Red Hat build of Cryostat 2.1 发行注记
摘要
前言
Red Hat build of Cryostat 是 JDK Flight Recorder (JFR)的一个容器原生实现，可用于安全地监控在 OpenShift Container Platform 集群上运行的工作负载中的 Java 虚拟机(JVM)性能。您可以使用 Cryostat 2.1 使用 Web 控制台或 HTTP API 启动、停止、检索、存档、导入和导出 JVM 的 JFR 数据。
根据您的用例，您可以使用 Cryostat 提供的内置工具直接在 Red Hat OpenShift 集群上存储和分析记录，或者您可以将记录导出到外部监控应用程序，以对记录的数据进行更深入的分析。
红帽构建的 Cryostat 只是一个技术预览功能。技术预览功能不受红帽产品服务等级协议（SLA）支持，且功能可能并不完整。红帽不推荐在生产环境中使用它们。这些技术预览功能可以使用户提早试用新的功能，并有机会在开发阶段提供反馈意见。有关红帽技术预览功能支持范围的更多信息，请参阅技术预览功能支持范围 （红帽客户门户网站）。
使开源包含更多
红帽承诺替换我们的代码、文档和网页属性中存在问题的语言。我们从这四个术语开始：master、slave、黑名单和白名单。由于此项工作十分艰巨，这些更改将在即将推出的几个发行版本中逐步实施。详情请查看 CTO Chris Wright 的信息。
对红帽文档提供反馈
我们感谢您对我们文档的反馈。要提供反馈，您可以突出显示文档中的文本并添加注释。按照以下步骤，了解如何向红帽文档提交反馈。
前提条件
- 登录红帽客户门户。
- 在红帽客户门户网站中，以 多页 HTML 格式查看文档。
流程
点击 反馈 按钮查看现有的读者注释。
注意反馈功能仅在多页 HTML 格式中启用。
- 高亮标记您要提供反馈的文档中的部分。
在您选择的文本旁边的提示菜单中，单击 Add feedback。
文本框将在页面右侧的"反馈"部分中打开。
在文本框中输入您的反馈，然后点 Submit。
您已创建了文档问题。
- 要查看问题，请单击反馈视图中的问题跟踪器链接。
第 1 章 Cryostat 的支持策略
红帽支持一个主版本 Cryostat，最少支持 6 个月。红帽在红帽客户门户上发布产品时，会发布这张图表。
您可以在 Red Hat OpenShift Container Platform 4.8 或更高版本上安装并部署 Cryostat。
其他资源
- 有关 Cryostat 生命周期策略的更多信息，请参阅 Red Hat OpenShift Container Platform 生命周期策略网页上的 Red Hat build of Cryostat。
第 2 章 新功能
Cryostat 2.1 引入了一项新功能，可以增强您的使用 Cryostat 产品。
自动规则用户控制台(UI)
Cryostat 2.1 包含用于自动化规则 API 的用户控制台(UI)。UI 包括以下主要功能：
- 通过支持输入输入来简化用户与 API 交互的表单视图。
- 匹配表达式向导，您可以创建针对特定应用程序的自定义匹配表达式。
- 所选目标应用程序的 JSON 格式视图，以便您可以查看高级应用程序信息。此信息形成了创建匹配表达式的完整组成部分。
- 一个颜色编码的响应系统，指明您的表达式是否与所选目标应用程序匹配。
match 表达式向导包含一个自定义匹配表达式的示例，如果您需要熟悉自定义匹配表达式语法，可以引用该表达式。
将元数据和标签附加到 JFR 记录
当您在 Cryostat 2.1 上创建 JFR 记录时，您可以在记录中添加带有键值对的元数据。另外，您可以将自定义标签附加到目标 JVM 内的 JFR 记录中，以便您可以轻松识别和更好地管理您的 JFR 记录。
元数据和标签的用例包括在记录时运行查询或批处理操作。您可以导航到 Cryostat web 控制台中的 Recordings 菜单，并编辑 JFR 记录中的标签及其元数据。您还可以编辑上传到存档的 JFR 记录的标签和元数据。
对客户端通知的控制
Cryostat 2.1 广播可以进行的所有操作和状态更改的通知，从而导致 Cryostat Web 客户端中出现更多数量的通知。因此，Settings 页面可以控制客户端通知。
Cryostat 2.1 用户可以通过类别和批量启用或禁用所有图形通知。
Cryostat 后端仍然发送通知信息，Web 客户端接收它们。禁用通知可防止在控制台中显示消息。再次启用通知，您可以阅读前面的任何通知。
自定义资源定义
现在，您可以为 Cryostat 实例创建一个自定义资源定义。这允许 Cryostat Operator 使用除 Cryostat 默认协议以外的 JMX 协议连接目标应用程序。默认协议通常是 JMX-RMI。
