1.8. 已知问题

在 OpenShift Container Platform 4.1 中，匿名用户可以访问发现端点。之后的版本会取消对这端点的访问，以减少可能的安全漏洞攻击面。一些发现端点被转发到聚合的 API 服务器。但是，升级的集群中会保留未经身份验证的访问，因此现有用例不会中断。

如果您是一个从 OpenShift Container Platform 4.1 升级到 4.10 的集群的集群管理员，您可以撤销或继续允许未经身份验证的访问。建议取消未经身份验证的访问，除非有特殊需要。如果您继续允许未经身份验证的访问，请注意相关的风险。

使用以下脚本撤销对发现端点的未经身份验证的访问：

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

此脚本从以下集群角色绑定中删除未经身份验证的对象：

(BZ#1821771)

当升级到 OpenShift Container Platform 4.10 时，Cluster Version Operator 会因为预条件检查失败而阻止升级大约五分钟。错误文本 It may not be safe to apply this update 可能会造成误导。当一个或多个 precondition 检查失败时，会出现这个错误。在某些情况下，这些 precondition 检查可能无法在短时间内失败（例如在 etcd 备份过程中）。在这些情况下，Cluster Version Operator 和对应的 Operator 将会根据设计自动解决失败的条件检查，CVO 可以成功启动升级。

用户应检查其 Cluster Operator 的状态和条件。如果 Cluster Version Operator 显示 It may not be safe to apply this update，则这些状态和条件会提供有关消息严重性的更多信息。如需更多信息，请参阅 BZ#1999777, BZ#2061444, BZ#2006611。

此发行版本在 Jenkins 中存在一个已知问题。如果您自定义 OpenShift OAuth 路由的主机名和证书，Jenkins 不再信任 OAuth 服务器端点。因此，如果用户依赖 OpenShift OAuth 集成来管理身份和访问权限，用户就无法登录 Jenkins 控制台。

临时解决方案：请参阅红帽知识库解决方案，Deploy Jenkins on OpenShift with Custom OAuth Server URL。(BZ#1991448)

此发行版本在 Jenkins 中存在一个已知问题。基于 RHEL 的镜像中缺少 xmlstarlet 命令行工具来验证或查询 XML 文件。此问题会影响不使用 OpenShift OAuth 进行身份验证的部署。虽然 OpenShift OAuth 默认启用，但用户可以禁用它。

临时解决方案：使用 OpenShift OAuth 进行身份验证。(BZ#2055653)