主页
产品
Red Hat OpenStack Platform
13
Release Notes
4.2. RHSA-2018:2214 - Important: openstack-tripleo-heat-templates 安全更新

4.2. RHSA-2018:2214 - Important: openstack-tripleo-heat-templates 安全更新

本节中所包括的错误已在 RHSA-2018:2214 公告中解决。有关此公告的详情请点击以下链接：https://access.redhat.com/errata/RHSA-2018:2214.html。

openstack-tripleo-common

BZ#1592823

Ansible playbook 的日志现在包括提供部署、更新和升级期间操作时间的信息。

openstack-tripleo-heat-templates

BZ#1586171

在以前的版本中，overcloud 更新会因为 OpenDaylight 中的过时的缓存而失败。在这个版本中，OpenDaylight 会停止，在升级到新版本前会删除过时的缓存。级别 1 更新用于 OpenDaylight 部署。当前不支持 2 级更新。

BZ#1593757

在现有 overcloud 部署上启用 Octavia 作为成功报告，但 Octavia API 端点无法访问，因为 Controller 节点上的防火墙规则配置错误。

临时解决方案：

在所有控制器节点上，添加防火墙规则，并确保在 DROP 规则之前插入它们：

IPv4:
  # iptables -A INPUT -p tcp -m multiport --dports 9876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy ipv4" -j ACCEPT
  # iptables -A INPUT -p tcp -m multiport --dports 13876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy_ssl ipv4" -j ACCEPT
  # iptables -A INPUT -p tcp -m multiport --dports 9876,13876 -m state --state NEW -m comment --comment "120 octavia_api ipv4" -j ACCEPT

IPv6:
  # ip6tables -A INPUT -p tcp -m multiport --dports 9876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy ipv6" -j ACCEPT
  # ip6tables -A INPUT -p tcp -m multiport --dports 13876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy_ssl ipv6" -j ACCEPT
  # ip6tables -A INPUT -p tcp -m multiport --dports 9876,13876 -m state --state NEW -m comment --comment "120 octavia_api ipv6" -j ACCEPT

IPv4:
  # iptables -A INPUT -p tcp -m multiport --dports 9876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy ipv4" -j ACCEPT
  # iptables -A INPUT -p tcp -m multiport --dports 13876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy_ssl ipv4" -j ACCEPT
  # iptables -A INPUT -p tcp -m multiport --dports 9876,13876 -m state --state NEW -m comment --comment "120 octavia_api ipv4" -j ACCEPT

IPv6:
  # ip6tables -A INPUT -p tcp -m multiport --dports 9876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy ipv6" -j ACCEPT
  # ip6tables -A INPUT -p tcp -m multiport --dports 13876 -m state --state NEW -m comment --comment "100 octavia_api_haproxy_ssl ipv6" -j ACCEPT
  # ip6tables -A INPUT -p tcp -m multiport --dports 9876,13876 -m state --state NEW -m comment --comment "120 octavia_api ipv6" -j ACCEPT

Copy to Clipboard

Toggle word wrap

重启 HAProxy：

docker restart haproxy-bundle-docker-0

  # docker restart haproxy-bundle-docker-0

Copy to Clipboard

Toggle word wrap

BZ#1559055

OpenDaylight 日志记录可能缺少以前的日志。这是 OpenDaylight journald 日志记录的一个已知问题（使用 "docker logs opendaylght_api" 命令）。当前的一个临时解决方案是将 OpenDaylight 日志记录切换为 "file" 机制，该机制会将容器内的 /opt/opendaylight/data/logs/karaf.log 记录到 /opt/opendaylight/data/logs/karaf.log。为此，请配置以下 heat 参数：OpenDaylightLogMechanism: 'file'。

BZ#1559105

针对现有 overcloud 重新运行 overcloud deploy 命令无法触发任何 pacemaker 管理的资源的重启。例如，在向 haproxy 添加新服务时，haproxy 不会重启，从而导致新配置的服务不可用，直到手动重启 haproxy pacemaker 资源。

在这个版本中，会检测到任何 pacemaker 资源的配置更改，pacemaker 资源会自动重启。然后反映在 overcloud 中，pacemaker 受管资源的配置中的所有更改都会反映出。

BZ#1589346

在次要更新工作流中的服务部署任务被运行两次，从而导致了 playbook 列表中的多余条目。在这个版本中，删除了混杂的 playbook 条目，并直接将主机准备任务包含在更新的 playbook 中。次要版本更新中的操作按所需顺序运行一次。

BZ#1592424

在以前的版本中，用于在预置备服务器上部署 overcloud 的 heat 模板中没有 UpgradeInitCommonCommand 参数。'openstack overcloud upgrade prepare' 命令不会执行所有必要的操作，这会导致在某些环境中升级过程中出现问题。

在这个版本中，将 UpgradeInitCommonCommand 添加到用于预置备服务器的模板，允许 'openstack overcloud upgrade prepare' 命令执行必要的操作。

BZ#1594328

为增强安全性，默认的 OpenDaylightPassword "admin" 现在由一个随机生成的 16 位数字替代。您可以通过在 heat 模板中指定密码来覆盖随机生成的密码：

cat odl_password.yaml
parameter_defaults:
  OpenDaylightPassword: admin

$ cat odl_password.yaml
parameter_defaults:
  OpenDaylightPassword: admin

Copy to Clipboard

Toggle word wrap

然后，将文件传递给 overcloud 部署命令：

openstack overcloud deploy <other env files> -e odl_password.yaml

openstack overcloud deploy <other env files> -e odl_password.yaml

Copy to Clipboard

Toggle word wrap

puppet-opendaylight

BZ#1594333

在以前的版本中，Karaf shell ( OpenDaylight 的管理 shell)不绑定到端口 8101 上的特定 IP，从而导致 Karaf shell 侦听面向公共的外部网络。这会造成安全漏洞，因为外部网络可用于访问端口上的 OpenDaylight。

在这个版本中，在部署期间将 Karaf shell 绑定到内部 API 网络 IP，这使得 Karaf shell 只能在专用内部 API 网络上访问。

返回顶部

4.2. RHSA-2018:2214 - Important: openstack-tripleo-heat-templates 安全更新

学习

尝试、购买和销售

社区

关于红帽文档

让开源更具包容性

關於紅帽

Theme

Red Hat legal and privacy links

Red Hat legal and privacy links