1.3. 新功能及功能增强

在以前的版本中，Kubernetes API 服务器的自签名 loopback 证书在一年后过期。在这个版本中，证书的过期日期将延长至三年。

在以前的版本中，使用 -dry-run=server 选项删除 istag 资源会意外导致从服务器中删除镜像的实际。这是因为 oc delete istag 命令中错误地实施了 dry-run 选项造成的意外删除。在这个版本中，dry-run 选项与 oc delete istag 命令关联。因此，意外删除镜像对象会被阻止，在使用 --dry-run=server 选项时 istag 对象保持不变。

在这个版本中，API 服务器中的自签名回送证书会被阻止过期，并确保 Kubernetes 4.16.z 中的稳定和安全连接。此功能增强移植了来自较新版本的、cherry-picks 特定拉取请求并将其应用到所选版本的解决方案。这可减少因为与证书相关的问题造成服务中断的可能性，在 Kubernetes 4.16.z 部署中提供更好的用户体验。

在这个版本中，OpenShift Container Platform 的通信流列表已被改进。该功能会在主节点上为开放端口 17697 (TCP) 和 6080 (TCP) 生成服务，并确保所有打开的端口都有对应的端点片段。这会产生准确和最新的通信流列表，提高了通信矩阵的整体安全性和效率，并为用户提供更加全面、可靠的通信列表。

LVM Storage Operator 现在在安装过程中应用 Kubernetes NetworkPolicy 对象，将网络通信限制为只所需的组件。此功能为 OpenShift Container Platform 集群上的 LVM Storage 部署强制实施默认网络隔离。

当使用 LVM Storage Operator 创建持久性卷(PV)时，PV 现在包含 kubernetes.io/hostname 标签。该标签显示 PV 所在的节点，以便更轻松地识别与工作负载关联的节点。这个更改只适用于新创建的 PV。现有 PV 不会被修改。

LVM Storage Operator 的默认命名空间现在是 openshift-lvm-storage。您仍然可以在自定义命名空间中安装 LVM 存储。

OpenShift Container Platform 4.20 引进了 siteconfig-converter 工具，以帮助将受管集群从 SiteConfig 自定义资源(CR)迁移到 ClusterInstance CR。使用 SiteConfig CR 定义受管集群已弃用，并将在以后的发行版本中删除。ClusterInstance CR 提供了更加统一的定义集群方法，是在 GitOps ZTP 工作流中管理集群部署的首选方法。

使用 siteconfig-converter 工具，您可以将 SiteConfig CR 转换为 ClusterInstance CR，然后逐步迁移一个或多个集群。现有和新的管道并行运行，因此您可以以受控、分阶段的方式迁移集群，而无需停机。

如需更多信息，请参阅从 SiteConfig CR 迁移到 ClusterInstance CR。

您可以配置带有两个 control plane 节点的 OpenShift Container Platform 集群，以及一个本地仲裁程序节点，以便在降低集群的基础架构成本时保持高可用性 (HA)。

本地仲裁程序节点是一个低成本、共存的机器，它参与 control plane 仲裁决策。与标准的 control plane 节点不同，仲裁程序节点不会运行完整的 control plane 服务集合。通过此配置，只使用两个置备的 control plane 节点而不是三个就可以维护集群的高可用性（HA）。

这个功能现已正式发布。

如需更多信息，请参阅配置本地仲裁程序节点。

具有隔离的双节点 OpenShift 集群提供可用性(HA)，且对硬件的要求较小。此配置是为部署完整的三节点 control plane 集群的分布式或边缘环境而设计的。

双节点集群不包括计算节点。除了管理集群外，两个 control plane 机器还运行用户工作负载。

如需更多信息，请参阅准备使用隔离安装双节点 OpenShift 集群。

在这个版本中，您可以在启用了 TechPreviewNoUpgrade 功能集的集群中部署使用 webhook 的集群扩展。

如需更多信息，请参阅支持的扩展。

在这个版本中，virt-launcher pod 的命令行日志可以在 Kubernetes 集群中收集。JSON 编码的日志保存在路径 namespaces/<namespace-name>/pods/<pod-name>/virt-launcher.json 中，这有助于对虚拟机进行故障排除和调试。

