1.6. 程序错误修复

在以前的版本中，Cluster Version Operator (CVO)不会按预期协调 SecurityContextConstraints 资源。CVO 现在可以正确地将 SecurityContextConstraints 资源与发行镜像中定义的状态协调，从而恢复对它们的任何不支持的修改。

希望从以前的 OpenShift Container Platform 版本升级以及根据修改后的系统 SecurityContextConstraints 资源运行工作负载的用户必须遵循 知识库文章 中的流程，以确保其工作负载能够在没有修改的系统 SecurityContextConstraint 资源的情况下运行。(OCPBUGS-19465)

在安装过程中，当集群状态为 installing-pending-user-action 时，安装不会完成，直到状态解决为止。在以前的版本中，如果您运行 openshift-install agent wait-for bootstrap-complete 命令，则不会指示如何解决导致这个状态的问题。在这个版本中，命令输出提供了一个指示必须采取哪些操作来解决这个问题的消息。(OCPBUGS-4998)

例如，当使用无效的引导磁盘时，wait-for 输出现在如下：

"level=info msg=Cluster has hosts requiring user input
level=debug msg=Host master-1 Expected the host to boot from disk, but it booted the installation image - please reboot and fix boot order to boot from disk QEMU_HARDDISK drive-scsi0-0-0-0 (sda, /dev/disk/by-path/pci-0000:03:00.0-scsi-0:0:0:0)
level=debug msg=Host master-2 Expected the host to boot from disk, but it booted the installation image - please reboot and fix boot order to boot from disk QEMU_HARDDISK drive-scsi0-0-0-0 (sda, /dev/disk/by-path/pci-0000:03:00.0-scsi-0:0:0:0)
level=info msg=cluster has stopped installing... working to recover installation"

在以前的版本中，当在入口控制器上配置客户端 mutual TLS (mTLS)时，CA 捆绑包中的证书颁发机构(CA)证书需要超过 1 MB 的证书撤销列表(CRL)，因为大小限制而无法更新 CRL 配置映射。由于缺少 CRL，具有有效客户端证书的连接可能会被拒绝，并显示以下错误：unknown ca。

在这个版本中，CRL 不再放在配置映射中，路由器现在直接下载 CRL。因此，每个入口控制器的 CRL 配置映射不再存在。现在，CRL 被直接下载，且与有效客户端证书的连接不再被拒绝。(OCPBUGS-6661)

在以前的版本中，提供比 OpenShift Container Platform 指定的缓冲区大小为 512 字节的 UDP 响应的不合规上游 DNS 服务器会导致 CoreDNS 抛出溢出错误。因此，它不会为 DNS 查询提供响应。

在这个版本中，用户可以在 dnses.operator.openshift.io 自定义资源(CR)上配置 protocolStrategy 字段，成为 TCP。将此字段设置为 TCP 时，CoreDNS 将 TCP 协议用于上游请求，并解决与不合规上游 DNS 服务器相关的 UDP 溢出问题。(OCPBUGS-6829)

在以前的版本中，如果集群管理员使用具有 NoExecute 效果的污点配置了 infra 节点，Ingress Operator 的 canary pod 不会被调度到这些 infra 节点上。一段时间后，DaemonSet 配置将被覆盖，pod 将在 infra 节点上终止。

在这个版本中，Ingress Operator 将 Canary DaemonSet 配置为容许 node-role.kubernetes.io/infra 节点污点，该污点指定了 NoExecute 效果。因此，无论指定了哪些效果，canary pod 都会调度到 infra 节点上。(OCPBUGS-9274)

在以前的版本中，当在入口控制器上配置客户端 mutual TLS (mTLS)时，如果任何客户端证书颁发机构(CA)证书包含证书撤销列表(CRL)分布点，则不同 CA 发布的 CRL 和 CRL 过期，发布 CA 和发布 CA 间的不匹配会导致下载不正确的 CRL。因此，CRL 捆绑包被更新为包含错误下载 CRL 的额外副本，并且缺少所需的 CRL。由于缺少 CRL，具有有效客户端证书的连接可能会被拒绝，并显示以下错误：unknown ca。

在这个版本中，下载的 CRL 由发布它们的 CA 跟踪。当 CRL 过期时，分发 CA 的 CRL 发布点用于下载更新的 CRL。因此，有效的客户端证书不再被拒绝。(OCPBUGS-9464)

在以前的版本中，当为网关 API 网关配置 DNS 时，Ingress Operator 会尝试为网关监听程序创建 DNS 记录，即使监听程序指定了带有集群基域之外的域的主机名。因此，Ingress Operator 会尝试并失败发布 DNS 记录，并会返回以下错误：failed to publish DNS record to zone。

在这个版本中，当为网关监听程序创建 DNSRecord 自定义资源 (CR) 时，如果其域位于集群基域外，Ingress Operator 会将 DNSRecord 的 DNS 管理策略设置为 Unmanaged。因此，Ingress Operator 不再尝试发布记录，日志中将不再有 failed to publish DNS record to zone 错误。(OCPBUGS-10875)

在以前的版本中，Cluster Network Operator 控制器监控了比必要数量的更广泛的资源，这会导致其协调器被频繁触发。因此，这会增加 Cluster Network Operator 和 kube-apiserver 的负载。

在这个版本中，Cluster Network Operator allowlist 控制器会监控其 cni-sysctl-allowlist 配置映射的更改。因此，只有在对 cni-sysctl-allowlist 配置映射或 default-cni-sysctl-allowlist 配置映射进行修改时，才会触发 allowlist 控制器协调器，而不是在任何配置映射改变时都触发。因此，Cluter Network Operator API 请求和配置映射请求会减少。(OCPBUGS-11565)

在以前的版本中，oc-mirror 插件没有正确解释带有 tag 和 digest 的容器镜像引用，并导致以下错误：

"localhost:6000/cp/cpd/postgresql:13.7@sha256" is not a valid image reference: invalid reference format

这个行为已被修复，现在接受并正确镜像引用。(OCPBUGS-11840)