1.9. 확인된 문제

OpenShift Container Platform 4.1에서는 익명 사용자가 검색 엔드 포인트에 액세스할 수 있었습니다. 이후 릴리스에서는 일부 검색 끝점이 통합된 API 서버로 전달되기 때문에 보안 악용에 대한 가능성을 줄이기 위해 이 액세스를 취소했습니다. 그러나 인증되지 않은 액세스는 기존 사용 사례가 손상되지 않도록 업그레이드된 클러스터에 보존됩니다.

OpenShift Container Platform 4.1에서 4.8로 업그레이드된 클러스터의 클러스터 관리자인 경우 인증되지 않은 액세스를 취소하거나 계속 허용할 수 있습니다. 특별히 필요한 경우가 아니면 인증되지 않은 액세스를 취소하는 것이 좋습니다. 인증되지 않은 액세스를 계속 허용하는 경우 이에 따라 보안 위험이 증가될 수 있다는 점에 유의하십시오.

다음 스크립트를 사용하여 감지 끝점에 대한 인증되지 않은 액세스를 취소하십시오.

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

이 스크립트는 인증되지 않은 주제를 다음 클러스터 역할 바인딩에서 제거합니다.

(BZ#1821771)

사용자 프로비저닝 인프라를 사용하여 vSphere의 가상 머신의 전원을 켜는 경우 노드를 확장하는 프로세스가 예상대로 작동하지 않을 수 있습니다. 하이퍼바이저 구성에서 알려진 문제로 인해 시스템이 하이퍼바이저 내에 생성되지만 전원이 켜지지 않습니다. 머신 세트를 확장한 후 노드가 Provisioning 상태에 있는 것으로 표시되면 vSphere 인스턴스 자체에서 가상 머신의 상태를 조사할 수 있습니다. VMware 명령 govc tasks 및 govc events 이벤트를 사용하여 가상 시스템의 상태를 확인합니다. 다음과 유사한 오류 메시지가 있는지 확인합니다.

Invalid memory setting: memory reservation (sched.mem.min) should be equal to memsize(8192).

이 VMware KBase 문서의 지침에 따라 문제를 해결할 수 있습니다. 자세한 내용은 Red Hat Knowledgebase 솔루션 [UPI vSphere] 노드 확장이 예상대로 작동하지 않음을 참조하십시오. (BZ#1918383)

ArgoCD Operator를 등록하고 ArgoCD 및 AppProject가 시작되면 이미지가 더 제한적인 OpenShift Container Platform 환경에서 작동하지 않기 때문에 guestbook이라는 예제 애플리케이션을 시작할 수 없습니다. 임시 해결 방법으로 다음 예제를 배포하여 ArgoCD Operator가 제대로 작동하는지 확인할 수 있습니다.

PROJ=younamespace
cat > $PROJ-app.yaml <<EOF
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: simple-restricted-webserver
  namespace: $PROJ
spec:
  destination:
    namespace: $PROJ
    server: https://kubernetes.default.svc
  project: default
  source:
    path: basic-nginx
    repoURL: 'https://github.com/opdev/argocd-example-restricted-apps.git'
    targetRevision: HEAD
EOF
oc create -f $PROJ-app.yaml

자세한 내용은 BZ#1812212을 참조하십시오.

pathType을 사용하는 경우 Ingress를 사용하여 패스스루 경로를 생성할 수 없습니다. prefix. 대신 pathType을 ImplementationSpecific으로 설정하고 path를 ''로 설정하여 패스스루 경로를 생성할 수 있습니다.

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress7
  namespace: test-ingress
  annotations:
    route.openshift.io/termination: passthrough
spec:
  rules:
  - host: <ingress-psql-example-test-ingress.apps>
    http:
      paths:
      - path: ''
        pathType: ImplementationSpecific
        backend:
          service:
            name: <ingress-psql-example>
            port:
              number: 8080

자세한 내용은 BZ#1878685을 참조하십시오.

OpenShift Container Platform 4.8 이전에는 기본 로드 밸런싱 알고리즘이 최소conn 이었습니다. 비 패스스루 경로의 OpenShift Container Platform 4.8.0에서 기본값이 임의로 변경되었습니다. 임의로 스위칭하면 해당 환경에서 메모리 사용량이 크게 증가하므로 장기 실행 웹 소켓 연결을 사용해야 하는 환경과 호환되지 않습니다. 이 중요한 메모리 사용을 완화하기 위해 기본 로드 밸런싱 알고리즘이 OpenShift Container Platform 4.8에서 leastconn 으로 되돌아갔습니다. 메모리 사용량이 많지 않은 솔루션이 있으면 향후 OpenShift Container Platform 릴리스에서 기본값이 임의로 변경됩니다.

다음 명령을 입력하여 기본 설정을 확인할 수 있습니다.

$ oc get deployment -n openshift-ingress router-default -o yaml | grep -A 2 ROUTER_LOAD_BALANCE_ALGORITHM
        - name: ROUTER_LOAD_BALANCE_ALGORITHM
          value: leastconn

random 옵션은 계속 사용할 수 있습니다. 그러나 이 알고리즘 선택으로 이점을 얻는 경로는 다음 명령을 입력하여 경로별로 주석에서 해당 옵션을 명시적으로 설정해야 합니다.

$ oc annotate -n <NAMESPACE> route/<ROUTE-NAME> "haproxy.router.openshift.io/balance=random"

(BZ#2017708)

4.7 OpenShift Container Platform 클러스터에서 4.8로 업그레이드한 후 OpenShift Container Platform 노드의 보조 NIC(네트워크 인터페이스 컨트롤러)를 통해 내부 네트워크에서 외부 네트워크 Pod로의 라우팅 경로가 기본적으로 비활성화됩니다. 이는 4.8부터 시작하는 OVN(Open Virtual Network) 설계에서 공유 게이트웨이가 기본 게이트웨이 모드이기 때문입니다. 해당 라우팅 경로가 필요한 경우 업그레이드 전이나 후에 해결 방법으로 openshift-network-operator 네임스페이스에 gateway-mode-config 구성 맵을 생성하여 OVN Gateway 모드를 로컬로 강제 적용합니다.

다음 명령을 입력하여 openshift-network-operator 네임스페이스에 gateway-mode-config 를 생성합니다.

$ cat localGW.yml

apiVersion: v1
kind: ConfigMap
metadata:
    name: gateway-mode-config
    namespace: openshift-network-operator
data:
    mode: "local"
immutable: true

$ oc apply -f localGW.yml

configmap/gateway-mode-config created

추가 지침은 (KCS) 및 (BZ#2089389)를 참조하십시오. 이 설정은 향후 릴리스에서 더 자세히 다룹니다.