第 9 章 更新受限网络集群
您可以使用 oc CLI 更新受限网络 OpenShift Container Platform 集群。
受限网络环境是集群节点无法访问互联网的环境。因此，您必须在 registry 中填充安装镜像。如果您的 registry 主机无法同时访问互联网和集群，您可以将镜像镜像到与这个环境断开连接的文件系统中，然后使用主机或可移动介质填补该空白。如果本地容器 registry 和集群连接到镜像 registry 的主机，您可以直接将发行镜像推送到本地 registry。
如果受限网络中有多个集群，请将所需的发行镜像镜像到单个容器镜像 registry，并使用该 registry 更新所有集群。
9.1. 先决条件
- 可以访问互联网来获取所需的容器镜像。
- 具有对 restricted-network 环境中的容器 registry 的写入权限，以便推送和拉取镜像。容器 registry 必须与 Docker registry API v2 兼容。
-
您必须安装了
oc命令行界面（CLI）工具。 -
使用具有
admin权限的用户访问集群。请参阅使用 RBAC 定义和应用权限。 - 具有最新的 etcd 备份，以防因为升级失败需要将集群恢复到以前的状态。
- 确保所有机器配置池 (MCP) 都正在运行且未暂停。在更新过程中跳过与暂停 MCP 关联的节点。如果要执行 canary rollout 更新策略，可以暂停 MCP。
- 如果您的集群使用手动维护的凭证，请确保 Cloud Credential Operator（CCO）处于可升级状态。如需更多信息，请参阅为 AWS、Azure 或 GCP 手动维护凭证升级集群。
重要
如果您使用附加的 Prometheus PVC 运行集群监控，在集群升级过程中可能会出现 OOM 终止的情况。当 Prometheus 使用持久性存储时，Prometheus 内存在升级过程中会加倍，并在升级完成后的几小时内仍会是这个情况。为了避免 OOM 终止问题，允许升级前有双倍可用内存的 worker 节点。例如，如果您在最低推荐节点上运行监控（2 个内核，8 GB RAM）,将内存增加到 16 GB。如需更多信息，请参阅 BZ#1925061。
