1.3. 新功能及功能增强

在此次更新之前，Kubernetes API 服务器的自签名回送证书会在一年后过期。在这个版本中，证书的过期日期将延长至三年。

在此次更新之前，使用 -dry-run=server 选项删除 istag 资源会意外导致从服务器中删除镜像。这是因为 oc delete istag 命令中错误地实施了 dry-run 选项造成的意外删除。在这个版本中，dry-run 选项与 oc delete istag 命令有线。因此，意外删除镜像对象会被阻止，在使用 --dry-run=server 选项时 istag 对象保持不变。

LVM Storage Operator 现在在安装过程中应用 Kubernetes NetworkPolicy 对象，将网络通信限制为只所需的组件。此功能为 OpenShift Container Platform 集群上的 LVM Storage 部署强制实施默认网络隔离。

当使用 LVM Storage Operator 创建持久性卷(PV)时，PV 现在包含 kubernetes.io/hostname 标签。该标签显示 PV 所在的节点，以便更轻松地识别与工作负载关联的节点。这个更改只适用于新创建的 PV。现有 PV 不会被修改。

LVM Storage Operator 的默认命名空间现在是 openshift-lvm-storage。您仍然可以在自定义命名空间中安装 LVM 存储。

OpenShift Container Platform 4.20 引进了 siteconfig-converter 工具，以帮助将受管集群从 SiteConfig 自定义资源(CR)迁移到 ClusterInstance CR。使用 SiteConfig CR 定义受管集群已弃用，并将在以后的发行版本中删除。ClusterInstance CR 提供了更加统一的定义集群方法，是在 GitOps ZTP 工作流中管理集群部署的首选方法。

使用 siteconfig-converter 工具，您可以将 SiteConfig CR 转换为 ClusterInstance CR，然后逐步迁移一个或多个集群。现有和新的管道并行运行，因此您可以以受控、分阶段的方式迁移集群，而无需停机。

如需更多信息，请参阅从 SiteConfig CR 迁移到 ClusterInstance CR。

在这个版本中，您可以在启用了 TechPreviewNoUpgrade 功能集的集群中部署使用 webhook 的集群扩展。

如需更多信息，请参阅支持的扩展。

在这个版本中，virt-launcher pod 的命令行日志可以在 Kubernetes 集群中收集。JSON 编码的日志保存在路径 namespaces/<namespace-name>/pods/<pod-name>/virt-launcher.json 中，这有助于对虚拟机进行故障排除和调试。

在这个版本中，集群管理员可更改 Cluster Version Operator (CVO)日志级别详细程度。

如需更多信息，请参阅 更改 CVO 日志级别。

OpenShift Container Platform 4.18 可让您为节点安装具有多个网络接口控制器(NIC)的 VMware vSphere 集群作为技术预览功能。此功能现已正式发布。

如需更多信息，请参阅 配置多个 NIC。

对于现有 vSphere 集群，您可以使用 计算机器集 添加多个子网。

在这个版本中，您可以在 Google Cloud 上安装集群到共享 VPC 时指定 DNS 私有区的位置。private 区域可以位于与主机项目或主要服务项目不同的服务项目中。

如需更多信息，请参阅 其他 Google Cloud 配置参数。

在这个版本中，您可以使用加密虚拟网络在 Azure 上安装集群。您需要使用将 PremiumIO 参数设置为 true 的 Azure 虚拟机。如需更多信息，请参阅 Microsoft 文档中有关 使用 加密和要求和限制 创建虚拟网络 的内容。

在这个版本中，如果使用 IBM Cloud Paks 安装集群，您必须在端口 443 上允许出站访问 icr.io 和 cp.icr.io。IBM Cloud Pak 容器镜像需要这个访问权限。如需更多信息，请参阅 配置防火墙。

在这个版本中，您可以使用基于 Intel 的机密虚拟机在 Azure 上安装集群。现在支持以下机器类型：

如需更多信息，请参阅 启用机密虚拟机。

在这个版本中，您可以使用 etcd 的专用数据磁盘在 Azure 上安装 OpenShift Container Platform 集群。此配置会将单独的受管磁盘附加到每个 control plane 节点，并只将其用于 etcd 数据，这可以提高集群性能和稳定性。此功能作为技术预览提供。如需更多信息，请参阅为 etcd 配置专用磁盘。