在这个版本中，集群管理员可更改 Cluster Version Operator (CVO)日志级别详细程度。

如需更多信息，请参阅 更改 CVO 日志级别。

OpenShift Container Platform 4.18 可让您为节点安装具有多个网络接口控制器(NIC)的 VMware vSphere 集群作为技术预览功能。这个功能现已正式发布。

如需更多信息，请参阅配置多个 NIC。

对于现有 vSphere 集群，您可以使用计算机器集添加多个子网。

在这个版本中，您可以在 Google Cloud 上安装集群到共享 VPC 时指定 DNS 私有区的位置。私有区域可以位于与主机项目或主要服务项目不同的服务项目中。

如需更多信息，请参阅 Google Cloud 配置参数。

在这个版本中，您可以使用加密虚拟网络在 Azure 上安装集群。您需要使用将 PremiumIO 参数设置为 true 的 Azure 虚拟机。如需更多信息，请参阅 Microsoft 文档 Creating a virtual network with encryption 和 Requirements and Limitations。

在这个版本中，如果使用 IBM Cloud Paks 安装集群，您必须在端口 443 上允许出站访问 icr.io 和 cp.icr.io。IBM Cloud Pak 容器镜像需要这个访问权限。如需更多信息，请参阅配置防火墙。

在这个版本中，您可以使用基于 Intel 的机密虚拟机在 Azure 上安装集群。现在支持以下机器类型：

如需更多信息，请参阅 启用机密虚拟机。

在这个版本中，您可以使用 etcd 的专用数据磁盘在 Azure 上安装 OpenShift Container Platform 集群。此配置会将单独的受管磁盘附加到每个 control plane 节点，并只将其用于 etcd 数据，这可以提高集群性能和稳定性。此功能作为技术预览提供。如需更多信息，请参阅为 etcd 配置专用磁盘。

在这个版本中，您可以安装支持多架构功能的裸机环境。您可以使用虚拟介质从现有 x86_64 集群置备 x86_64 和 aarch64 架构，这意味着您可以更有效地管理各种硬件环境。

如需更多信息，请参阅使用多架构计算机器配置集群。

在这个版本中，裸机的 HostFirmwareComponents 资源描述了网络接口控制器(NIC)。要更新 NIC 主机固件组件，服务器必须支持 Redfish，且必须允许使用 Redfish 更新 NIC 固件。

如需更多信息，请参阅关于 HostFirmwareComponents 资源。

在 OpenShift Container Platform 4.17 中，之前删除的 Kubernetes API 会意外地重新引入。OpenShift Container Platform 4.20 中再次删除了它。

在集群从 OpenShift Container Platform 4.19 更新至 4.20 之前，集群管理员必须手动提供确认。这种保护有助于防止工作负载、工具或其他组件仍依赖于 OpenShift Container Platform 4.20 中删除的 Kubernetes API 时可能出现的更新问题。

在继续集群更新前，管理员必须执行以下操作：

所有 OpenShift Container Platform 4.19 集群都需要此管理员确认，然后才能升级到 OpenShift Container Platform 4.20。

如需更多信息，请参阅 Kubernetes API 删除。

在以前的版本中，当在 IBM Power Virtual Server 上安装集群时，您只能为现有的 Transit Gateway 或 Virtual Private Cloud (VPC) 指定名称。由于名称的唯一性无法保证，这可能导致冲突和安装失败。在这个版本中，您可以为 Transit Gateway 和 VPC 使用通用唯一标识符(UUID)。通过使用唯一标识符，安装程序可以明确地识别正确的 Transit Gateway 或 VPC。这可防止命名冲突，并解决了这个问题。

在这个版本中，您可以在新的 Oracle 基础架构产品上安装一个技术预览集群。

以下新的 Oracle 分布式云基础架构类型现在可用：

以下新的 Oracle Edge Cloud 基础架构类型现在可用：

如需更多信息，请参阅使用 Assisted Installer 在 Oracle 分布式云上安装集群，和使用 Assisted Installer 在 Oracle Edge Cloud 上安装集群。