自定义资源定义由一个 YAML 文件组成，您可以在其中为定义指定以下任何属性：
-
alias，用于为资源定义设置可选名称。 -
注解.cryostat，定义的可选注解。自动规则可使用这些注解将规则应用到目标 JVM。 -
connectUrl指定目标 URL，如 JMX 服务 URL 或host:port对，在打开到目标 JVM 应用程序的 JMX 连接时，C Cryostat 必须使用它。这个属性是必须的。
当您创建自定义目标对象时，C Cryostat Operator 会为对象使用 RESTful API 端点 POST /api/v2/targets。创建对象后，对象的 connectUrl 可用作 REST HTTP API 中的 targetId URL 参数。
您可以使用 TargetDeleteHandler 从 Cryostat Operator 中删除自定义资源定义。此处理程序读取 DELETE /api/v2/targets/:connectUrl 端点请求，并尝试从 Cryostat Operator 中删除定义。
TargetsPostHandler 和 TargetDeleteHandler 包括代码的错误消息，如果处理程序无法处理请求，则会提供详细的错误消息。
Cryostat Operator 的环境变量
Cryostat 2.1 包括以下环境变量，您可以将其设置为更改 Cryostat Operator 的行为：
-
CRYOSTAT_REPORT_GENERATION_MAX_HEAP: Defaults to200MiB。设置容器子进程使用的最大堆大小来生成自动化规则分析报告。 -
CRYOSTAT_MAX_WS_CONNECTIONS: Defaults tounlimited。设置您的 Cryostat 应用程序支持的最大 WebSocket 客户端连接数。 -
CRYOSTAT_TARGET_CACHE_SIZE: 默认为-1，它表示一个无限缓存。设置 OpenShift Operator 可以缓存至 Cryostat 应用程序的最大 JMX 连接数。 -
CRYOSTAT_TARGET_CACHE_TTL：默认为10，表示 JMX 连接在您的 Cryostat 实例内存中缓存的时间（以秒为单位）。
JMC Agent 插件支持
Cryostat 2.1 支持 JMC Agent 插件，通过使用一组 API 处理程序来管理探测模板。
安装 JMC Agent 应用程序并将其构建后生成 JAR 文件，您可以使用 JMC Agent 插件访问 Cryostat 应用程序的代理功能。此插件为您的 Cryostat 实例提供 JMC Agent 功能，如将 JDK Flight Recorder (JFR)功能添加到正在运行的应用程序。
Red Hat OpenShift 身份验证 for Cryostat 2.1
Cryostat 2.1 将 Red Hat OpenShift 内置的 OAuth 服务器集成到其框架中。启用后，用户可以使用其 Red Hat OpenShift 用户名和密码登录到 Cryostat。此集成功能提供了比在 Cryostat 2.0 中提供的一个更好的机制，您必须从 Red Hat OpenShift Web 控制台手动复制 Red Hat OpenShift 授权令牌，然后在控制台的 Cryostat 应用程序 URL 部分中粘贴令牌详情。
另外，您可以使用 Red Hat OpenShift 中分配的基于角色的访问控制(RBAC)角色限制对 Cryostat 功能的访问。
Cryostat 2.1 发行版本包括 GET /health 响应对象的以下密钥：
-
DATASOURCE_CONFIGURED -
DASHBOARD_CONFIGURED -
REPORTS_CONFIGURED -
REPORTS_AVAILABLE
Red Hat OpenShift 凭证
从 Red Hat OpenShift Web 控制台登录到 Cryostat 2.1 web 控制台后，Cryostat Operator 会在会话期间在 Red Hat OpenShift 帐户中临时将用户名和密码凭证存储在 Red Hat OpenShift 帐户中。这可防止您的 Cryostat web 控制台会话在登出 Cryostat web 控制台前结束。
在 Cryostat 2.1 中管理 Java 管理扩展凭证
您可以存储和管理用于在容器化 Java 虚拟机(JVM)身份验证的 Java 管理扩展(JMX)凭证。当您希望 Cryostat 记住并重复使用多个 JVM 的凭证时，此功能很有用。
将 JMX 凭证添加到 Cryostat 时，您无法再查看凭证。这会保持凭证安全，因为在在 Cryostat web 控制台中输入凭证后，您的凭证不会保持可见。如果要替换凭证，必须删除凭证并再次添加凭证。
