8.2. APIServer [config.openshift.io/v1]

additionalCORSAllowedOrigins

数组（字符串）

additionalCORSAllowedOrigins 列出了额外的、用户定义的正则表达式，描述 API 服务器允许使用 CORS 标头访问的主机。这可能需要从 JavaScript 应用程序访问 API 和集成的 OAuth 服务器。值是与 Golang 正则表达式语言对应的正则表达式。

audit

对象

audit 指定要应用到集群中所有 OpenShift 提供的 API 服务器的审计配置的设置。

clientCA

对象

clientCA 引用一个 ConfigMap，其中包含一个 ConfigMap，它除了 Operator 受管签名者外，还识别用于传入客户端证书的证书捆绑包。如果这是空的，则只有操作器管理的签名者有效。当您有自己的 PKI 才能遵守客户端证书时，您通常才必须设置此设置。ConfigMap 必须存在于 openshift-config 命名空间中，并包含以下必填字段： - ConfigMap.Data["ca-bundle.crt"] - CA bundle。

encryption

对象

加密允许在数据存储层上配置资源加密。

servingCerts

对象

servingCert 是用于提供安全流量的 TLS 证书信息。如果没有指定，Operator 受管证书将用于提供安全流量。

tlsSecurityProfile

对象

tlsSecurityProfile 指定外部公开服务器的 TLS 连接的设置。如果未设置，则会选择默认值（在发行版本间可能会改变）。请注意，当前只支持 Old、Intermediate 和 Custom 配置集，可用 MinTLSVersions 为 VersionTLS12。

customRules

array

customRules 指定每个组的配置集。如果适用，这些配置集优先于顶级配置集字段。它们从上到下评估，第一个匹配项适用。

customRules[]

对象

AuditCustomRule 描述了审计配置文件的自定义规则，其优先级高于顶级配置集。

配置集

字符串

profile 指定要应用到发送到集群中任何 OpenShift 提供的 API 服务器(kube-apiserver、openshift-apiserver 和 oauth-apiserver)的所有请求所需的顶级审计配置集的名称，但这些请求与一个或多个自定义Rules 匹配。提供了以下配置集：- Default: 默认策略，表示 MetaData 级别日志记录，但事件除外（未记录）、oauthaccesstoken 和 oauthauthorizetokens （它们都记录在 RequestBody 级别）。- WriteRequestBodies: 如 'Default'，但记录对写入请求的请求和响应 HTTP 有效负载（没有记录）。- AllRequestBodies: - AllRequestBodies: 但是，为读取请求(get、list)记录请求和响应 HTTP 有效负载。- None: 没有记录任何请求，甚至不记录 oauthaccesstokens 和 oauthauthorizetoken。警告： 不建议使用 None 配置集禁用审计日志记录，除非您完全了解在进行故障排除时无法记录数据的风险。如果禁用审计日志记录且出现支持情况，您可能需要启用审计日志记录并重现问题，才能正确排除故障。如果未设置，则使用 'Default' 配置集作为默认值。

group

字符串

group 是请求用户必须成为组的成员的名称，才能应用此配置集。

配置集

字符串

profile 指定要部署到集群中的所有 OpenShift 提供的 API 服务器所需的审计策略配置的名称。提供了以下配置集： - Default: 现有的默认策略。- WriteRequestBodies: 如 'Default'，但记录对写入请求的请求和响应 HTTP 有效负载(create、update、patch)。- AllRequestBodies: （如 'WriteRequestBodies'），但也记录读取请求(get、list)的请求和响应 HTTP 有效负载。- None: no requests all, 而不是 oauthaccesstokens 和 oauthauthorizetokens。如果未设置，则使用 'Default' 配置集作为默认值。

name

字符串

name 是引用的配置映射的 metadata.name

type

字符串

Type 定义应该在数据存储层上加密资源的加密类型。当此字段未设置时（例如，当将其设置为空字符串时），身份将表示。unset 的行为可以随着时间而变化。即使默认启用加密，未设置的含义可能会根据最佳实践的变化而更改为不同的加密类型。启用加密后，平台附带的所有敏感资源都会被加密。此敏感资源列表可以并将随着时间而变化。当前权威列表为：1. secrets 2. configmaps 3. routes.route.openshift.io 4. oauthaccesstokens.oauth.openshift.io 5. oauthauthorizetokens.oauth.openshift.io

namedCertificates

array

namedCertificates 引用包含 TLS 证书信息的 secret，用于为特定主机名提供安全流量。如果没有提供命名的证书，或者没有命名的证书与客户端理解的服务器名称匹配，则将使用默认的ServingCertificate。

namedCertificates[]