现在，更新的引导镜像作为 VMware vSphere 集群的技术预览功能被支持。此功能允许您配置集群，以便在更新集群时更新节点引导镜像。默认情况下，集群中的引导镜像不会随集群一起更新。如需更多信息，请参阅 更新引导镜像。

以下机器配置更改不再会导致带有集群自定义分层镜像的节点重新引导：

如需更多信息，请参阅集群镜像模式已知限制。

当为 OpenShift 配置镜像模式时，会改进错误报告，包括以下更改：

现在，您可以使用带有集群自定义分层镜像的 MachineConfig 对象中的 kernelType 参数，以便在节点上安装实时内核。在以前的版本中，在具有集群自定义分层镜像的节点上，会忽略 kernelType 参数。如需更多信息，请参阅向节点添加实时内核。

在带有缓慢且不可靠的到镜像 registry 的集群中，您可以在需要前使用 PinnedImageSet 对象来拉取镜像，然后将这些镜像与机器配置池关联。这样可确保镜像在需要时可供该池中的节点使用。Machine Config Operator 的 must-gather 包括集群中的所有 PinnedImageSet 对象。如需更多信息，请参阅将镜像固定到节点。

机器配置节点自定义资源（可用于监控机器配置更新的进度）现已正式发布。

现在，除了 control plane 和 worker 池外，您还可以查看自定义机器配置池的更新状态。功能的功能没有改变。但是，命令输出和 MachineConfigNode 对象中的 status 字段中的一些信息已更新。Machine Config Operator 的 must-gather 现在包含集群中的所有 MachineConfigNodes 对象。如需更多信息，请参阅关于检查机器配置节点状态。

此发行版本包括一个新的安全性上下文约束(SCC)，名为 hostmount-anyuid-v2。此 SCC 提供与 hostmount-anyuid SCC 相同的功能，但包含 seLinuxContext: RunAsAny。这个 SCC 被添加，因为 hostmount-anyuid SCC 旨在允许可信 pod 访问主机上的任何路径，但 SELinux 会阻止容器访问大多数路径。hostmount-anyuid-v2 允许以任何 UID 的身份访问主机文件系统，包括 UID 0，并旨在使用特权 SCC 而不是 privileged SCC。请谨慎授予。

在使用 Cluster API 管理机器的集群上，您可以指定额外的限制来确定计算机器是否使用 AWS 容量保留。如需更多信息，请参阅容量保留配置选项。

现在，您可以在集群自动扩展识别新待处理的 pod 前配置延迟，并使用 ClusterAutoscaler CR 中的 spec.scaleUp.newPodScaleUpDelay 参数将 pod 调度到新节点。如果节点在延迟后保持不变，集群自动扩展可以扩展新节点。此延迟可让集群自动扩展额外时间来定位适当的节点，或者可以等待现有 pod 上的空间可用。如需更多信息，请参阅配置集群自动扩展。

此发行版本包括对集群监控堆栈组件和依赖项的以下版本更新：

在这个版本中，您可以为 Metrics Server 配置日志详细程度。您可以设置数字详细程度来控制日志信息的数量，其中较高的数字会增加日志记录详情。

如需更多信息，请参阅为监控组件设置日志级别。

OpenShift Container Platform 4.20 将 Red Hat OpenShift Service Mesh 更新至 3.1.0 版本，现在支持 Red Hat OpenShift AI。这个版本包括了重要的 CVE 修复，解决了其他错误，并将 Istio 升级到 1.26.2 以提高安全性和性能。如需更多信息，请参阅 Service Mesh 3.1.0 发行注记。

Cluster Network Operator (CNO)现在支持启用边框网关协议(BGP)路由。使用 BGP，您可以将路由导入到底层供应商网络，并使用多语言、链接冗余和快速聚合。BGP 配置通过 FRRConfiguration 自定义资源(CR)进行管理。

当从安装 MetalLB Operator 的早期版本的 OpenShift Container Platform 升级时，您必须手动将自定义 frr-k8s 配置从 metallb-system 命名空间迁移到 openshift-frr-k8s 命名空间。要移动这些 CR，请输入以下命令：