新的自动化规则环境变量
在 Cryostat 2.1 之前，如果这些 JMX 连接之前被缓存到您的 Cryostat 实例的内存，则自动化规则的 JMX 连接将关闭。出现这个问题的原因是 CRYOSTAT_TARGET_CACHE_MAX_CONNECTIONS 环境变量的行为。
Cryostat 2.1 的 JMX 缓存组件现在使用 CRYOSTAT_TARGET_CACHE_SIZE _SIZE 环境变量，而不是 CRYOSTAT_TARGET_CACHE_MAX_CONNECTIONS 环境变量。这意味着，您打开的任何 JMX 连接都不会通过将规则自动缓存到您的 Cryostat 实例内存。这可防止自动规则填充缓存存储空间，并导致使用 JMX 连接关闭，这可能会导致性能下降并响应时间。
CRYOSTAT_TARGET_CACHE_SIZE 环境变量指定您的 Cryostat 实例内存中缓存的最大 JMX 连接数。您可以为这个环境变量指定以下值：
-
< 0：默认值为
-1。值小于0表示一个无限的缓存大小。这意味着，JMX 连接只有在达到不活跃限制时才能从内存中删除。 - 0：当这些连接关闭时，值为 0 表示会立即从内存中删除 JMX 连接。
-
>
0: value 大于 0 表示 Cryostat 实例可以在其内存中缓存一组 JMX 连接。如果在缓存数量达到其级别时创建新的连接，则最旧的 JMX 连接将关闭并从内存中删除以促进新连接的存储。
自动规则可以重新使用任何之前缓存的 JMX 连接。如果没有 JMX 连接，则 Cryostat Operator 会为自动规则创建新的 JMX 连接。这个连接不会缓存到内存。
资源要求
默认情况下，Cryostat Operator 会部署 Cryostat 应用程序，而无需为 Cryostat 实例的主 pod 在 Red Hat OpenShift 上运行的三个容器指定任何资源请求或限制。Cryostat 2.1 包含一个功能，您可以使用 Cryostat 自定义资源(CR)为以下三个容器指定资源请求或限值：
-
核心，用于运行 Cryostat 后端服务和 Web 应用程序。 -
数据源，运行 JFR 数据源，可将您的 JFR 记录转换为 Grafana 支持的文件格式。 -
Grafana，用于运行与您的 Cryostat 应用程序关联的 Grafana 实例。
Sidecar 报告容器
在 Cryostat 2.1 中，您可以使用 sidecar 报告容器为 JDK flight 记录(JFR)生成自动分析报告。
在 Cryostat 2.1 之前，您必须依赖主 Cryostat 容器来生成分析报告。这个方法非常大，可能会影响到运行 Cryostat 应用程序的性能，因为您可能需要为主 Cryostat 容器置备其他资源。
通过在 sidecar 报告容器中生成分析报告，您可以有效地使用 Cryostat Operator 来为您的 Cryostat 应用程序置备资源。这为您的 Cryostat 容器提供了较低的资源空间，因为与容器交互的 Cryostat Operator 可以专注于通过 HTTP 和 JMC 连接运行低元操作。
另外，您可以重复 sidecar 报告容器，然后配置这个重复以满足您的需要。
第 3 章 功能增强
Cryostat 2.1 包含根据 Cryostat 2.1 产品构建的功能增强。
归档 视图
Cryostat 2.1 web 控制台包含一个 归档 菜单项。选择此菜单项后，控制台中会显示一个归档记录表。这个表改进了它遵循 split 视图的 Cryostat 2.0 表，并使用 GraphQL 查询来填充表数据。
归档 菜单项上的归档记录表与在 记录 记录菜单中显示 的所有目标 JVM 的归档记录表不同。
图 3.1. Cryostat Web 控制台中的归档视图
cert-manager API
Cryostat 2.1 支持 1.5.3 版本，以便 Cryostat Operator 现在使用 cert-manager API 为目标 JVM 设置 TLS 证书。
创建目标 对话框
Cryostat 2.1 在 Create Target 对话框中禁用 Create 按钮，直到您在 Connection URL 字段中输入值为止。
另外，连接 URL 字段包括 JMX 服务 URL 的示例，当您需要在字段中输入有效 URL 时可以引用该 URL。
图 3.2. Dashboard 菜单项中的 Create Target 对话框
Cryostat Operator 服务自定义
Cryostat Operator 现在在其 YAML 配置文件中包含一个 spec.serviceOptions 属性，以便您可以更改 Operator 的以下服务选项：
