3.3.4. 安全考虑

在从 OpenShift Container Platform 3.11 转换到 OpenShift Container Platform 4.7 时，请考虑以下与安全相关的变化。

对发现端点的未验证访问

在 OpenShift Container Platform 3.11 中，未经身份验证的用户可以访问发现端点（例如: /api/* 和 /apis/*）。为了安全起见，OpenShift Container Platform 4.7 不再允许对发现端点进行未经身份验证的访问。如果确实需要允许未经身份验证的访问，可根据需要配置 RBAC 设置，但请务必考虑安全性影响，因为这可能会使内部集群组件暴露给外部网络。

用户身份供应商

为 OpenShift Container Platform 4 配置身份供应商包括以下显著的更改：

如需更多信息，请参阅了解身份提供程序配置。

OAuth 令牌存储格式

新创建的 OAuth HTTP 持有者令牌不再匹配其 OAuth 访问令牌对象的名称。对象名称现在是一个 bearer 令牌哈希，它不再敏感。这可减少泄漏敏感信息的风险。