迁移完成后，您可以从 metallb-system 命名空间中删除 FRR-K8s 自定义资源。

如需更多信息，请参阅关于 BGP 路由。

启用路由公告后，OVN-Kubernetes 网络插件支持将与集群用户定义的网络(CUDN)关联的 pod 和服务的路由直接公告到提供商网络。这个功能提供了以下一些优点：

如需更多信息，请参阅关于路由公告。

预配置的用户定义的网络端点作为技术预览提供，并由功能门 PreconfiguredUDNAddresses 控制。现在，您可以明确控制覆盖网络配置，包括：IP 地址、MAC 地址和默认网关。此功能可用于第 2 层，作为 ClusterUserDefinedNetwork (CUDN)自定义资源(CR)的一部分。管理员可以预先配置端点，在不中断的情况下迁移 KubeVirt 虚拟机(VM)。要启用该功能，请使用 CUDN CR 中的 reservedSubnets、infrastructureSubnets 和 defaultGatewayIPs 的新字段。有关配置的更多信息，请参阅用户定义的网络的其他配置详情。目前，只有 ClusterUserDefinedNetworks CR 支持静态 IP 地址，且只适用于 MTV。

如果您使用 configure-ovs.sh shell 脚本在集群安装过程中设置 br-ex 网桥，您可以将 br-ex 网桥迁移到 NMState 作为安装后任务。如需更多信息，请参阅将配置的 br-ex 网桥迁移到 NMState。

现在，您可以为 PTP Operator 配置增强的日志缩减，以减少 linuxptp-daemon 生成的日志卷。

此功能提供过滤日志的定期摘要，这些日志在基本日志时不可用。另外，您可以为概述日志设置特定的间隔，以及 master 偏移日志的纳秒阈值。

如需更多信息，请参阅配置增强的 PTP 日志记录。

在这个版本中，您可以在仅使用以下双端口 NIC 的 AArch64 架构节点上为 PTP 普通时钟配置冗余：

此功能作为技术预览提供。如需更多信息，请参阅使用双端口 NIC 来提高 PTP 普通时钟的冗余。

在本发行版本中，您可以使用 xmitHashPolicy 作为绑定 CNI 插件配置的一部分，为聚合接口指定传输哈希策略。此功能作为技术预览提供。

如需更多信息，请参阅 Bond CNI secondary network 的配置。

在 OpenShift Container Platform 4.20 中，您可以在应用程序命名空间中直接创建和管理 SR-IOV 网络。这个新功能提供对网络配置的更大控制，有助于简化您的工作流。

在以前的版本中，创建 SR-IOV 网络需要集群管理员为您配置它。现在，您可以直接在自己的命名空间中管理这些资源，它提供几个关键优点：

如需更多信息，请参阅配置命名空间的 SR-IOV 资源。

在这个版本中，OpenShift Container Platform 包含未编号的 BGP 对等。这个功能以前作为技术预览提供。您可以使用 BGP peer 自定义资源的 spec.interface 字段来配置未编号的 BGP 对等。

如需更多信息，请参阅配置 MetalLB 和 FRR-K8s 的集成。

此技术预览功能引入了 PF Status Relay Operator。Operator 使用链路聚合控制协议(LACP)作为健康检查来检测上游交换机失败，为使用带有 SR-IOV 网络虚拟功能(VF)的 pod 级别绑定的工作负载启用高可用性。

如果没有此功能，上游切换可能会失败，而底层物理功能(PF)仍然报告 up 状态。附加到 PF 的 VF 也保持启动，从而导致 pod 将流量发送到死端点，并导致数据包丢失。

PF Status Relay Operator 通过监控 PF 的 LACP 状态来防止这种情况。当检测到失败时，Operator 会强制关闭附加的 VF 链接状态，触发 pod 的绑定切换到备份路径。这样可确保工作负载保持可用，并最小化数据包丢失。