在这个版本中，您可以安装支持多架构功能的裸机环境。您可以使用虚拟介质从现有 x86_64 集群置备 x86_64 和 aarch64 架构，这意味着您可以更有效地管理各种硬件环境。

如需更多信息，请参阅使用多架构计算机器配置集群。

在这个版本中，裸机的 HostFirmwareComponents 资源描述了网络接口控制器(NIC)。要更新 NIC 主机固件组件，服务器必须支持 Redfish，且必须允许使用 Redfish 更新 NIC 固件。

如需更多信息，请参阅关于 HostFirmwareComponents 资源。

在 OpenShift Container Platform 4.17 中，之前删除的 Kubernetes API 会意外地重新引入。OpenShift Container Platform 4.20 中再次删除了它。

在集群从 OpenShift Container Platform 4.19 更新至 4.20 之前，集群管理员必须手动提供确认。这种保护有助于防止工作负载、工具或其他组件仍依赖于 OpenShift Container Platform 4.20 中删除的 Kubernetes API 时可能出现的更新问题。

在继续集群更新前，管理员必须执行以下操作：

所有 OpenShift Container Platform 4.19 集群都需要此管理员确认，然后才能将其更新至 OpenShift Container Platform 4.20。

如需更多信息，请参阅 Kubernetes API 删除。

现在，更新的引导镜像作为 VMware vSphere 集群的技术预览功能被支持。此功能允许您配置集群，以便在更新集群时更新节点引导镜像。默认情况下，集群中的引导镜像不会随集群一起更新。如需更多信息，请参阅 更新引导镜像。

以下机器配置更改不再会导致带有集群自定义分层镜像的节点重新引导：

如需更多信息，请参阅集群镜像模式已知限制。

当为 OpenShift 配置镜像模式时，会改进错误报告，包括以下更改：

现在，您可以使用带有集群自定义分层镜像的 MachineConfig 对象中的 kernelType 参数，以便在节点上安装实时内核。在以前的版本中，在具有集群自定义分层镜像的节点上，会忽略 kernelType 参数。如需更多信息 ，请参阅 向节点添加实时内核。

在带有缓慢且不可靠的到镜像 registry 的集群中，您可以在需要前使用 PinnedImageSet 对象来拉取镜像，然后将这些镜像与机器配置池关联。这样可确保镜像在需要时可供该池中的节点使用。Machine Config Operator 的 must-gather 包括集群中的所有 PinnedImageSet 对象。如需更多信息，请参阅将镜像 固定到节点。

机器配置节点自定义资源（可用于监控机器配置更新的进度）现已正式发布。

现在，除了 control plane 和 worker 池外，您还可以查看自定义机器配置池的更新状态。功能的功能没有改变。但是，命令输出和 MachineConfigNode 对象中的 status 字段中的一些信息已更新。Machine Config Operator 的 must-gather 现在包含集群中的所有 MachineConfigNodes 对象。如需更多信息，请参阅关于检查机器配置节点状态。

此发行版本包括一个新的安全性上下文约束(SCC)，名为 hostmount-anyuid-v2。此 SCC 提供与 hostmount-anyuid SCC 相同的功能，但包含 seLinuxContext: RunAsAny。这个 SCC 被添加，因为 hostmount-anyuid SCC 旨在允许可信 pod 访问主机上的任何路径，但 SELinux 会阻止容器访问大多数路径。hostmount-anyuid-v2 允许以任何 UID 的身份访问主机文件系统，包括 UID 0，并旨在使用特权 SCC 而不是 privileged SCC。请谨慎授予。

在使用 Cluster API 管理机器的集群上，您可以指定额外的限制来确定计算机器是否使用 AWS 容量保留。如需更多信息，请参阅 容量保留配置选项。

现在，您可以在集群自动扩展识别新待处理的 pod 前配置延迟，并使用 ClusterAutoscaler CR 中的 spec.scaleUp.newPodScaleUpDelay 参数将 pod 调度到新节点。如果节点在延迟后保持不变，集群自动扩展可以扩展新节点。此延迟可让集群自动扩展额外时间来定位适当的节点，或者可以等待现有 pod 上的空间可用。如需更多信息 ，请参阅配置集群自动扩展。

