1.8. 확인된 문제

OpenShift Container Platform 4.1에서는 익명 사용자가 검색 엔드 포인트에 액세스할 수 있었습니다. 이후 릴리스에서는 일부 검색 끝점이 통합된 API 서버로 전달되기 때문에 보안 악용에 대한 가능성을 줄이기 위해 이 액세스를 취소했습니다. 그러나 인증되지 않은 액세스는 기존 사용 사례가 손상되지 않도록 업그레이드된 클러스터에 보존됩니다.

OpenShift Container Platform 4.1에서 4.13으로 업그레이드된 클러스터의 클러스터 관리자인 경우 인증되지 않은 액세스를 취소하거나 계속 허용할 수 있습니다. 인증되지 않은 액세스가 필요하지 않은 경우 해당 액세스를 취소해야 합니다. 인증되지 않은 액세스를 계속 허용하는 경우 이에 따라 보안 위험이 증가될 수 있다는 점에 유의하십시오.

다음 스크립트를 사용하여 감지 끝점에 대한 인증되지 않은 액세스를 취소하십시오.

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

이 스크립트는 인증되지 않은 주제를 다음 클러스터 역할 바인딩에서 제거합니다.

(BZ#1821771)

Git 리포지토리를 추가하고 GitLab 및 Bitbucket pipeline-as-code 리포지토리로 구성하면 잘못된 리포지토리 리소스가 생성됩니다. 결과적으로 GitLab 및 Bitbucket 공급자에 대해 spec.git_provider.url Git 공급자 URL이 제거됩니다.

해결방법: Bitbucket에 대한 필수 spec.git_provider.user 필드를 추가합니다. 또한 Git 액세스 토큰 또는 Git 액세스 토큰 시크릿 을 선택하여 Git 리포지토리를 계속 추가합니다. (OCPBUGS-7036)

인터페이스별 안전한 sysctl을 업데이트하는 데몬 세트의 YAML 정의에서 잘못된 우선순위 클래스 이름과 구문 오류로 인해 openshift-multus 네임스페이스에서 cni-sysctl-allowlist 구성 맵을 사용하여 인터페이스의 안전한 sysctl 목록을 수정하지 않습니다.

해결방법: 데몬 세트를 수동으로 또는 사용하여 이 문제를 해결하기 위해 노드의 /etc/cni/tuning/allowlist.conf 파일을 수정합니다. (OCPBUGS-11046)

CSI 드라이버를 사용할 때 vSphere 플랫폼에 일부 OpenShift Container Platform 설치에서는 시작 중에 vCenter에서 노드에 대한 정보를 검색하지 못하여 CSI 드라이버가 재시도하지 않기 때문에 vSphere CSI 드라이버가 제대로 작동하지 않을 수 있습니다.

해결방법: SSH를 사용하여 vsphere-syncer 프로세스의 현재 리더인 노드에 연결하고 vsphere-syncer 컨테이너를 다시 시작하여 ( crictl 사용) 이 문제를 완화하고 드라이버가 성공적으로 발생할 수 있습니다. (OCPBUGS-13385)

OpenShift Container Platform 4.13으로 업그레이드할 때 openvswitch2.15 가 설치된 OpenShift Container Platform 4.12 클러스터에서 실행 중인 RHEL(Red Hat Enterprise Linux) 작업자는 실패합니다. upgrade.yml Playbook은 openvswitch2.17-2.17.0-88.el8fdp86_64와 openvswitch2.15-2.15.0-136.el8fdp.x86_64 오류 메시지와 함께 실패합니다.

이 문제를 해결하려면 OpenShift Container Platform 4.13으로 업데이트하기 전에 openvswitch2.15 패키지를 수동으로 제거하고 openvswitch2.17 패키지를 설치합니다. 그런 다음 upgrade.yml 플레이북을 실행하여 RHEL 작업자를 업데이트하고 업데이트 프로세스를 완료합니다. (OCPBUGS-11677)

OpenShift Container Platform 4.12에서 4.13으로 업데이트하는 경우 Mellanox NIC는 ens7f0 과 같은 SR-IOV 네트워크 노드 정책의 이름을 ens7f0np0 로 변경합니다. 이 이름은 RHEL 9 커널 업데이트로 인해 발생합니다. 결과적으로 인터페이스를 찾을 수 없기 때문에 VF(가상 기능)를 생성할 수 없습니다. SR-IOV 네트워크 노드 정책에서 이 변경 사항을 고려해야 합니다. 예를 들어, policy에서 ens7f0 이 참조되는 경우 업데이트하기 전에 ens7f0np0 을 정책에 추가합니다.

