1.8. 已知问题

在 OpenShift Container Platform 4.1 中，匿名用户可以访问发现端点。之后的版本会取消对这端点的访问，以减少可能的安全漏洞攻击面。一些发现端点被转发到聚合的 API 服务器。但是，升级的集群中会保留未经身份验证的访问，因此现有用例不会中断。

如果您是一个从 OpenShift Container Platform 4.1 升级到 4.11 的集群的集群管理员，您可以撤销或继续允许未经身份验证的访问。除非对未经身份验证的访问有特殊需要，否则您应该撤销它。如果您继续允许未经身份验证的访问，请注意相关的风险。

使用以下脚本撤销对发现端点的未经身份验证的访问：

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

此脚本从以下集群角色绑定中删除未经身份验证的对象：

(BZ#1821771)

在 OpenShift Container Platform 4.11 中，MetalLB Operator 范围已从命名空间改为集群，这会导致从以前的版本升级失败。

作为临时解决方案，删除以前版本的 MetalLB Operator。不要删除 MetalLB 自定义资源的命名空间或实例，并部署新的 Operator 版本。这会保持 MetalLB 运行并配置。

如需更多信息，请参阅升级 MetalLB Operator。(BZ#2100180)

在裸机 IBM Power 上运行 OpenShift Container Platform 时，存在一个已知问题：Petitboot bootloader 无法为某些 RHCOS live 镜像填充引导配置。在这种情况下，在使用 PXE 启动节点安装 RHCOS 后，预期的实时镜像磁盘配置可能无法可见。

作为临时解决方案，您可以使用 kexec 从 Petitboot shell 手动引导。

识别存放 live 镜像的磁盘，在这个示例中为 nvme0n1p3，再运行以下命令：

# cd /var/petitboot/mnt/dev/nvme0n1p3/ostree/rhcos-*/
# kexec -l vmlinuz-*.ppc64le -i initramfs-*.img -c "ignition.firstboot rd.neednet=1 ip=dhcp $(grep options /var/petitboot/mnt/dev/nvme0n1p3/loader/entries/ostree-1-rhcos.conf | sed 's,^options ,,')" && kexec -e

(BZ#2107674)

如果您有 OpenShift 沙盒容器，在升级集群时，您可能会遇到 Machine Config Operator(MCO)pod 变为 CrashLoopBackOff 状态的问题，pod 的 openshift.io/scc 注解会显示 sandboxed-containers-operator-scc，而不是默认的 hostmount-anyuid 值。

如果发生了这种情况，将 sandboxed-containers-operator-scc SCC 中的 seLinuxOptions 策略临时改为不太严格的 RunAsAny，以便准入进程会首选 hostmount-anyuid SCC 而不是它。

(KATA-1373)