Cryostat インスタンスに自動的に接続するようにエージェントを設定します。この場合、必要な cryostat.io/name および cryostat.io/namespace ラベルを含む Pod のみが webhook を呼び出すため、任意の Pod での Cryostat エージェントのセットアップが簡素化されます。さらに、Operator は、Cryostat インスタンスのターゲット namespace リスト内にあるアプリケーションデプロイメントでこれらのラベルが指定されている場合にのみ動作します。それ以外の場合は、セキュリティー上の理由から、Operator はアプリケーションがこの Cryostat インスタンスと通信するように設定しません。

webhook は、Cryostat エージェントのコンテナーベースのディストリビューション (cryostat-agent-init) を使用して、選択した Pod へのエージェントの自動設定と注入を行います。webhook が cryostat-agent-init コンテナーイメージを使用するため、ユーザーは Red Hat Maven リポジトリーからエージェント JAR ファイルをダウンロードする必要がなくなります。

Operator によるターゲット namespace の削除の処理

Cryostat エージェントの自動設定の一環として、Cryostat Operator はターゲット namespace やその中のオブジェクトの削除を監視し、それに対応できます。

以下の情報を考慮してください。

クライアント証明書に基づく認証用のエージェントプロキシー

Cryostat エージェントの自動設定の一環として、Cryostat Operator は “エージェントプロキシーコンテナー” も自動的に設定します。このエージェントプロキシーは、認証に自己署名クライアント証明書を必要とし、選択した Cryostat HTTP API エンドポイントへのアクセスを許可する Nginx ベースのリバースプロキシーです。エージェントプロキシーを使用すると、Cryostat エージェントは Cryostat サーバーと通信し、クライアント証明書を使用してクラスター内部トラフィック用の Cryostat の API にアクセスできるため、APIServer トークンを使用する必要がなくなります。

エージェントのホスト名検証を無効にする CR プロパティー

Cryostat エージェントの自動設定の一環として、エージェントホスト名の検証を無効にすることもできます。このオプションは、Cryostat がエージェントのコールバックサーバーに接続しようとしたが、クラスター内の DNS セットアップによりエージェントのホスト名の自動検出が失敗した場合に使用するために、特別に設計されています。

Cryostat 4.0 では、新しい spec.agentOptions.disableHostnameVerification カスタムリソース (CR) プロパティーが追加され、これを true に設定すると、エージェントのホスト名検証を無効化できます。このオプションは、クラスターネットワークの設定方法が原因で Cryostat エージェントの自動ホスト名検出が失敗した場合に、ユーザーにフォールバックメカニズムを提供します。

エージェントポートを設定するための CR プロパティー

Cryostat エージェントの自動設定の一環として、Cryostat エージェントのコールバックサーバーのポート番号が設定可能になりました。アプリケーションでこのポートをすでに使用している場合は、この機能を使用して、エージェントのコールバックサーバーのデフォルトの 9977 ポートをオーバーライドできます。

Cryostat 4.0 では、各ターゲット namespace のコールバックヘッドレスサービスのラベルとアノテーションを指定するために使用できる新しい spec.serviceOptions.agentCallbackConfig CR プロパティーが追加されました。また、アプリケーションデプロイメントで cryostat.io/callback-port ラベルを使用して、エージェントのコールバックサーバーがバインドするコンテナーポートを指定することもできます。

エージェント注入用コンテナーのユーザー選択

Cryostat エージェントの自動設定の一環として、アプリケーションデプロイメントで cryostat.io/container ラベルを使用して、エージェントを注入するコンテナーを指定できます。このラベルを含めると、ミューテーション webhook によって指定されたコンテナーにエージェントが注入されます。このラベルを含めない場合、ミューテーション webhook はデフォルトでエージェントを最初のコンテナーイメージに注入します。

cryostat-agent-init コンテナーイメージのリソース要件のカスタマイズ

Cryostat エージェントの自動設定の一環として、Pod ミューテーション webhook が使用する cryostat-agent-init コンテナーイメージのリソース要件と制限をカスタマイズできます。Cryostat 4.0 では、cryostat-agent-init コンテナーの適切なリソース要件と制限を設定するために使用できる新しい spec.agentOptions.resources CR プロパティーが追加されました。

