9.2. cert-manager Operator for Red Hat OpenShift release notes

Istio-CSR 与 Red Hat OpenShift 的 cert-manager Operator 集成（正式发布）

在这个版本中，完全支持将 cert-manager Operator for Red Hat OpenShift 与 Istio-CSR 集成（以前作为技术预览功能提供）。此功能为在 Red Hat OpenShift Service Mesh 或 Istio 环境中保护工作负载和 control plane 组件提供增强支持。通过使用 Red Hat OpenShift 管理的 Istio-CSR 代理的 cert-manager Operator，Istio 可以获取 mutual TLS (mTLS) 所需的、签名、交付和续订证书。如需更多信息，请参阅将 cert-manager Operator 与 Istio-CSR 集成。

cert-manager Operator for Red Hat OpenShift operands 的副本数配置

在这个版本中，您可以覆盖 cert-manager Operator for Red Hat OpenShift controller, webhook, 和 cainjector operands 的默认副本数。要配置这些值，请在 CertManager 自定义资源中指定新的 overrideReplicas 字段。通过这个增强，可以根据您的具体操作要求配置高可用性 (HA) 和扩展操作对象。如需更多信息，请参阅 CertManager CR 中的 cert-manager 组件的通用可配置字段。

对于 cert-manager Operator for Red Hat OpenShift 容器，根文件系统是只读的

在这个版本中，为了提高安全性，cert-manager Operator for Red Hat OpenShift 及其所有 operands 会默认将 readOnlyRootFilesystem 安全上下文设置为 true。通过此增强，强化了容器，并防止潜在的攻击者修改容器根文件系统的内容。

网络策略强化现在可用于 cert-manager Operator for Red Hat OpenShift 组件

在这个版本中，cert-manager Operator for Red Hat OpenShift 包括预定义的 NetworkPolicy 资源，通过控制其组件的入口和出口流量来增强安全性。这些策略涵盖内部流量，如到指标和 webhook 服务器的入站流量，以及到 OpenShift API 和 DNS 服务器的出站流量。

默认情况下，这个功能被禁用，以防止升级过程中出现连接问题。您必须在 CertManager 自定义资源中显式启用它。如需更多信息，请参阅 cert-manager Operator for Red Hat OpenShift 网络策略配置。

支持为 ACME HTTP-01 solver pod 配置资源请求和限值

在这个版本中，Red Hat OpenShift 的 cert-manager Operator 支持为 ACME HTTP-01 solver pod 配置 CPU 和内存资源请求和限值。您可以通过在 CertManager 自定义资源(CR)中使用以下覆盖参数来配置 CPU 和内存资源请求和限值：

如需更多信息，请参阅 cert-manager 组件的覆盖参数。

在以前的版本中，因为 RBAC 权限不足，Red Hat OpenShift 的 cert-manager Operator 无法创建 cert-manager-tokenrequest 角色。这会导致 RoleCreateFailed 错误和降级的 static-resource 控制器。在这个版本中，通过将所需的 serviceaccounts/token create 权限添加到 RBAC 配置来解决这个问题。因此，cert-manager-tokenrequest 角色和角色绑定现在可以成功创建，RoleCreateFailed 错误不再出现在 Operator 日志中。(OCPBUGS-56758)

断开连接的环境支持

在这个版本中，Red Hat OpenShift 的 cert-manager Operator 被验证为在断开连接的环境中镜像并安装。

Operator 也经过验证，以在断开连接的环境中使用以下签发者类型： ACME、CA、自助签名和 Vault。具体来说，私有或自托管 ACME 服务器已被验证，因为 Let’s Encrypt 或其他公共 ACME 服务无法在断开连接的环境中工作。oc-mirror 插件 v2 是镜像 Operator 镜像的首选方法。如需更多信息，请参阅使用 oc-mirror 插件 v2 为断开连接的安装 Mirror 镜像。

扩展操作对象指标支持

在这个版本中，cert-manager Webhook 和 cainjector 操作对象现在默认通过 /metrics 服务端点公开端口 9402 上的 Prometheus 指标。您可以通过启用内置用户工作负载监控堆栈，将 OpenShift Monitoring 配置为从所有 cert-manager 操作对象收集指标。如需更多信息，请参阅为 Red Hat OpenShift 监控 cert-manager Operator。

流列表启用

在这个版本中，Red Hat OpenShift 的 cert-manager Operator 现在使用新的上游 WatchListClient 功能。这可允许使用 Kubernetes API 服务器的 Streaming Lists 功能，这可减少 API 服务器上的负载。在 OpenShift Container Platform 4.14 及更新的版本中优化 cert-manager 组件的峰值内存使用。

当在 cert-manager 版本 1.16.0 中使用带有用户名和密码身份验证的 Venafi 签发者时，默认的客户端 ID 硬编码为 cert-manager.io，且无法自定义。这个限制可能会影响需要特定客户端 ID 来使用 Venafi 平台进行身份验证的用户。

将 cert-manager Operator for Red Hat OpenShift 与 Istio-CSR 集成 （技术预览）

Red Hat OpenShift 的 cert-manager Operator 现在支持 Istio-CSR。使用这个集成，cert-manager Operator 的签发者可能会发布、签名和续订 mutual TLS (mTLS) 通信的证书。Red Hat OpenShift Service Mesh 和 Istio 现在可以直接从 cert-manager Operator 请求这些证书。

如需更多信息，请参阅将 cert-manager Operator 与 Istio-CSR 集成。

为 Red Hat OpenShift 的 cert-manager Operator 调度覆盖

在这个版本中，您可以为 Red Hat OpenShift 配置 cert-manager Operator 的调度覆盖，包括 cert-manager controller、webhook 和 CA injector。

Google CAS 签发者

Red Hat OpenShift 的 cert-manager Operator 现在支持 Google 证书颁发机构服务(CAS)签发者。google-cas-issuer 是 cert-manager 的一个外部签发者，它自动执行证书生命周期管理，包括 issuance 和 renewal，带有 CAS 管理的私有证书颁发机构。

默认 installMode 更新至 AllNamespaces

从版本 1.15.0 开始，默认的和推荐的 Operator Lifecycle Manager (OLM) installMode 是 AllNamespaces。在以前的版本中，默认值为 SingleNamespace。这个变化与多命名空间 Operator 管理的最佳实践一致。如需更多信息，请参阅 OCPBUGS-23406。

删除了冗余的 kube-rbac-proxy sidecar

Operator 不再包含冗余的 kube-rbac-proxy sidecar 容器，从而减少资源使用量和复杂性。如需更多信息，请参阅 CM-436。