对象

APIServerNamedServingCert 将服务器 DNS 名称（由客户端理解）映射到证书。

名称

数组（字符串）

name 是明确 DNS 名称（允许的导通配符）的可选列表，应该使用此证书来提供安全流量。如果没有提供名称，则会从证书中提取隐式名称。对通配符名称进行完全命名。这里定义的显式名称用于提取的隐式名称。

servingCertificate

对象

serviceCertificate 引用一个 kubernetes.io/tls 类型 secret，其中包含用于提供安全流量的 TLS 证书信息。secret 必须存在于 openshift-config 命名空间中，并包含以下必填字段： - Secret.Data["tls.key"] - TLS 私钥。- Secret.Data["tls.crt"] - TLS 证书。

name

字符串

name 是引用的 secret 的 metadata.name

custom

``

Custom 是一个用户定义的 TLS 安全配置集。使用自定义配置集作为无效配置会非常小心。示例自定义配置集类似如下：password: - ECDHE-ECDSA-CHACHA20-POLY1305 - ECDHE-RSA-CHACHA20-POLY1305 - ECDHE-RSA-AES128-GCM-SHA256 - ECDHE-ECDSA-AES128-GCM-SHA256 minTLSVersion: TLSv1.1

intermediate

``

intermediate 是一个基于以下的 TLS 安全配置集： https://wiki.mozilla.org/Security/Server_Side_TLS#Intermediate_compatibility_.28recommended.29 并类似如下(yaml)：password: - TLS_AES_128_GCM_SHA256 - TLS_AES_256_GCM_SHA384 - TLS_CHACHA20_POLY1305_SHA256 - ECDHE-ECDSA-AES128-GCM-SHA256 - ECDHE-RSA-AES128-GCM-SHA256 - ECDHE-ECDSA-AES256-GCM-SHA384 - ECDHE-RSA-AES256-GCM-SHA384 - ECDHE-ECDSA-CHACHA20-POLY1305 - ECDHE-RSA-CHACHA20-POLY1305 - DHE-RSA-AES128-GCM-SHA256 - DHE-RSA-AES256-GCM-SHA384 minTLSVersion: TLSv1.2

modern

``

modern 是一个基于的 TLS 安全配置集：https://wiki.mozilla.org/Security/Server_Side_TLS#Modern_compatibility，如下所示：password: - TLS_AES_128_GCM_SHA256 - TLS_AES_256_GCM_SHA384 - TLS_CHACHA20_POLY1305_SHA256 minTLSVersion: TLSv1.3 注意：当前不支持。https://wiki.mozilla.org/Security/Server_Side_TLS#Modern_compatibility

old

``

旧是基于以下的 TLS 安全配置集： https://wiki.mozilla.org/Security/Server_Side_TLS#Old_backward_compatibility 并类似如下(yaml)：password: - TLS_AES_128_GCM_SHA256 - TLS_AES_256_GCM_SHA384 - TLS_CHACHA20_POLY1305_SHA256 - ECDHE-ECDSA-AES128-GCM-SHA256 - ECDHE-RSA-AES128-GCM-SHA256 - ECDHE-ECDSA-AES256-GCM-SHA384 - ECDHE-RSA-aes256-GCM-sha384 - ECDHE-ECDSA-chaCHA20-POLY1305 - ECDHE-RSA-chaCHA20-POLY1305 - DHE-RSA-aes128-GCM-sha256 - DHE-RSA-aes256-GCM-sha384 - DHE-RSA-chaCHA20-POLY1305 - ECDHE-ECDSA-aes128-SHA256 - ECDHE-RSA-aes128-SHA256 - ECDHE-ECDSA-aes128-SHA - ECDHE-RSA-aes128-SHA - ECDHE-ECDSA-aes256-SHA384 - ECDHE-RSA-aes256-SHA384 - ECDHE-ECDSA-aes256-SHA - ECDHE-RSA-aes256-SHA - DHE-RSA-AES128-SHA256 - DHE-RSA-AES256-SHA256 - AES128-GCM-SHA256 - AES256-GCM-SHA384 - AES128-SHA256 - AES256-SHA256 - AES128-SHA - DES-CBC3-SHA minTLSVersion: TLSv1.0