此发行版本包括对集群监控堆栈组件和依赖项的以下版本更新：

在这个版本中，您可以为 Metrics Server 配置日志详细程度。您可以设置数字详细程度来控制日志信息的数量，其中较高的数字会增加日志记录详情。

如需更多信息，请参阅为监控组件设置日志级别。

OpenShift Container Platform 4.20 将 Red Hat OpenShift Service Mesh 更新至 3.1.0 版本，现在支持 Red Hat OpenShift AI。这个版本包括了重要的 CVE 修复，解决了其他错误，并将 Istio 升级到 1.26.2 以提高安全性和性能。如需更多信息，请参阅 Service Mesh 3.1.0 发行注记。

Cluster Network Operator (CNO)现在支持启用边框网关协议(BGP)路由。使用 BGP，您可以将路由导入到底层供应商网络，并使用多语言、链接冗余和快速聚合。BGP 配置通过 FRRConfiguration 自定义资源(CR)进行管理。

当从安装 MetalLB Operator 的早期版本的 OpenShift Container Platform 升级时，您必须手动将自定义 frr-k8s 配置从 metallb-system 命名空间迁移到 openshift-frr-k8s 命名空间。要移动这些 CR，请输入以下命令：

迁移完成后，您可以从 metallb-system 命名空间中删除 FRR-K8s 自定义资源。

如需更多信息，请参阅关于 BGP 路由。

启用路由公告后，OVN-Kubernetes 网络插件支持将与集群用户定义的网络(CUDN)关联的 pod 和服务的路由直接公告到提供商网络。这个功能启用了以下一些优点：

如需更多信息，请参阅关于路由公告。

如果您使用 configure-ovs.sh shell 脚本在集群安装过程中设置 br-ex 网桥，您可以将 br-ex 网桥迁移到 NMState 作为安装后任务。如需更多信息，请参阅 将配置的 br-ex 网桥迁移到 NMState。

现在，您可以为 PTP Operator 配置增强的日志缩减，以减少 linuxptp-daemon 生成的日志卷。

此功能提供过滤日志的定期摘要，这些日志在基本日志时不可用。另外，您可以为概述日志设置特定的间隔，以及 master 偏移日志的纳秒阈值。

如需更多信息，请参阅配置增强的 PTP 日志记录。

在这个版本中，您可以在仅使用以下双端口 NIC 的 AArch64 架构节点上为 PTP 普通时钟配置冗余：

此功能作为技术预览提供。如需更多信息，请参阅使用双端口 NIC 来提高 PTP 普通时钟的冗余。

在本发行版本中，您可以使用 xmitHashPolicy 作为绑定 CNI 插件配置的一部分，为聚合接口指定传输哈希策略。此功能作为技术预览提供。

如需更多信息，请参阅 Bond CNI secondary network 的配置。

在 OpenShift Container Platform 4.20 中，您可以在应用程序命名空间中直接创建和管理 SR-IOV 网络。这个新功能提供对网络配置的更大控制，有助于简化您的工作流。

在以前的版本中，创建 SR-IOV 网络需要集群管理员为您配置它。现在，您可以直接在自己的命名空间中管理这些资源，它提供几个关键优点：

如需更多信息，请参阅配置命名空间的 SR-IOV 资源。

在这个版本中，OpenShift Container Platform 包含未编号的 BGP 对等。这以前作为技术预览提供。您可以使用 BGP peer 自定义资源的 spec.interface 字段来配置未编号的 BGP 对等。

如需更多信息，请参阅配置 MetalLB 和 FRR-K8s 的集成 。

此技术预览功能引入了 PF Status Relay Operator。Operator 使用链路聚合控制协议(LACP)作为健康检查来检测上游交换机失败，为使用带有 SR-IOV 网络虚拟功能(VF)的 pod 级别绑定的工作负载启用高可用性。

如果没有此功能，上游切换可能会失败，而底层物理功能(PF)仍然报告状态。附加到 PF 的 VF 也保持启动，从而导致 pod 将流量发送到死端点，并导致数据包丢失。