如需更多信息，请参阅 SR-IOV 网络中 pod 级别绑定的高可用性。

在这个版本中，OpenShift Container Platform 将 Kubernetes 网络策略部署到额外的系统命名空间中，以控制入口和出口流量。预计将来的版本可能会包含适用于其他系统命名空间和 Red Hat Operator 的网络策略。

在这个版本中，PTP Operator 提供了无需协助的 holdover 作为技术预览功能。当上游计时信号丢失时，PTP Operator 会自动将 PTP 设备配置为边界时钟或时间从时钟进入 holdover 模式。自动放置进入 holdover 模式有助于为集群节点维护连续稳定的时间源，从而最大程度缩短时间同步中断。

如需更多信息，请参阅配置 PTP 设备。

在这个版本中，OpenShift Container Platform 引入了作为技术预览的，由 Chip 架构(DOCA)平台框架(DOCA)平台框架(DPF) Operator 管理，用于自动置备和生命周期管理的 NVIDIA BlueField-3 Data Processing Unit (DPU)支持。这个解决方案提供以下主要客户优点：

部署使用由基础架构和租户集群组成的双集群模型。它还为将来的 DOCA 服务提供了基础，例如 Firefly、SNAP、Telemetry 和第三方网络功能。

现在，提供了对 sigstore ClusterImagePolicy 和 ImagePolicy 对象的支持。API 版本现在是 config.openshift.io/v1。如需更多信息，请参阅使用 sigstore 管理安全签名。

现在，默认启用将 pod 和容器部署到 Linux 用户命名空间中。在单个用户命名空间中运行 pod 和容器可以缓解受到破坏的容器可能会给其他 pod 和节点本身造成的一些漏洞。此更改还包括两个新的安全性上下文约束： restricted-v3 和 nested-container，它们专门设计为用于用户命名空间。您还可以在 pod 中将 /proc 文件系统配置为 unmasked。如需更多信息，请参阅在 Linux 用户命名空间中运行 pod。

通过使用原位 pod 大小调整功能，您可以应用调整大小的策略来更改正在运行的 pod 中的容器的 CPU 和内存资源，而无需重新创建或重启 pod。如需更多信息，请参阅 手动调整 pod 资源级别。

您可以使用一个镜像卷挂载兼容开放容器项目(OCI)的容器镜像或将工件直接挂载到 pod。如需更多信息，请参阅将 OCI 镜像挂载到 pod 中。

现在，您可以启用 pod 根据特定设备属性（如产品名称、GPU 内存容量、计算功能、厂商名称和驱动程序版本）请求 GPU。这些属性由您安装的第三方 DRA 资源驱动程序公开。如需更多信息，请参阅将 GPU 分配给 pod。

oc adm upgrade recommend 命令以前是技术预览，现在，oc adm upgrade recommend 命令允许系统管理员使用命令行界面(CLI)在其 OpenShift Container Platform 集群上执行预更新检查。预更新检查有助于发现潜在的问题，使用户在启动更新前解决它们。通过运行 precheck 命令并检查输出，用户可以准备更新集群，并决定何时启动更新。

如需更多信息，请参阅使用 CLI 更新集群。

oc adm upgrade status 命令以前为技术预览，现在，oc adm upgrade status 命令允许使用命令行界面 (CLI) 获取有关 OpenShift Container Platform 集群更新状态的高级概述信息。输入命令时会提供三种信息：control plane 信息、worker 节点信息和健康见解。

目前，在 Hosted Control Plane (HCP) 集群中不支持该命令。

如需更多信息，请参阅使用 CLI 更新集群。

操作对象镜像在运行时由 Operator 控制器动态部署，通常由控制器部署模板中的环境变量引用。

在 OpenShift Container Platform 4.20 之前，当 oc-mirror plugin v2 可以访问这些环境变量时，它会尝试镜像所有值，包括非镜像引用，如日志级别，从而导致失败。在这个版本中，OpenShift Container Platform 只标识并镜像这些环境变量中引用的容器镜像。

如需更多信息，请参阅 oc-mirror 插件 v2 的 ImageSet 配置参数。

在这个版本中，Operator 项目的以下基础镜像已更新，以便与 OpenShift Container Platform 4.20 兼容。这些基础镜像的运行时功能和配置 API 仍然会有程序错误修复和并提供对相关 CVE 的解决方案。

