1.6. 버그 수정

이전에는 CVO(Cluster Version Operator)에서 SecurityContextConstraints 리소스를 예상대로 조정하지 않았습니다. CVO는 이제 SecurityContextConstraints 리소스를 릴리스 이미지에 정의된 상태로 적절하게 조정하여 지원되지 않는 수정 사항을 되돌립니다.

이전 OpenShift Container Platform 버전에서 업그레이드하고 수정된 시스템 SecurityContextConstraints 리소스에 따라 워크로드를 운영하는 사용자는 기술 자료 문서 의 절차에 따라 시스템이 수정된 시스템 SecurityContextConstraint 리소스 없이 워크로드를 실행할 수 있도록 해야 합니다. (OCPBUGS-19465)

설치 중에 클러스터 상태가 installing-pending-user-action 인 경우 상태가 확인될 때까지 설치가 완료되지 않습니다. 이전 버전에서는 openshift-install 에이전트 wait-for bootstrap-complete 명령을 실행한 경우 이 상태를 유발한 문제를 해결하는 방법이 표시되지 않았습니다. 이번 업데이트를 통해 명령 출력은 문제를 해결하기 위해 수행해야 하는 작업을 나타내는 메시지를 제공합니다. (OCPBUGS-4998)

예를 들어 잘못된 부팅 디스크를 사용하는 경우 wait-for 출력이 다음과 같습니다.

"level=info msg=Cluster has hosts requiring user input
level=debug msg=Host master-1 Expected the host to boot from disk, but it booted the installation image - please reboot and fix boot order to boot from disk QEMU_HARDDISK drive-scsi0-0-0-0 (sda, /dev/disk/by-path/pci-0000:03:00.0-scsi-0:0:0:0)
level=debug msg=Host master-2 Expected the host to boot from disk, but it booted the installation image - please reboot and fix boot order to boot from disk QEMU_HARDDISK drive-scsi0-0-0-0 (sda, /dev/disk/by-path/pci-0000:03:00.0-scsi-0:0:0:0)
level=info msg=cluster has stopped installing... working to recover installation"

이전 버전에서는 클라이언트 상호 TLS(mTLS)가 수신 컨트롤러에 구성되고 CA 번들의 CA(인증 기관) 인증서에서 다운로드해야 하는 1MB 이상의 인증서 취소 목록(CRL)이 필요한 경우 크기 제한으로 인해 CRL 구성 맵을 업데이트할 수 없었습니다. CRL이 누락되어 있기 때문에 유효한 클라이언트 인증서 연결이 거부되었을 수 있습니다. unknown ca.

이번 업데이트를 통해 CRL은 더 이상 구성 맵에 배치되지 않으며 라우터는 이제 CRL을 직접 다운로드합니다. 결과적으로 각 Ingress 컨트롤러의 CRL 구성 맵이 더 이상 존재하지 않습니다. 이제 CRL이 직접 다운로드되고 유효한 클라이언트 인증서와의 연결이 더 이상 거부되지 않습니다. (OCPBUGS-6661)

이전 버전에서는 OpenShift Container Platform의 지정된 버퍼 크기가 512바이트보다 큰 UDP 응답을 제공하는 호환 불가능한 업스트림 DNS 서버가 CoreDNS에서 오버플로 오류가 발생했습니다. 결과적으로 DNS 쿼리에 대한 응답을 제공하지 않았습니다.

이번 업데이트를 통해 dnses.operator.openshift.io CR(사용자 정의 리소스)의 protocolStrategy 필드를 TCP 로 구성할 수 있습니다. 이 필드를 TCP 로 설정하면 CoreDNS는 업스트림 요청에 TCP 프로토콜을 사용하고 호환되지 않는 업스트림 DNS 서버와 UDP 오버플로 문제를 해결합니다. (OCPBUGS-6829)

이전 버전에서는 클러스터 관리자가 NoExecute 효과가 있는 테인트를 사용하여 인프라 노드를 구성한 경우 Ingress Operator의 카나리아 Pod가 이러한 인프라 노드에 예약되지 않았습니다. 잠시 후 DaemonSet 구성이 재정의되고 인프라 노드에서 Pod가 종료됩니다.