Cryostat エージェントの書き込み権限のユーザー制御

Cryostat エージェントの自動設定の一部として、注入されたエージェントに特定の Pod に対する書き込みアクセス権を与えるか、読み取り専用アクセス権を与えるかを制御できます。エージェントに読み取り専用アクセス権を付与する場合は、アプリケーションデプロイメントで cryostat.io/read-only ラベルを true に設定します。この機能により、注入されたエージェントのセキュリティーをより詳細に制御できるようになります。

Cryostat エージェントを注入する場合の環境変数の選択

Cryostat エージェントの自動設定の一環として、Cryostat エージェントを注入するための JVM 引数の追加に使用する環境変数のタイプを選択できます。この機能は、JAVA_TOOL_OPTIONS を使用したくないユーザー向けに設計されています。たとえば、Wildfly では MODULE_OPTS などの環境変数を使用することを推奨します。

アプリケーションデプロイメントで cryostat.io/java-options-var ラベルを使用して、使用する環境変数のタイプを指定できます。この機能により、JAVA_TOOL_OPTIONS がアプリケーションで機能しない場合に柔軟性が向上します。

コールバック URL コンポーネントの設定プロパティー

ワイルドカード TLS 証明書の生成をサポートするために、Cryostat エージェントは、Pod IP アドレスだけでなく、Cryostat からもアクセス可能なホスト名を含むコールバック URL を使用します。このような状況では、Cryostat は、アプリケーションデプロイメントの JAVA_OPTS_APPEND 環境変数に追加できる次の設定プロパティーの値に基づいて、ドメイン名検索 (DNS) ルックアップを使用してホスト名を検出します。

これらのプロパティーの詳細は、Agent Properties を参照してください。ログレベルの詳細は、Logging を参照してください。

TLS サーバーのキーストアパスワードがオプションになる

Cryostat 4.0 では、TLS サーバーのセットアップにキーストアのパスワードは不要になりました。キーストアのパスワードがオプションになったため、Cryostat Operator は各ターゲット namespace にシークレットを生成する必要がなくなり、Cryostat エージェントの自動設定が簡素化されます。この機能拡張は、キーストアのパスワードの使用を避けることを推奨する cert-manager のベストプラクティスにも準拠しています。

JFR レコーディング用の PRESET イベントテンプレートタイプ

Cryostat 4.0 では、JDK Flight Recorder (JFR) レコーディング用の PRESET イベントテンプレートタイプが導入され、Cryostat に同梱されている事前にロードされた .jfc ファイルが提供されます。ランタイムに作成または削除できるカスタムイベントテンプレートとは異なり、プリセットイベントテンプレートは読み取り専用であり、エンドユーザーが変更または削除することはできません。プリセットイベントテンプレートの目的は、Cryostat の作成者またはコミュニティーによって提案された JFR イベントテンプレートを提供し、一般的なアプリケーションフレームワークのサポートを可能にすることです。

Quarkus イベントの JFR サポート

Cryostat 4.0 では、ターゲット JVM に登録された Quarkus 固有のフレームワークレベルのイベントに基づいて JFR レコーディングを作成するためのサポートが追加されました。

この機能は、Quarkus イベントのプリセットテンプレートを含む PRESET イベントテンプレートタイプを使用します。プリセットの Quarkus イベントテンプレートを使用して、Quarkus 固有のイベントタイプのみの JFR レコーディングを生成できます。

Hibernate イベントの JFR サポート

Cryostat 4.0 では、ターゲット JVM に登録された Hibernate JFR イベントに基づいて JFR レコーディングを作成するためのサポートが追加されました。

この機能は、Hibernate JFR イベントのプリセットテンプレートを含む PRESET イベントテンプレートタイプを使用します。事前設定された Hibernate イベントテンプレートを使用して、Hibernate 固有のイベントタイプのみの JFR レコーディングを生成できます。

一致式は JFR イベントタイプを評価できる

Cryostat 4.0 以降では、特定のターゲット JVM で使用可能な JFR イベントタイプを評価する一致式を作成できます。一致式コンテキストに jfrEventTypeIds 関数が含まれるようになりました。この関数は、一致式が参照できるコンテキストターゲットオブジェクトを引数として取り、JFR イベントタイプ ID の文字列の配列を返します。

以下に例を示します。

jfrEventTypeIds(target: Target): string[]

