1.8. 확인된 문제

OpenShift Container Platform 4.1에서는 익명 사용자가 검색 엔드 포인트에 액세스할 수 있었습니다. 이후 릴리스에서는 일부 검색 끝점이 통합된 API 서버로 전달되기 때문에 보안 악용에 대한 가능성을 줄이기 위해 이 액세스를 취소했습니다. 그러나 인증되지 않은 액세스는 기존 사용 사례가 손상되지 않도록 업그레이드된 클러스터에 보존됩니다.

OpenShift Container Platform 4.1에서 4.10으로 업그레이드된 클러스터의 클러스터 관리자인 경우 인증되지 않은 액세스를 취소하거나 계속 허용할 수 있습니다. 특별히 필요한 경우가 아니면 인증되지 않은 액세스를 취소하는 것이 좋습니다. 인증되지 않은 액세스를 계속 허용하는 경우 이에 따라 보안 위험이 증가될 수 있다는 점에 유의하십시오.

다음 스크립트를 사용하여 감지 끝점에 대한 인증되지 않은 액세스를 취소하십시오.

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

이 스크립트는 인증되지 않은 주제를 다음 클러스터 역할 바인딩에서 제거합니다.

(BZ#1821771)

OpenShift Container Platform 4.10으로 업그레이드할 때 Cluster Version Operator는 사전 조건 검사에 실패하는 동안 약 5분 동안 업그레이드를 차단합니다. It may not be safe to apply this update라는 오류 텍스트는 잘못된 것일 수 있습니다. 이 오류는 하나 또는 여러 개의 사전 조건 검사에 실패할 때 발생합니다. 경우에 따라 이러한 사전 조건 검사는 예를 들어 etcd 백업 중에 단기간 동안만 실패할 수 있습니다. 이러한 경우 Cluster Version Operator 및 해당 Operator는 설계에 따라 실패한 사전 조건 검사를 자동으로 해결하며 CVO가 업그레이드를 성공적으로 시작합니다.

사용자는 클러스터 Operator의 상태 및 조건을 확인해야 합니다. Cluster Version Operator에서 It may not be safe to apply this update 오류가 표시되는 경우 이러한 상태 및 조건이 메시지의 심각도에 대한 자세한 정보를 제공합니다. 자세한 내용은 BZ#1999777, BZ#2061444, BZ#2006611 을 참조하십시오.

이 릴리스에는 Jenkins에서 알려진 문제가 포함되어 있습니다. OpenShift OAuth 경로의 호스트 이름과 인증서를 사용자 지정해도 Jenkins에서 더 이상 OAuth 서버 엔드포인트를 신뢰하지 않습니다. 결과적으로 OpenShift OAuth 통합을 사용하여 ID 및 액세스를 관리하는 경우 Jenkins 콘솔에 로그인할 수 없습니다.

해결방법: Red Hat 지식 기반 솔루션을 확인하고 사용자 지정 OAuth 서버 URL을 사용하여 OpenShift에 Jenkins를 배포합니다. (BZ#1991448)

이 릴리스에는 Jenkins에서 알려진 문제가 포함되어 있습니다. XML 파일의 유효성을 검사하거나 쿼리하는 데 필요한xmlstarlet 명령줄 툴킷이 이 RHEL 기반 이미지에서 누락되어 있습니다. 이 문제는 인증에 OpenShift OAuth를 사용하지 않는 배포에 영향을 미칩니다. OpenShift OAuth는 기본적으로 활성화되어 있지만 사용자는 이를 비활성화할 수 있습니다.

해결방법: 인증에 OpenShift OAuth를 사용합니다. (BZ#2055653)