이번 릴리스에서는 Ingress Operator에서 NoExecute 효과를 지정하는 node-role.kubernetes.io/infra 노드 테인트를 허용하도록 카나리아 DaemonSet을 구성합니다. 결과적으로 지정된 효과에 관계없이 카나리아 Pod가 인프라 노드에 예약됩니다. (OCPBUGS-9274)

이전 버전에서는 클라이언트 상호 TLS(mTLS)가 수신 컨트롤러에 구성된 경우 클라이언트 인증 기관(CA) 인증서 중 하나에 다른 CA에서 발행한 CRL에 대한 인증서 취소 목록(CRL) 배포 포인트가 포함되어 있고 CRL이 만료되면 배포 CA와 발행 CA 간의 불일치로 인해 잘못된 CRL이 다운로드되었습니다. 결과적으로 CRL 번들이 잘못 다운로드된 CRL의 추가 사본을 포함하도록 업데이트되었으며 업데이트해야 하는 CRL이 누락되었습니다. CRL이 누락되어 있기 때문에 유효한 클라이언트 인증서 연결이 거부되었을 수 있습니다. unknown ca.

이번 업데이트를 통해 다운로드한 CRL은 이제 이를 배포하는 CA에서 추적할 수 있습니다. CRL이 만료되면 배포 CA의 CRL 배포 지점이 업데이트된 CRL을 다운로드하는 데 사용됩니다. 결과적으로 유효한 클라이언트 인증서가 더 이상 거부되지 않습니다. (OCPBUGS-9464)

이전 버전에서는 게이트웨이 API 게이트웨이에 DNS를 구성할 때 리스너가 클러스터의 기본 도메인 외부에 있는 도메인으로 호스트 이름을 지정하더라도 Ingress Operator에서 게이트웨이 리스너에 대한 DNS 레코드를 생성하려고 했습니다. 결과적으로 Ingress Operator는 DNS 레코드를 게시하려고 시도했지만 실패했으며 다음 오류를 반환했습니다. DNS 레코드를 영역에 게시하지 못했습니다.

이번 업데이트를 통해 게이트웨이 리스너에 대한 DNSRecord CR(사용자 정의 리소스)을 생성할 때 이제 도메인이 클러스터 의 기본 도메인 외부에 있는 경우 Ingress Operator에서 DNSRecord 의 DNS 관리 정책을 Unmanaged 로 설정합니다. 결과적으로 Ingress Operator는 더 이상 레코드를 게시하지 않고 더 이상 DNS 레코드를 영역 오류에 게시하지 못했습니다. (OCPBUGS-10875)

이전에는 Cluster Network Operator 컨트롤러에서 필요한 것보다 광범위한 리소스 세트를 모니터링하여 조정기가 너무 자주 트리거되었습니다. 결과적으로 Cluster Network Operator와 kube-apiserver 둘 다에 대한 로드가 증가했습니다.

이번 업데이트를 통해 CNO(Cluster Network Operator) 허용 목록 컨트롤러는 cni-sysctl-allowlist 구성 맵에서 변경 사항을 모니터링합니다. 결과적으로 구성 맵이 변경될 때 트리거되지 않고 허용 목록 컨트롤러 조정기는 cni-sysctl-allowlist 구성 맵 또는 default-cni-sysctl-allowlist 구성 맵을 변경한 경우에만 트리거됩니다. 결과적으로 Cluter Network Operator API 요청 및 구성 맵 요청이 줄어듭니다. (OCPBUGS-11565)

이전 버전에서는 태그와 다이제스트가 모두 있는 컨테이너 이미지 참조가 oc-mirror 플러그인에서 올바르게 해석되지 않아 다음 오류가 발생했습니다.

"localhost:6000/cp/cpd/postgresql:13.7@sha256" is not a valid image reference: invalid reference format

이 동작이 수정되었으며 이제 참조가 수락되고 올바르게 미러링됩니다. (OCPBUGS-11840)