1.8. 확인된 문제

OpenShift Container Platform 4.1에서는 익명 사용자가 검색 엔드 포인트에 액세스할 수 있었습니다. 이후 릴리스에서는 일부 검색 끝점이 통합된 API 서버로 전달되기 때문에 보안 악용에 대한 가능성을 줄이기 위해 이 액세스를 취소했습니다. 그러나 인증되지 않은 액세스는 기존 사용 사례가 손상되지 않도록 업그레이드된 클러스터에 보존됩니다.

OpenShift Container Platform 4.1에서 4.11로 업그레이드된 클러스터의 클러스터 관리자인 경우 인증되지 않은 액세스를 취소하거나 계속 허용할 수 있습니다. 인증되지 않은 액세스가 필요하지 않은 경우 해당 액세스를 취소해야 합니다. 인증되지 않은 액세스를 계속 허용하는 경우 이에 따라 보안 위험이 증가될 수 있다는 점에 유의하십시오.

다음 스크립트를 사용하여 감지 끝점에 대한 인증되지 않은 액세스를 취소하십시오.

for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

이 스크립트는 인증되지 않은 주제를 다음 클러스터 역할 바인딩에서 제거합니다.

(BZ#1821771)

OpenShift Container Platform 4.11에서 MetalLB Operator 범위가 네임스페이스에서 클러스터로 변경되었으며 이로 인해 이전 버전에서 업그레이드가 실패했습니다.

이 문제를 해결하려면 이전 버전의 MetalLB Operator를 제거하십시오. MetalLB 사용자 정의 리소스의 네임스페이스 또는 인스턴스를 삭제하지 말고 새 Operator 버전을 배포합니다. 이렇게 하면 MetalLB가 실행되고 구성됩니다.

자세한 내용은 MetalLB Operator 업그레이드를 참조하십시오. (BZ#2100180)

베어 메탈 IBM Power에서 OpenShift Container Platform을 실행할 때 Petitboot 부트로더가 일부 RHCOS 라이브 이미지의 부팅 구성을 채울 수 없는 알려진 문제가 있습니다. 이러한 경우 PXE로 노드를 부팅하여 RHCOS를 설치하면 예상되는 라이브 이미지 디스크 구성이 표시되지 않을 수 있습니다.

이 문제를 해결하려면 Petitboot 쉘에서 kexec를 사용하여 수동으로 부팅할 수 있습니다.

라이브 이미지를 보유한 디스크를 확인합니다(이 예제에서는 nvme0n1p3)를 실행하고 다음 명령을 실행합니다.

cd /var/petitboot/mnt/dev/nvme0n1p3/ostree/rhcos-*/
kexec -l vmlinuz-*.ppc64le -i initramfs-*.img -c "ignition.firstboot rd.neednet=1 ip=dhcp $(grep options /var/petitboot/mnt/dev/nvme0n1p3/loader/entries/ostree-1-rhcos.conf | sed 's,^options ,,')" && kexec -e

# cd /var/petitboot/mnt/dev/nvme0n1p3/ostree/rhcos-*/
# kexec -l vmlinuz-*.ppc64le -i initramfs-*.img -c "ignition.firstboot rd.neednet=1 ip=dhcp $(grep options /var/petitboot/mnt/dev/nvme0n1p3/loader/entries/ostree-1-rhcos.conf | sed 's,^options ,,')" && kexec -e

(BZ#2107674)

OpenShift 샌드박스 컨테이너가 있는 경우 클러스터를 업그레이드할 때 MCO(Machine Config Operator) Pod가 CrashLoopBackOff 상태로 변경되고 Pod의 openshift.io/scc 주석이 기본 hostmount-anyuid 값 대신 sandboxed-containers-operator-scc 가 표시되는 문제가 발생할 수 있습니다.

이 경우, sandboxed-containers-operator-scc SCC의 seLinuxOptions 전략을 덜 제한적인 RunAsAny 로 일시적으로 변경하여 허용 프로세스가 hostmount-anyuid SCC보다 우선하지 않도록 합니다.

(KATA-1373)