この機能を使用すると、フレームワークレベルまたはアプリケーションレベルのイベントを含むプリセットまたはカスタムイベントテンプレートを使用する自動化ルールを定義できます。これらの自動化ルールは、これらのイベントタイプが存在するターゲット JVM でのみアクティブ化されます。

以下に例を示します。

jfrEventTypeIds(target).exists(x, x.startsWith(\"quarkus.\"))

ネットワーク Ingress ポリシーを無効にする CR プロパティー

Cryostat 4.0 以降では、オプションでネットワーク Ingress ポリシーを無効化できます。Cryostat 4.0 では、新たに networkPolicies.coreConfig.disableNetworkPolicyCreation CR プロパティーが追加され、このプロパティーを true に設定することで、これらのネットワークポリシーを無効化できます。

Cryostat 4.0 には、Cryostat 3.0 の機能に基づいて構築された機能拡張が含まれています。

診断とガベージコレクション用のダッシュボードビューの強化

Cryostat Web コンソールのダッシュボードビューに、Start Garbage Collection ボタンを含む Diagnostics カードが追加されました。Start Garbage Collection をクリックすると、診断の目的でターゲット JVM 上で手動ガベージコレクションを実行するように Cryostat に指示できます。

Cryostat データベースとストレージコンテナーが別々にデプロイされる

Cryostat 4.0 以降では、Cryostat データベースコンテナー (cryostat-db) と Cryostat ストレージコンテナー (cryostat-storage) は、それぞれ別の Pod にデプロイされます。データベースとストレージコンテナーを切り離すことで、データベーススキーマのアップグレードが容易になり、Cryostat サーバーの障害やアップグレードによる潜在的なデータ損失を回避するのに役立ちます。この機能拡張により、アプリケーションの起動前に想定される検出ノードやプラグインがデータベースに登録されるようになり、既存のデータベースインスタンス上でアプリケーションをよりクリーンに再起動できるようになります。

Cryostat Helm チャートの機能拡張

Cryostat Helm チャートでは、Helm チャートを使用してインストールした Cryostat インスタンスの OpenShift OAuth 認証とサイドカーレポート生成もサポートされるようになりました。

Cryostat 4.0 リリースでは、既存の機能は削除または廃止されていません。

Cryostat リリースには、以前のバージョンで特定された問題に対する修正が含まれる場合があります。以下の注記には、各問題とその解決策の詳細が記載されています。

Cryostat 4.0.2 で修正された問題

Cryostat 4.0.2 リリースには、依存関係の 1 つに対する重要なセキュリティー更新に加えて、中程度の Cryostat セキュリティー更新が含まれています。これらのセキュリティー更新の詳細は、RHSA-2025:14919 を参照してください。

Cryostat 4.0.1 で修正された問題

Cryostat 4.0.1 リリースでは、次の問題が解決されました。

Cryostat ではカスタムではないターゲットの削除が可能

Cryostat 4.0.1 より前のリリースでは、カスタムターゲット削除エンドポイント (DELETE/api/v4/targets/{id}) によって、検出されたターゲットの削除が誤って許可されていました。

Cryostat 4.0.1 では、カスタムターゲット削除エンドポイントで、対応する POST/api/v4/targets エンドポイントによって作成されたカスタムターゲットの削除のみが許可されるようにすることで、この問題を解決しました。Cryostat に組み込まれている検出メカニズムでは、他のターゲットは削除できません。これらの他のターゲットは、それらを見つけた検出メカニズムによってのみ削除できます。この状況では、削除されるターゲットが Custom Targets レルムのメンバーではない場合、Cryostat は HTTP 400 Bad Request エラーで応答します。

新しく検出されたターゲットに対して自動ルールがアクティブ化されない可能性がある

Cryostat 4.0.1 より前のリリースでは、影響を受ける別のターゲットが接続に失敗した場合、エラー処理の問題により、自動化ルールがターゲットに対してアクティブ化されない可能性がありました。

Cryostat 4.0.1 では、ルールエグゼキューターによって出力されたエラーがルールサービスに返され、エラーが正しく処理されるようになり、この問題は解決しました。

Kubernetes API ターゲット検出が default namespace のエンドポイントの同期に失敗する

Cryostat 4.0.1 より前のリリースでは、ターゲット namespace に targetRef フィールドを持たない Service オブジェクト (default namespace の kubernetes サービスなど) が含まれている場合、Kubernetes API ターゲット検出は正しく機能しませんでした。この状況では、Cryostat は Failed to synchronize Endpoints in namespace default のエラーを返しました。