type

字符串

type 是 Old, Intermediate, Modern 或 Custom 之一。自定义提供指定独立 TLS 安全配置集参数的功能。旧、中间和现代是基于 TLS 安全配置集的： https://wiki.mozilla.org/Security/Server_Side_TLS#Recommended_configurations 配置集基于目的，因此它们可能会在开发新密码时变化，并发现现有的密码是不安全的。根据进程可使用哪些密码，可以减少列表。请注意，Modern 配置集当前不被支持，因为它还没有被通用软件库采用。

pretty

字符串

如果 'true'，则输出被用户友善。

allowWatchBookmarks

布尔值

allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。

继续

字符串

从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。

当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。

fieldSelector

字符串

用于限制返回的对象列表的选择器。默认为任何内容。

labelSelector

字符串

通过标签限制返回的对象列表的选择器。默认为任何内容。

limit

整数

限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。

服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。

resourceVersion

字符串

resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions

默认为未设置

resourceVersionMatch

字符串

resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。

默认为未设置

timeoutSeconds

整数

list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。

watch

布尔值

观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。

200 - OK

Status_v2 模式

401 - Unauthorized

空

allowWatchBookmarks

布尔值

allowWatchBookmarks请求类型为“BOOKMARK”的监视事件。没有实现书签的服务器可能会忽略这个标志和书签，由服务器自由裁量发送。客户端不应假设书签在任何特定间隔返回，也不会假定服务器在会话期间发送任何 BOOKMARK 事件。如果这不是监视，则忽略此字段。

继续

字符串

从服务器检索更多结果时，应设置 continue 选项。由于这个值是定义的服务器，因此客户端只能使用之前查询结果中的 continue 值，并带有相同的查询参数（除 continue 值除外），因此服务器可能会拒绝它无法识别的值。如果指定的 continue 值不再有效，无论是因为过期时间（通常为 5 到十五分钟）还是服务器上的配置更改，服务器将会与继续令牌一起响应 410 ResourceExpired 错误。如果客户端需要一致的列表，它必须在没有 continue 字段的情况下重启其列表。否则，客户端可能会发送另一个列表请求，并带有 410 错误收到的令牌，服务器将通过从下一个密钥开始的列表进行响应，但从最新的快照（从最后一个列表结果中不一致） - 在第一个列表请求后创建、修改或删除的对象将包含在响应中，只要其密钥在"next key"后。

当 watch 为 true 时，不支持此字段。客户端可以从服务器返回的最后一个 resourceVersion 值启动监视，而不丢失任何修改。

fieldSelector

字符串

用于限制返回的对象列表的选择器。默认为任何内容。

labelSelector

字符串

通过标签限制返回的对象列表的选择器。默认为任何内容。

limit

整数

限制是列表调用要返回的最大响应数。如果存在更多项目，服务器会将列表元数据上的"continue"字段设置为可用于同一初始查询的值，以检索下一个结果集。在过滤所有请求的对象时，设置限制可能会返回比请求的项目数量少（最多为零项），客户端应只使用 continue 字段的存在来确定是否有更多结果可用。服务器可以选择不支持限制参数，并将返回所有可用的结果。如果指定了限制，并且 continue 字段为空，客户端可能会假设没有更多可用的结果。如果 watch 为 true，则不支持此字段。