如需更多信息，请参阅为 OpenShift Container Platform 4.19 及之后的版本（红帽知识库）为现有基于 Ansible 或 Helm 的 Operator 项目更新基础镜像。

在这个版本中，红帽提供的 Operator 目录已从 OperatorHub 移到软件目录中，在控制台中，Operator 导航项被重命名为生态系统（Ecosystem）。统一的软件目录在同一控制台视图中显示 Operator、Helm chart 和其他可安装的内容。

要管理默认或自定义目录源，您仍可以通过控制台 中的 OperatorHub 自定义资源 (CR) 进行，或使用 CLI。

在这个版本中，您可以将 AWS OpenShift Container Platform 集群配置为使用 STS，即使您在安装过程中没有这样做。

如需更多信息，请参阅在现有集群上启用 AWS 安全令牌服务(STS)。

在这个版本中，对于所有支持的构架，包括 x86_64,arm64,s390x, 和 ppc64le，kdump 为 GA。这个增强可让用户更有效地诊断和解决内核问题。

RHCOS 引入了 Ignition 版本 2.20.0。此功能增强支持使用 partx 工具对挂载分区的磁盘进行分区，该工具现在包含在 dracut 模块安装中。另外，这个更新添加了对 Proxmox 虚拟环境的支持。

RHCOS 现在包括 Butane 版本 0.23.0。

RHCOS 现在包括 Afterburn 版本 5.7.0。在这个版本中，增加了对 Proxmox 虚拟环境的支持。

在这个版本中，coreos-installer 工具更新至 0.23.0 版本。

在 OpenShift Container Platform 4.20 中，NUMA Resources Operator 默认自动启用高可用性 (HA) 模式。在这个模式中，NUMA Resources Operator 为集群中的每个 control-plane 节点创建一个调度程序副本，以确保冗余。如果没有在 NUMAResourcesScheduler 自定义资源中指定 spec.replicas 字段，则会发生此默认行为。或者，您可以通过将 spec.replicas 字段设置为 0 来明确设置特定数量的调度程序副本来覆盖默认的 HA 行为，或者完全禁用调度程序。最多副本数为 3，即使 control plane 节点的数量超过 3。

如需更多信息，请参阅为 NUMA 感知调度程序管理高可用性(HA)。

在这个版本中，NUMA Resources Operator 可以管理配置为可以调度的 control plane 节点。此功能允许您在 control plane 节点上部署拓扑感知工作负载，这在受限的资源环境中（如紧凑集群）特别有用。

此功能增强帮助 NUMA Resources Operator 使用最合适的 NUMA 拓扑在节点上调度 NUMA 感知 pod，即使在 control plane 节点上也是如此。

如需更多信息，请参阅 NUMA Resources Operator 支持可调度 control-plane 节点。

在这个版本中，当应用 Performance Profile 时不再配置 Receive Packet Steering (RPS)。RPS 配置会影响直接在对延迟敏感的线程中执行网络系统调用（如 send）的容器。为了避免在没有配置 RPS 时造成延迟影响，请将网络调用移到 helper 线程或进程。

以前的 RPS 配置可以解决延迟问题，但会牺牲整个 pod 内核的网络性能。当前的默认配置要求开发人员解决底层应用程序设计问题，而不是掩盖其对性能影响。这样可以提高透明度。

要恢复到之前的行为，请将 performance.openshift.io/enable-rps 注解添加到 PerformanceProfile 清单中：

apiVersion: performance.openshift.io/v2
kind: PerformanceProfile
metadata:
  name: example-performanceprofile
  annotations:
    performance.openshift.io/enable-rps: "enable"

apiVersion: performance.openshift.io/v2
kind: PerformanceProfile
metadata:
  name: example-performanceprofile
  annotations:
    performance.openshift.io/enable-rps: "enable"

在这个版本中，您可以使用 PerformanceProfile 自定义资源在具有 Intel Sierra Forest CPU 的机器上配置 worker 节点。使用单个 NUMA 域 (NPS=1) 配置时，这些 CPU 被支持。