Cryostat 4.0.1 では、Kubernetes API ターゲット検出が targetRef フィールドを持たない Kubernetes エンドポイントを正しく処理するようにすることで、この問題を解決しました。

Cryostat ストレージコンテナーの起動時に発生する可能性のある障害

cryostat-storage コンテナーでは、少しカスタマイズされた SeaweedFS ストレージソリューションが提供されており、S3 互換のストレージプロバイダーとして機能します。SeaweedFS では、個々のボリュームごとに最大 30 GB のサイズ制限があります。

Cryostat 4.0.1 より前のリリースでは、割り当てられた永続ボリューム要求 (PVC) に使用可能なストレージ容量が 1.4 TB を超えると、cryostat-storage コンテナーの起動に失敗しました。

Cryostat 4.0.1 では、最大許容ボリュームサイズを 30 GB に設定することでこの問題が解決されました。

Liveness および Readiness プローブが原因で Cryostat エージェントが Cryostat に登録されない

Cryostat エージェントの自動設定の一部として、コンポーネントと候補ホスト名のリストから独自のコールバック URL を動的に決定するようにエージェントを設定できます。エージェントが Cryostat サーバーに提供するコールバック URL 内のホスト名を使用する前に、エージェントは組み合わせごとにドメイン名検索 (DNS) 解決を試行してその有効性を確認します。

Cryostat 4.0.1 より前のリリースでは、エージェントがアタッチされているアプリケーションに Liveness プローブまたは Readiness プローブがある場合、OpenShift はプローブが合格するまでコンテナーの DNS を設定しませんでした。この状況では、エージェントの DNS 解決の 1 回の試行が早期に失敗します。これは、Liveness プローブまたは Readiness プローブが設定されたアプリケーションにアタッチされたときに、エージェントが Cryostat に自身を登録できなかったことを意味します。

Cryostat 4.0.1 では、コールバック URI 解決をエージェント起動時の 1 回限りの操作から登録ループ開始時の繰り返し可能な操作に変更することで、この問題を解決しました。現在は、DNS 解決が失敗すると、登録ループは失敗してスケジュールどおりに繰り返されます。この動作の変更は、エージェント (またはそのホスト JVM やコンテナー) が起動シーケンスの早い段階で独自の DNS アドレスを解決できない場合に、登録の失敗を回避するために役立ちます。

HTTP 経由のエージェントクエリーでは、JMX クエリー結果に表示される JFR レコーディングは表示されません。

Cryostat 4.0.1 より前のリリースでは、Cryostat エージェントのシャットダウン時に Null Pointer Exception エラーが発生することがありました。このエラーが原因で、JFR レコーディングスナップショットを Cryostat サーバーにプッシュするために使用されるエージェントハーベスターシステムでアップロードエラーが発生した可能性があります。この問題により、エージェントによって報告される JFR レコーディングのリストと、同じ Cryostat インスタンスの JMX クエリーによって返される JFR レコーディングのリストとの間に不整合が生じる可能性があります。

Cryostat 4.0.1 では、エージェントが開始する JFR レコーディングを、利用可能なレコーディングのクエリー結果のリストに含めることで、この問題を解決しました。現在は、Cryostat Web コンソールで Cryostat エージェントに関連付けられたターゲット JVM を表示すると、エージェントがハーベスターシステムを通じて開始したレコーディングが Active Recordings テーブルに正しく表示されます。

エージェントログは、デフォルトで stdout ではなく stderr に出力されます。

Cryostat 4.0.1 より前のリリースでは、Cryostat エージェントはデフォルトでログメッセージを標準エラー (stderr) に出力していました。このような状況では、エージェントのログメッセージによって、stderr 上のメッセージを監視してアラートをトリガーする外部の監視および可観測性ツールもトリガーされていることがありました。

Cryostat 4.0.1 では、Cryostat エージェントがデフォルトでログメッセージを標準出力 (stdout) に出力するようにすることで、この問題を解決しました。