服务器保证在使用 continue 时返回的对象与在没有限制的情况下发出单个列表调用相同 - 也就是说，在发出第一个请求后不会创建、修改或删除对象。这有时被称为一致的快照，并确保使用限制的客户端接收一个非常大的结果较小的块可以确保它们看到所有可能的对象。如果在块列出期间更新对象，则返回第一次列表结果时存在的对象版本。

resourceVersion

字符串

resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions

默认为未设置

resourceVersionMatch

字符串

resourceVersionMatch 决定 resourceVersion 如何应用到列出调用。强烈建议您为设置了 resourceVersion 的列表调用设置 resourceVersionMatch。详情请参阅 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions。

默认为未设置

timeoutSeconds

整数

list/watch 调用的超时。这限制了调用的时间，无论任何活动或不活跃。

watch

布尔值

观察对描述的资源的更改，并将其作为添加、更新和删除通知流返回。指定 resourceVersion。

200 - OK

APIServerList 模式

401 - Unauthorized

空

dryRun

字符串

出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理

fieldManager

字符串

fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。

正文（body）

APIServer 模式

200 - OK

APIServer 模式

201 - Created

APIServer 模式

202 - Accepted

APIServer 模式

401 - Unauthorized

空

name

字符串

APIServer 的名称

pretty

字符串

如果 'true'，则输出被用户友善。

dryRun

字符串

出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理

gracePeriodSeconds

整数

应该删除对象前的持续时间（以秒为单位）。值必须是非负整数。值零表示立即删除。如果这个值是 nil，则使用指定类型的默认宽限期。如果没有指定，则默认为每个对象值。零表示立即删除。

orphanDependents

布尔值

弃用：请使用 PropagationPolicy，此字段将在 1.7 中被弃用。应该依赖的对象被孤立。如果为 true/false，"orphan"终结器将从对象的终结器列表添加到/删除。可以设置此字段或 PropagationPolicy，但不能同时设置两者。

propagationPolicy

字符串

是否以及是否执行垃圾回收。此字段或 OrphanDependents 可以设置，但不能同时设置两者。默认策略由 metadata.finalizers 和特定于资源的默认策略中设置的现有终结器决定。可接受的值为： 'Orphan' - 孤立依赖; 'Background' - 允许垃圾收集器在后台删除依赖的依赖关系； 'Foreground' - 一个删除前台所有依赖的级联策略。

正文（body）

DeleteOptions_v2 schema

200 - OK

Status_v2 模式

202 - Accepted

Status_v2 模式

401 - Unauthorized

空

resourceVersion

字符串

resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions

默认为未设置

200 - OK

APIServer 模式

401 - Unauthorized

空

dryRun

字符串

出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理

fieldManager

字符串

fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。

正文（body）

Patch 模式

200 - OK

APIServer 模式

401 - Unauthorized

空

dryRun

字符串

出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理

fieldManager

字符串

fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。

正文（body）

APIServer 模式

200 - OK

APIServer 模式

201 - Created

APIServer 模式

401 - Unauthorized

空

name

字符串

APIServer 的名称

pretty

字符串

如果 'true'，则输出被用户友善。

resourceVersion

字符串

resourceVersion 对可能给请求提供服务的资源版本设置一个约束。详情请查看 https://kubernetes.io/docs/reference/using-api/api-concepts/#resource-versions

默认为未设置

200 - OK

APIServer 模式

401 - Unauthorized

空

dryRun

字符串

出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理

fieldManager

字符串

fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。

正文（body）

Patch 模式

200 - OK

APIServer 模式

401 - Unauthorized

空

dryRun

字符串

出现时，表示不应保留修改。无效的或未被识别的 dryRun 指令将导致错误响应，且请求不会被进一步处理。有效值为： - All: 所有预演阶段都将被处理

fieldManager

字符串

fieldmanager 是与进行这些更改的参与者或实体相关联的名称。该值必须小于或是 128 个字符长，且仅包含可打印的字符，如 https://golang.org/pkg/unicode/#IsPrint 所定义的那样。

正文（body）

APIServer 模式

200 - OK

APIServer 模式

201 - Created

APIServer 模式

401 - Unauthorized

空