在这个版本中，您可以使用 PerformanceProfile 自定义资源在装有 AMD Turin CPU 的机器上配置 worker 节点。使用单个 NUMA 域 (NPS=1) 配置时，这些 CPU 被完全支持。

此新功能增强了 OpenShift Container Platform 中的 TLS 证书轮转，确保 95% 的预期集群的可用性。这对于高事务型集群和单节点 OpenShift 部署特别有用，确保即使负载过重，也能确保无缝操作。

在这个版本中，etcd 产品文档被更新，包含了额外的减少 OpenShift Container Platform 集群延迟的要求信息。在这个版本中，明确了使用 etcd 的先决条件和设置步骤，从而提高了用户体验。因此，这个功能引进了对 etcd 中的传输层安全(TLS) 1.3 的支持，这提高了数据传输的安全性和性能，并允许 etcd 遵守最新的安全标准，从而减少潜在的漏洞。改进的加密可确保 etcd 与其客户端间的更安全通信。如需更多信息，请参阅 etcd 的集群延迟要求。

Secrets Store CSI Driver Operator 版本 4.20 现在基于上游 v1.5.2 版本。Secrets Store CSI Driver Operator 现在在安装过程中应用 Kubernetes NetworkPolicy 对象，将网络通信限制为只在所需的组件间进行。

卷填充器（volume populator）功能允许您创建预先填充的卷。

OpenShift Container Platform 4.20 为卷填充器功能引入了一个新的字段 dataSourceRef，它扩展了对象，该对象可用于预填充卷（从持久性卷声明(PVC)和快照）到任何适当的自定义资源(CR)的数据源。

OpenShift Container Platform 现在提供 volume-data-source-validator，它报告使用没有相应 VolumePopulator 实例的卷填充器的 PVC 的事件。以前的 OpenShift Container Platform 版本不需要 VolumePopulator 实例，因此如果您从 4.12 或更高版本升级，您可能会收到有关未注册填充器的事件。如果您之前自行安装了 volume-data-source-validator，则可以删除您的版本。

卷填充器功能在 OpenShift Container Platform 4.12 中作为技术预览功能引入，现在为 GA。

卷填充会被默认启用。但是，OpenShift Container Platform 不附带任何卷填充器。

有关卷填充器的更多信息，请参阅卷填充器。

通过启用 Performance plus，以下类型的磁盘的 input/output operations per second (IOPS) 和吞吐量限制（513 GiB 及更大）有所增加：

此功能在 OpenShift Container Platform 4.20 中正式发布。

有关性能加上的更多信息，请参阅 Azure 磁盘的 Performance plus。

更改的块跟踪可为支持此功能的 Container Storage Interface (CSI)驱动程序管理的持久性卷(PV)启用高效、增量备份和灾难恢复。

更改的块跟踪可让使用者请求两个快照之间更改的块列表，这对于备份解决方案供应商非常有用。通过仅备份更改的块，而不是整个卷，备份进程效率更高。

有关更改的块跟踪的更多信息，请参阅此 KB 文章。

OpenShift Container Platform 4.20 引入了 AWS Elastic File Storage (EFS) One Zone 卷支持作为正式发布（GA）。通过这个功能，如果文件系统域名系统(DNS)解析失败，EFS CSI 驱动程序可以回退到挂载目标。挂载目标充当网络端点，它允许虚拟私有云(VPC)中的 AWS EC2 实例或其他 AWS 计算实例连接到并挂载 EFS 文件系统。

有关 One Zone 的更多信息，请参阅 对 One Zone 的支持。

卷的某些操作可能会导致 pod 启动延迟，这可能会导致 pod 超时。

fsGroup： 对于具有多个文件的卷，pod 启动超时可能会发生。这是因为，在默认情况下，OpenShift Container Platform 会递归更改每个卷内容的所有权和权限，以便在挂载卷时与 pod 的 securityContext 中指定的 fsGroup 匹配。这可能会非常耗时，会减慢 pod 启动的速度。您可以使用 securityContext 中的 fsGroupChangePolicy 参数来控制 OpenShift Container Platform 检查和管理卷的所有权和权限的方式。