이 문제를 해결하려면 OpenShift Container Platform 4.13으로 업데이트하기 전에 SriovNetworkNodePolicy CR(사용자 정의 리소스)을 수동으로 편집하여 ens7f0np0 을 추가해야 합니다. (OCPBUGS-13186) 다음 코드는 호환성을 보장하기 위해 SriovNetworkNodePolicy 에 추가되는 두 이름과 정책 업데이트의 예를 제공합니다.

  # ...
  deviceType: netdevice
  nicSelector:
    deviceID: “101d”
    pfNames:
      - ens7f0
      - ens7f0np0
    vendor: ‘15b3’
  nodeSelector:
    feature.node.kubernetes.io/sriov-capable: ‘true’
  numVfs: 4
 # ...

PTP 경계 클럭(T-BC) 및 배포된 DU 애플리케이션으로 구성된 클러스터에서는 최대 40초 동안 vDU 호스트의 후속 인터페이스에서 메시지가 간헐적으로 전송되지 않습니다. 로그의 오류 비율은 다를 수 있습니다. 오류 로그 예는 다음과 같습니다.

2023-01-15T19:26:33.017221334+00:00 stdout F phc2sys[359186.957]: [ptp4l.0.config] nothing to synchronize

(RHELPLAN-145492)

GitOps ZTP를 사용하여 단일 노드 OpenShift 클러스터를 설치하고 HTTP 전송으로 PTP 및 베어 메탈 이벤트를 구성하면 linuxptp-daemon 데몬 Pod를 간헐적으로 배포하지 못합니다. 필수 PersistentVolumeClaim (PVC) 리소스는 생성되지만 Pod에 마운트되지 않습니다. 다음과 같은 볼륨 마운트 오류가 보고됩니다.

mount: /var/lib/kubelet/plugins/kubernetes.io/local-volume/mounts/local-pv-bc42d358: mount(2) system call failed: Structure needs cleaning.

이 문제를 해결하려면 cloud-event-proxy-store-storage-class-http-events PVC CR을 삭제하고 PTP Operator를 다시 배포합니다. (OCPBUGS-12358)

site Config CR에서 보안 부팅이 활성화된 단일 노드 OpenShift 관리 클러스터의ZTP(ZTP) 프로비저닝 중에 호스트 프로비저닝 중에 BareMetalHost CR에 대해 여러 ProvisioningError 오류가 보고됩니다. 이 오류는 BMC(Baseboard Management Controller)에 보안 부팅 설정이 성공적으로 적용되었지만 BareMetalHost CR을 적용한 후에는 호스트의 전원이 켜지지 않음을 나타냅니다. 이 문제를 해결하려면 다음 단계를 수행하십시오.

(OCPBUGS-8434)

DPDK의 CPU 로드 밸런싱 비활성화에 설명된 짧은 대기 시간 튜닝과 관련된 cpu-load-balancing.crio.io: "disable" 주석은 워크로드 파티셔닝이 구성되지 않은 시스템에서 작동하지 않습니다. 보다 구체적으로, 이는 인프라가 cpu 10.0.0.1ingMode 를 워크로드 파티셔닝 에 설명된 대로 AllNodes 값으로 설정하지 않는 클러스터에 영향을 미칩니다.

이는 이러한 클러스터의 실현 가능한 대기 시간에 영향을 미치며 대기 시간이 짧은 워크로드가 올바르게 작동하지 않을 수 있습니다. (OCPBUGS-13163)

컨트롤 플레인 노드에 예약된 Azure File NFS 볼륨을 사용하여 Pod를 생성하면 마운트가 거부됩니다. (OCPBUGS-18581)

이 문제를 해결하려면 컨트롤 플레인 노드를 예약할 수 있고 작업자 노드에서 Pod를 실행할 수 있는 경우 nodeSelector 또는 Affinity를 사용하여 작업자 노드에서 Pod를 예약합니다.

노드 테인트를 제거하지 못하여 vSphere의 에이전트 기반 설치가 실패하여 설치가 보류 중 상태가 됩니다. 단일 노드 OpenShift 클러스터는 영향을 받지 않습니다. 다음 명령을 실행하여 노드 테인트를 수동으로 삭제하여 이 문제를 해결할 수 있습니다.

$ oc adm taint nodes <node_name> node.cloudprovider.kubernetes.io/uninitialized:NoSchedule-

(OCPBUGS-20049)