PF Status Relay Operator 通过监控 PF 的 LACP 状态来防止这种情况。当检测到失败时，Operator 会强制关闭附加的 VF 链接状态，触发 pod 的绑定切换到备份路径。这样可确保工作负载保持可用，并最小化数据包丢失。

如需更多信息，请参阅 SR-IOV 网络中 pod 级别绑定的高可用性。

在这个版本中，OpenShift Container Platform 将 Kubernetes 网络策略部署到额外的系统命名空间中，以控制入口和出口流量。预计将来的版本可能会包含适用于其他系统命名空间和 Red Hat Operator 的网络策略。

现在，提供了对 sigstore ClusterImagePolicy 和 ImagePolicy 对象的支持。API 版本现在是 config.openshift.io/v1。如需更多信息，请参阅使用 sigstore 管理安全签名。

现在，默认启用将 pod 和容器部署到 Linux 用户命名空间中。在单个用户命名空间中运行 pod 和容器可以缓解受到破坏的容器可能会给其他 pod 和节点本身造成的一些漏洞。此更改还包括两个新的安全性上下文约束： restricted-v3 和 nested-container，它们专门设计为用于用户命名空间。您还可以在 pod 中将 /proc 文件系统配置为未 屏蔽 的。如需更多信息，请参阅在 Linux 用户命名空间中运行 pod。

通过使用原位 pod 大小调整功能，您可以应用调整大小的策略来更改正在运行的 pod 中的容器的 CPU 和内存资源，而无需重新创建或重启 pod。如需更多信息，请参阅 手动调整 pod 资源级别。

您可以使用镜像卷挂载兼容开放容器项目(OCI)的容器镜像或将工件直接挂载到 pod。如需更多信息，请参阅 将 OCI 镜像挂载到 pod 中。

现在，您可以启用 pod 根据特定设备属性请求 GPU，如产品名称、GPU 内存容量、计算功能、厂商名称和驱动程序版本。这些属性由您安装的第三方 DRA 资源驱动程序公开。如需更多信息，请参阅将 GPU 分配给 pod。

oc adm upgrade recommend 命令以前是技术预览，现在，oc adm upgrade recommend 命令允许系统管理员使用命令行界面(CLI)在其 OpenShift Container Platform 集群上执行预更新检查。预更新检查有助于识别潜在的问题，使用户在启动更新前解决它们。通过运行 precheck 命令并检查输出，用户可以准备更新集群，并决定何时启动更新。

如需更多信息，请参阅使用 CLI 更新集群。

oc adm upgrade status 命令以前称为技术预览，现在，oc adm upgrade status 命令允许使用命令行界面(CLI)获取有关 OpenShift Container Platform 集群更新状态的高级概述信息。输入命令时会提供三种信息：control plane 信息、worker 节点信息和健康见解。

目前，在 Hosted Control Plane (HCP)集群中不支持该命令。

如需更多信息，请参阅使用 CLI 更新集群。

操作对象镜像在运行时由 Operator 控制器动态部署，通常由控制器部署模板中的环境变量引用。

在 OpenShift Container Platform 4.20 之前，当 oc-mirror 插件 v2 可以访问这些环境变量时，它会尝试镜像所有值，包括非镜像引用，如日志级别，从而导致失败。在这个版本中，OpenShift Container Platform 只标识并镜像这些环境变量中引用的容器镜像。

如需更多信息，请参阅 oc-mirror 插件 v2 的 ImageSet 配置参数。

在这个版本中，Operator 项目的以下基础镜像已更新，以便与 OpenShift Container Platform 4.20 兼容。这些基础镜像的运行时功能和配置 API 仍然会有程序错误修复和并提供对相关 CVE 的解决方案。

如需更多信息，请参阅为 OpenShift Container Platform 4.19 及之后的版本（红帽知识库）为现有基于 Ansible 或 Helm 的 Operator 项目更新基础镜像。

在这个版本中，红帽提供的 Operator 目录已从 OperatorHub 移到软件目录中，Operator 导航项被重命名为控制台中的 生态系统。统一软件目录在同一控制台视图中显示 Operator、Helm chart 和其他可安装的内容。