在 OpenShift Container Platform 4.10 中，可以在 pod 级别上更改此参数。在 4.20 中，除了 pod 级别外，您还可以在命名空间级别设置此参数。这个功能为 GA。

SELinux： SELinux （Security-Enhanced Linux）是一种安全机制，可为系统上的所有对象（文件、进程、网络端口等）分配安全标签（上下文）。这些标签决定了进程可以访问的内容。当 pod 启动时，容器运行时会以递归的方式重新标记卷中的所有文件，以匹配 pod 的 SELinux 上下文。对于具有大量文件的卷，这可能会显著提高 pod 启动时间。可以使用挂载选项来避免以递归方式重新标记所有文件。方法是使用 -o context 挂载选项直接挂载卷。这有助于避免出现 pod 超时的问题。

RWOP 和 SELinux 挂载选项： ReadWriteOncePod (RWOP) 持久性卷默认使用 SELinux 挂载功能。在 OpenShift Container Platform 4.15 中挂载选项作为技术预览功能被引入，在 4.16 中为 GA。

RWO 和 RWX 和 SELinux 挂载选项： ReadWriteOnce (RWO)和 ReadWriteMany (RWX) 卷默认使用递归重新标记。OpenShift Container Platform 4.17 中引入了 RWO/RWX 的挂载选项，作为一个开发者技术预览功能，现在在 4.20 中被支持。

为了帮助您了解将会很快引入的挂载选项被默认使用的变化，OpenShift Container Platform 4.20 会在创建和运行 pod 时报告与 SELinux 相关的冲突，以便您了解潜在的冲突，并帮助您解决它们。有关此报告的更多信息，请参阅这个 KB 文章。

如果您无法解决与 SELinux 相关的冲突，可以主动选择不使用所选 pod 或命名空间的挂载选项。

在 OpenShift Container Platform 4.20 中，RWO 和 RWX 卷的挂载选项功能作为技术预览功能提供，您可以试用它们。

有关 fsGroup 的更多信息，请参阅使用 fsGroup 缩减 pod 超时。

有关 SELinux 的更多信息，请参阅使用 seLinuxChangePolicy 缩减 pod 超时。

在 OpenShift Container Platform 4.18 之前，不会始终应用持久性卷(PV)重新声明策略。

对于绑定 PV 和持久性卷声明(PVC)对，PV-PVC 删除的顺序决定是否应用了 PV 删除重新声明策略。如果在删除 PV 前删除了 PVC，PV 会应用重新声明策略。但是，如果在删除 PVC 前删除了 PV，则不会应用重新声明策略。因此，外部基础架构中关联的存储资产不会被删除。

从 OpenShift Container Platform 4.18 开始，会始终应用 PV 重新声明策略。它是一个技术预览功能。在 OpenShift Container Platform 4.20 中，此功能已成为 GA。

如需更多信息，请参阅持久性卷的 Reclaim 策略。

默认情况下，OpenShift Container Platform 会创建 Manila 存储类，用于为所有 IPv4 客户端提供访问，从而有可能将其更新为一个单一 IP 地址或子网。在 OpenShift Container Platform 4.20 中，您可以使用 nfs-ShareClient 参数定义使用多个客户端 IP 地址或子网的自定义存储类来限制客户端访问。

此功能在 OpenShift Container Platform 4.20 中正式发布。

如需更多信息，请参阅自定义 Manila 共享访问规则。

为增强可用性并提供安全令牌服务(STS)和非STS 支持，Amazone Web Serivces (AWS) Elastic File Service (EFS)跨帐户支持流程已被修改。

要查看修订的流程，请参阅 AWS EFS 跨帐户支持。

在此次更新之前，容器镜像 表单流只为应用程序提供一组有限的预定义图标。

在这个版本中，您可以在通过 容器镜像 表单导入应用程序时添加自定义图标。对于现有应用程序，应用 app.openshift.io/custom-icon 注解，将自定义图标添加到对应的 Topology 节点。

因此，您可以在 Topology 视图中更好地识别应用程序，并更清晰地组织您的项目。