第 3 章 程序错误修复

检测 OpenShift 环境时对 operator 逻辑的更新

在 OpenShift 集群重启期间，T RHTAS 操作器逻辑用于检测 OpenShift 环境是不可靠的。Operator 会错误地认为它在非 OpenShift 环境中运行，并错误地配置了系统。这会导致 API 不可用，Trillian 数据库 pod 无法启动。这也会导致 OpenShift 安全性上下文约束(SCC)违反。

企业合同速度更快且效率更高

在此次更新之前，企业合同(EC)将从配置的源下载策略和策略数据，以验证每个组件。这会导致 ec validate image 命令通过下载超过所需数据来运行更长。在本发行版本中，当 ec validate image 命令检测到相同的策略源来验证不同的容器镜像时，它不再会多次下载策略数据。

Operator 在 nil pointer 异常上终止

当 fulcio.spec.privateKeyPasswordRef 的 Certificate Transparency 日志'(CTlog)密码被错误设置时，RH RHTAS operator 会终止且没有有意义的错误消息。在这个版本中，我们为此场景添加了更强大的错误处理，并在未正确设置 CTlog 时更有意义的 operator 错误消息。

Fulcio 证书的常见名称错误

sigstore.issuer 字段被硬编码为使用 spec.certificate.commonName 中指定的通用 name 值用于 Fulcio 证书。在这个版本中，我们添加了相应的逻辑来正确设置 sigstore.issuer 字段。如果 spec.certificate.commonName 为空，则我们根据 spec.externalAccess.host 值设置 sigstore.issuer。如果 spec.certificate.commonName 和 spec.externalAccess.host 为空，则将 sigstore.issuer 设置为 OpenShift 集群的域名。因此，我们为 Fulcio 证书正确设置了通用名称。

从 Operator 中删除了 kube-rbac-proxy

弃用了 kube-rbac-proxy 的 -- tls-cert-file 和--tls-private-key-file 标志后，我们在安装 RHTAS operator 时删除了基于角色的访问控制(RBAC) HTTP 代理资源。因此，您需要在 Operator 命名空间中有一个预定义的证书和私钥。默认 operator 命名空间为 openshift-operators。因此，我们不再使用此 RBAC HTTP 代理资源来保护 Operator 控制器的 /metrics API 端点。

默认启用 Rekor 搜索 UI

在这个版本中，用户不再需要手动安装 Rekor 搜索用户界面(UI)。我们默认启用 Rekor 搜索 UI。

CreateTree 任务在失败后继续运行

在删除并重新安装 RHTAS 服务时，CreateTree 任务在某些情况下可能会持续运行，从而防止后续安装成功。在这个版本中，如果 RHTAS 安装过程检测到 CreateTree 任务正在运行，则它将清理任务而无需用户干预。如需了解更多详细信息，请参阅 GitHub 问题 #230。

将 kube-rbac-proxy 的上游版本替换为支持的版本

Red Hat Trusted Artifact Signer 1.0 与 Role-base 访问控制(RBAC)代理容器( gcr.io/kubebuilder/kube-rbac-proxy )提供的上游版本提供。在这个版本中，我们将上游版本替换为官方支持的红帽版本 registry.redhat.io/openshift4/ose-kube-rbac-proxy。

当没有足够的内存可用时，可信工件 Signer operator 可能会崩溃

在安装 RHTAS 操作器的过程中，如果没有足够的内存分配，这会导致 CrashLoopBackoff 状态。此崩溃导致 RHTAS 操作器无法正确安装。

缺少企业合同二进制下载

当用户试图下载企业合同(EC)二进制文件时，它们会收到 404 页面。由于 Windows 的 EC 二进制文件的路径设置不正确，因此这会产生 404 页面。在这个版本中，Windows 的 EC 二进制文件的路径会被正确设置，不再提供 404 页面。

cosign Windows 可执行文件缺少 .exe 扩展

下载二进制文件时，Windows 的 cosign 二进制文件缺少 .exe 文件扩展名。缺少 .exe 文件名扩展不允许 cosign 二进制文件在 Windows 上运行。在这个版本中，co sign 二进制文件扩展 .exe 文件名，并在 Windows 中按预期运行。

升级 Trusted Artifact Signer operator 的技术预览版本会失败

在以前的版本中，RHTAS operator 的技术预览版本(0.0.2)会自动升级到 GA 版本(1.0.0)，从而导致升级失败。如果 Securesign 实例及其自定义资源(CR)已存在，则从技术预览版本升级不再会失败。

分段备份作业的集群权限

在以前的版本中，负责收集 Rekor 和 Fulcio 指标的片段备份服务帐户的基于角色的访问控制(RBAC)错误配置有升级的权限。在启用片段备份作业时，这些升级的特权可以读取集群范围的 secret。