Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

发行注记

OpenShift sandboxed containers 1.7

Red Hat Customer Content Services

摘要

本发行注记总结了所有新功能、功能增强、重要的技术变化、以及对以前版本中的错误作出的主要修正。另外，还包括在此版本正式发行(GA)时存在的已知问题的信息。

对红帽文档提供反馈
复制链接

您可以通过为 HCIDOCS 项目创建 Jira 问题来提供反馈或报告错误，您可以在其中跟踪您的反馈的过程。您必须有一个 Red Hat Jira 帐户并登录。

  1. 启动 Create Issue 表单。

  2. 完成 Summary、Description 和 Reporter 字段。

    在 Description 字段中，包含文档 URL、章节号以及问题的详细描述。

  3. 点 Create。

第 1 章 关于此版本
复制链接

本发行注记介绍了 OpenShift 沙盒容器 1.7 和 Red Hat OpenShift Container Platform 4.16 的开发。

OpenShift Container Platform 专为 FIPS 设计。当以 FIPS 模式运行 Red Hat Enterprise Linux (RHEL) 或 Red Hat Enterprise Linux CoreOS (RHCOS)时，OpenShift Container Platform 核心组件使用 RHEL 加密库，在 x86_64、ppc64le、s390x 架构上提交给 NIST 的 FIPS 140-2/140-3 Validation。

有关 NIST 验证程序的更多信息，请参阅加密模块验证程序。有关为验证提交的 RHEL 加密库的单独版本的最新 NIST 状态，请参阅 Compliance Activities 和 Government Standards。

第 2 章 新功能及功能增强
复制链接

本节介绍 OpenShift 沙盒容器 1.7 中引入的新功能和增强。

2.1. 公有云
复制链接

AWS 和 Azure 云供应商凭证会自动检索

Operator 默认使用 OpenShift 集群的云供应商凭证，除非用户明确设置 AWS 或 Azure 云供应商凭证。

Jira:KATA-2216

第 3 章 程序错误修复
复制链接

本节论述了 OpenShift 沙盒容器 1.7 中修复的错误。

3.1. 性能和扩展
复制链接

当资源请求注解与系统资源不匹配时，对等 pod 会失败

io.katacontainers.config.hypervisor.default_vcpus 和 io.katacontainers.config.hypervisor.default_memory 注解的值遵循 QEMU 的语义，它有以下对对等 pod 的限制：

  • 如果将 io.katacontainers.config.hypervisor.default_memory 设置为 256，则会显示以下错误： 

    Failed to create pod sandbox: rpc error: code = Unknown desc = CreateContainer failed: Memory specified in annotation io.katacontainers.config.hypervisor.default_memory is less than minimum required 256, please specify a larger value: unknown
    Copy to Clipboard Toggle word wrap
  • 如果将 io.katacontainers.config.hypervisor.default_memory 设置为 256，将 io.katacontainers.config.hypervisor.default_vcpus 设置为 1，则会从列表中启动最小的实例类型或实例类型。
  • 如果将 io.katacontainers.config.hypervisor.default_vcpus 设置为 0， 则所有注解都会被忽略，并启动默认实例。

临时解决方案：将 io.katacontainers.config.hypervisor.machine_type 设置为配置映射中指定的默认 AWS 实例类型或 Azure 实例大小，以启用灵活的 pod 虚拟机大小。

Jira:KATA-2575, Jira:KATA-2577, Jira:KATA-2578

第 4 章 已知问题
复制链接

本节介绍 OpenShift 沙盒容器 1.7 中已知的问题。

4.1. 沙盒容器
复制链接

OpenShift 沙盒容器 1.7.0 不适用于 OpenShift Container Platform 4.14 和旧版本

在安装或升级 OpenShift 沙盒容器 Operator 前，您必须升级到 OpenShift Container Platform 4.15 或更高版本。如需更多信息，请参阅 OpenShift 沙盒容器 operator 1.7 不可用， 并升级到 OSC 1.7.0 将运行 Peer Pod 放入 knowledgeBase 中的 ContainerCreating 状态。

Jira:KATA-3193, Jira:KATA-3155

4.2. 性能和扩展
复制链接

如果 CPU 离线，增加容器 CPU 资源限值会失败

如果请求的 CPU 离线，使用容器 CPU 资源限制来增加 pod 的可用 CPU 数量会失败。如果功能可用，您可以通过运行 oc rsh <pod> 命令来访问 pod，然后运行 lscpu 命令诊断 CPU 资源问题： 

$ lscpu
Copy to Clipboard Toggle word wrap

输出示例： 

CPU(s):                                16
On-line CPU(s) list:             0-12,14,15
Off-line CPU(s) list:            13
Copy to Clipboard Toggle word wrap

离线 CPU 列表是无法预计的，可以从 run 改为 run。

临时解决方案：使用 pod 注解来请求额外的 CPU，如下例所示： 

metadata:
  annotations:
    io.katacontainers.config.hypervisor.default_vcpus: "16"
Copy to Clipboard Toggle word wrap

Jira:KATA-1376

增加 sizeLimit 不会扩展临时卷

您不能使用 pod 规格中的 sizeLimit 参数来扩展临时卷，因为卷大小默认为分配给沙盒容器的 50%。

临时解决方案：通过重新挂载卷来更改大小。例如，如果分配给沙盒容器的内存为 6 GB，并且临时卷挂载到 /var/lib/containers，您可以通过运行以下命令来将此卷的大小增加到 3 GB： 

$ mount -o remount,size=4G /var/lib/containers
Copy to Clipboard Toggle word wrap