要管理默认或自定义目录源，您仍会在控制台或 CLI 中与 OperatorHub 自定义资源(CR)进行交互。

在这个版本中，您可以将 AWS OpenShift Container Platform 集群配置为使用 STS，即使您在安装过程中没有这样做。

如需更多信息，请参阅在 现有集群上启用 AWS 安全令牌服务(STS)。

在这个版本中，kdump 对所有支持的构架正式发布，包括 x86_64,arm64,s390x, 和 ppc64le。这个增强可让用户更有效地诊断和解决内核问题。

RHCOS 引入了 Ignition 版本 2.20.0。此功能增强支持使用 partx 工具对挂载分区的磁盘进行分区，该工具现在包含在 dracut 模块安装中。另外，这个更新添加了对 Proxmox 虚拟环境的支持。

RHCOS 现在包括 Butane 版本 0.23.0。

RHCOS 现在包括 Afterburn 版本 5.7.0。在这个版本中，增加了对 Proxmox 虚拟环境的支持。

在这个版本中，coreos-installer 工具更新至 0.23.0 版本。

在 OpenShift Container Platform 4.20 中，NUMA Resources Operator 默认自动启用高可用性(HA)模式。在这个模式中，NUMA Resources Operator 为集群中的每个 control-plane 节点创建一个调度程序副本，以确保冗余。如果没有在 NUMAResourcesScheduler 自定义资源中指定 spec.replicas 字段，则会发生此默认行为。或者，您可以通过将 spec.replicas 字段设置为 0 来明确设置特定数量的调度程序副本来覆盖默认的 HA 行为，或者完全禁用调度程序。最多副本数为 3，即使 control plane 节点的数量超过 3。

如需更多信息，请参阅为 NUMA 感知调度程序管理高可用性(HA)。

在这个版本中，NUMA Resources Operator 可以管理配置为可以调度的 control plane 节点。此功能允许您在 control plane 节点上部署拓扑感知工作负载，这在受限的资源环境中（如紧凑集群）特别有用。

此功能增强帮助 NUMA Resources Operator 使用最合适的 NUMA 拓扑在节点上调度 NUMA 感知 pod，即使在 control plane 节点上也是如此。

如需更多信息，请参阅 NUMA Resources Operator 支持可调度 control-plane 节点。

在这个版本中，应用性能配置集时不再配置 Receive Packet Steering (RPS)。RPS 配置会影响执行网络系统调用的容器，如发送，直接在对延迟敏感的线程内。为了避免在没有配置 RPS 时造成延迟影响，请将网络调用移到帮助程序线程或进程。

以前的 RPS 配置解决了延迟问题，但会牺牲整个 pod 内核网络性能。当前的默认配置通过要求开发人员解决底层应用程序设计而不是模糊性能影响来提高透明度。

要恢复到之前的行为，请将 performance.openshift.io/enable-rps 注解添加到 PerformanceProfile 清单中：

apiVersion: performance.openshift.io/v2
kind: PerformanceProfile
metadata:
  name: example-performanceprofile
  annotations:
    performance.openshift.io/enable-rps: "enable"

apiVersion: performance.openshift.io/v2
kind: PerformanceProfile
metadata:
  name: example-performanceprofile
  annotations:
    performance.openshift.io/enable-rps: "enable"

在这个版本中，您可以使用 PerformanceProfile 自定义资源在具有 Intel Sierra Forest CPU 的机器上配置 worker 节点。当使用单个 NUMA 域(NPS=1)配置时，支持这些 CPU。

在这个版本中，您可以使用 PerformanceProfile 自定义资源在装有 AMD Turin CPU 的机器上配置 worker 节点。使用单个 NUMA 域 (NPS=1) 配置时，这些 CPU 被完全支持。

此新功能增强了 OpenShift Container Platform 中的 TLS 证书轮转，确保 95% 的预期集群的可用性。这对于高事务型集群和单节点 OpenShift 部署特别有用，确保即使负载过重，也能确保无缝操作。

Secrets Store CSI Driver Operator 版本 4.20 现在基于上游 v1.5.2 版本。Secrets Store CSI Driver Operator 现在在安装过程中应用 Kubernetes NetworkPolicy 对象，将网络通信限制为只所需的组件。