Cryostat がレポート生成をサイドカーコンテナーに正しく委譲しない

Cryostat 4.0.1 より前のリリースでは、自動レポート分析用に 1 つ以上のサイドカーコンテナーをデプロイするようにカスタムリソース (CR) を設定した場合、Cryostat はレポート生成をこれらのサイドカーコンテナーに委譲しませんでした。代わりに、メインの Cryostat コンテナーがレポート生成自体を処理しましたが、これは予期しない動作であり、パフォーマンスの問題を引き起こす可能性がありました。

Cryostat 4.0.1 では、Cryostat Operator が正しい環境変数を設定して、レプリカサイドカーコンテナーのサービス URL を Cryostat に通知するようにすることで、この問題を解決しました。

エージェントのロギングレベルが原因でアプリケーションログに潜在的な問題が発生する

Cryostat 4.0.1 より前のリリースでは、Cryostat エージェントのデフォルトのログレベルにより、エージェントログがホストアプリケーションのログメッセージと混同される可能性がありました。これらのエージェントログはその後、警告またはエラーレベルのメッセージをチェックする他のアラートシステムをトリガーする可能性があります。

Cryostat 4.0.1 では、Cryostat エージェントロギングをデフォルトで無効にすることで、この問題を解決しました。Cryostat には、エージェントの適切なろリングレベルを設定するために使用できる log-level ラベルも含まれるようになりました。これは、エージェント設定のトラブルシューティングやデバッグに役立つ可能性があります。Cryostat Operator によるエージェントの自動設定を有効にする場合、アプリケーションのデプロイメントに log-level ラベルを追加して、Operator にエージェントログの指定されたレベルを設定するように指示することができます。

cert-manager が TLS 証明書を更新すると、Cryostat デプロイメントは機能しなくなります。

TLS 証明書の有効期限が近づくと、cert-manager はそれを自動的に更新します。

Cryostat 4.0.1 より前のリリースでは、Cryostat Operator は証明書の有効期限切れを検出せず、Operator は壊れた証明書チェーンでのデプロイメント実行の継続を許可していました。

Cryostat 4.0.1 では、証明書の更新を Cryostat Operator が検出することで、この問題を解決しました。このような状況では、Operator は TLS 証明書を更新し、コンポーネントを再デプロイします。

MBean メトリクスダッシュボードカードが正しく更新されないことがある

Cryostat 4.0.1 より前のリリースでは、Cryostat Web コンソールのダッシュボードビューで、MBean メトリクスチャートのダッシュボードカードが正しく更新されないことがありました。さらに、Cryostat Web コンソールプラグインインターフェイスと特定の Cryostat インスタンスの Web コンソールインターフェイス間で、同じターゲット JVM の MBean メトリクスチャートデータが一致しないことがありました。

Cryostat 4.0.1 では、MBean メトリクスチャートデータが常に正しく更新されるようにすることで、この問題を解決しました。

Cryostat 接続障害により Cryostat Web コンソールプラグインがシャットダウンする

TLS 証明書の有効期限が近づくと、cert-manager はそれを自動的に更新します。

Cryostat 4.0.1 より前のリリースでは、Cryostat Web コンソールプラグインが Cryostat に正常に接続できない場合、Web コンソールプラグインがシャットダウンし、OpenShift によって再起動する必要がありました。この問題は、たとえば、接続を受け入れる準備ができていない Cryostat インスタンスで Cryostat Web コンソールプラグインを使用しようとした場合に発生する可能性がありました。

Cryostat 4.0.1 では、Cryostat Web コンソールプラグインがアクティブ状態を保ち、Cryostat に接続できない場合でも失敗しないようにすることで、この問題を解決しました。

Cryostat のリリースには、Red Hat が認識し、後の製品開発段階で修正される可能性がある問題が含まれている場合があります。それぞれの既知の問題の説明と、考えられる回避策を確認してください。

Cryostat エージェントの手動設定が正しく機能しない

ARM64 アーキテクチャーでは Red Hat Insights のインテグレーションはサポートされない

Cryostat エージェントは cert-manager インテグレーションなしでは動作しない

FIPS モードでは暗号化機能が正しく動作しない

グラフモードでは Topology ビューの項目が重なることがある

Cryostat Web コンソールプラグインのビュー間のリンク時に選択内容が事前に入力されない

Cryostat Web コンソールからの自動ルールのアップロードが HTTP 415 エラーで失敗する

Cryostat 4.0 リリースに含まれるバグ修正と CVE 修正を文書化するために、次のアドバイザリーが発行されました。

改訂日時: 2025-09-03