Jira:KATA-2579

第 5 章 技术预览
复制链接

本节列出了 OpenShift 沙盒容器 1.7 中的所有技术预览。

如需更多信息，请参阅技术预览功能支持范围。

Microsoft Azure Cloud Computing Services、IBM Z 和 IBM LinuxONE 上的机密容器

机密容器为云原生应用提供了增强的安全性，允许它们在称为受信任的执行环境(TEE)的安全和隔离的环境中运行，这样可以保护容器及其数据，即使在使用时也是如此。

请注意以下限制：

  • 没有对机密虚拟机(CVM)根文件系统(rootfs)的加密和完整性保护：CVM 在 TEE 中执行，并运行容器工作负载。缺少对 rootfs 的加密和完整性保护功能可能会允许恶意管理员破坏写入 rootfs 的敏感数据，或者修改 rootfs 数据。rootfs 的完整性保护和加密目前正在进行中。您必须确保所有应用程序写入都在内存中。
  • 没有加密的容器镜像支持：当前只有签名的容器镜像支持。加密的容器镜像支持正在进行中。
  • Kata shim 和 CVM 中的代理组件之间的通信受到篡改：CVM 中的代理组件负责从 OpenShift worker 节点上运行的 Kata shim 执行 Kubernetes API 命令。我们使用 CVM 中的代理策略来关闭 Kubernetes exec 和日志 API，以避免通过 Kubernetes API 破坏敏感数据。但是，这是不完整的；进一步的工作是强化 shim 和代理组件之间的通信频道。可以使用 pod 注解在运行时覆盖代理策略。目前，pod 中的运行时策略注解不会通过 attestation 进程验证。
  • 不支持加密的 pod 到 pod 通信：Pod 到 pod 的通信是未加密的。您必须在应用程序级别使用 TLS 进行所有 pod 到 pod 通信。
  • worker 节点上和 CVM 内的镜像重复拉取：在 TEE 中执行的 CVM 中下载并执行容器镜像。但是，当前镜像也下载到 worker 节点上。
  • 为机密容器构建 CVM 镜像需要集群中提供 OpenShift 沙盒容器 Operator。

Jira:KATA-2416

IBM Z 和 IBM LinuxONE 的对等 pod 支持

您可以通过在 IBM Z® 和 IBM® LinuxONE (s390x 架构)上使用对等 pod 部署 OpenShift 沙盒容器工作负载，而无需嵌套虚拟化。

Jira:KATA-2030

第 6 章 异步勘误更新
复制链接

OpenShift 沙盒容器的安全更新、程序错误修正、功能增强更新将会通过红帽网络以异步勘误的形式发布。

Red Hat OpenShift Container Platform 4.16 勘误可以通过 红帽客户门户网站 获得。

如需了解有关异步勘误的详细信息，请参阅 OpenShift Container Platform 生命周期。

您可以在 Red Hat Subscription Management 设置中启用勘误电子邮件通知。您必须有一个有注册的系统和 OpenShift Container Platform 权利的红帽客户门户网站帐户。

本节的内容将会持续更新，以提供以后发行的与 OpenShift 沙盒容器相关的异步勘误信息。

发布日期：24 年 9 月 18 日

OpenShift 沙盒容器发行版本 1.7.0 现已正式发布。此公告包含带有改进和程序错误修复的 OpenShift 沙盒容器的更新。

其程序错误修正列表包括在 RHBA-2024:6709 公告中。

附录 A. 按组件划分的问题单列表
复制链接

在本文档中列出了 Bugzilla 和 JIRA 问题单以供参考。这些链接会指向本文档中描述问题单的发行注记。

Expand
组件票证

性能/扩展

Jira:KATA-1376,JIRA:KATA-2579,JIRA:KATA-2575

公有云

Jira:KATA-2216

沙盒容器

Jira:KATA-3193

kata-containers

Jira:KATA-3193

法律通告
复制链接

Copyright © 2025 Red Hat, Inc.
The text of and illustrations in this document are licensed by Red Hat under a Creative Commons Attribution–Share Alike 3.0 Unported license ("CC-BY-SA"). An explanation of CC-BY-SA is available at http://creativecommons.org/licenses/by-sa/3.0/. In accordance with CC-BY-SA, if you distribute this document or an adaptation of it, you must provide the URL for the original version.
Red Hat, as the licensor of this document, waives the right to enforce, and agrees not to assert, Section 4d of CC-BY-SA to the fullest extent permitted by applicable law.
Red Hat, Red Hat Enterprise Linux, the Shadowman logo, the Red Hat logo, JBoss, OpenShift, Fedora, the Infinity logo, and RHCE are trademarks of Red Hat, Inc., registered in the United States and other countries.
Linux® is the registered trademark of Linus Torvalds in the United States and other countries.
Java® is a registered trademark of Oracle and/or its affiliates.
XFS® is a trademark of Silicon Graphics International Corp. or its subsidiaries in the United States and/or other countries.
MySQL® is a registered trademark of MySQL AB in the United States, the European Union and other countries.
Node.js® is an official trademark of Joyent. Red Hat is not formally related to or endorsed by the official Joyent Node.js open source or commercial project.
The OpenStack® Word Mark and OpenStack logo are either registered trademarks/service marks or trademarks/service marks of the OpenStack Foundation, in the United States and other countries and are used with the OpenStack Foundation's permission. We are not affiliated with, endorsed or sponsored by the OpenStack Foundation, or the OpenStack community.
All other trademarks are the property of their respective owners.
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2026 Red Hat返回顶部