- 注解
- 标签
- 端口号
- 服务类型
更改 default 服务选项值后，Cryostat Operator 会为以下组件创建服务：
- Cryostat 应用程序
- Grafana 应用程序
- 报告生成器微服务
Cryostat Operator 详情
OpenShift Container Platform (OCP) Web 控制台中的 Cryostat Operator 详情页面包括以下功能增强：
- 对 Cryostat Operator 的更新名称引用。在 Cryostat 2.1 发布后，C Cryostat 应用程序和 Cryostat Operator 在 OCP 上的名称类似。
- Cryostat 网站的链接
图 3.3. Cryostat Operator 详情页面的新改进
下载 Cryostat 文件行为
当您从 Cryostat 2.0 web 控制台下载文件时，如从 Active Recordings overflow 菜单中选择 Download Recording 项，您需要完成以下步骤：
- 将远程文件下载到默认 Web 浏览器的内存。
- 为 blob 文件项目创建本地对象 URL。
此行为将更正 Web 浏览器下载菜单中的 Cancel 选项的目的。如果要取消 JFR 二进制文件的下载操作，这可能会出现问题。
Cryostat 2.1 依赖于您的网页浏览器可用的 HTML 5 下载 属性来管理文件下载。此属性从 href 属性读取 anchor 元素，然后指示您的 Web 浏览器下载该文件。此下载操作可减少 Web 浏览器显示 Save File 菜单所需的时间，以便您可以选择取消下载操作，然后再将文件保存到本地系统。
文件上传功能
在 Cryostat 2.1 上的大型文件上传操作中，如从 Re-Upload Archived Recordings 对话框中重新上传存档记录，您可以点 Cancel 按钮停止文件上传操作。此时将显示 Progress 对话框中的 Upload，您应该选择继续取消操作。
图 3.4. 取消按钮，在 Re-Upload Archived Recordings 对话框中取消按钮
在取消操作完成后，您的 Web 浏览器会显示没有转移到 Cryostat 应用程序的 JFR 文件的大小。
JFR-datasource 容器
Cryostat 2.0 包含一个问题，其中 Cryostat Web 控制台不会在 About 页面中显示版本号。Cryostat 2.1 通过更改 codebase 来解决这个问题，以确保在此页面上显示版本号，而不考虑 jfr-datasource 或 grafana 仪表板配置设置。
图 3.5. 关于 Cryostat web 控制台中的页面
Netty 性能回归
使用 Vert.x BodyHandler 类的处理程序实施不再遇到 Cryostat 2.0 中无法识别的性能问题，如接受文件上传，其中标准 HTTP 表单上传由处理程序的预期。这些文件上传可能会导致 Vert.x 资源约束，因为处理程序可能会在 Vert.x 上的临时文件上传存储位置中永久存储这些文件。另外，Netty 的 POST 表单的解析可能会导致在处理 API 请求时大于预期的内存用量。
Cryostat 2.1 使用 Vert.x 版本 3.9.9，其中包括到版本 4.1.67。此升级改进了处理程序如何将文件上传到 Vert.x 的速度和逻辑。
Red Hat OpenShift 集群与外部 JVM 连接
Cryostat 2.0 存在一个已知问题：将带有 JVM 的 Red Hat OpenShift 集群连接到与 Cryostat 节点上运行的不同节点上的 JVM。
Cryostat 2.1 解决了新的 CRYOSTYAT_ENABLE_JDP_BROADCAST 环境变量，它被设置为 false。此环境变量的默认配置在 Red Hat OpenShift 上禁用 Java 发现协议(JDP)，因此 Cryostat 2.1 现在可以连接到位于任何节点上的 JVM。
RecordingPostHandler 行为更改
Cryostat 2.1 增强了 RecordingPostHandler 实施，以便它现在可以按顺序解析 JFR 二进制文件。Cryostat 2.0 中的实现会解析数据，然后组成一个事件列表。
新实现有以下优点：
- 提供了一种简单方法
- 运行需要较少的资源
- 验证已上传的数据比之前的行为快
安全 菜单项
选择 Cryostat 2.1 实例上的 Security 菜单项后，您可以访问 Store JMX Credentials 标题。
图 3.6. 在安全菜单项中存储 JMX 凭证
Store JMX Credentials 标题提供了一种便捷的方式，可轻松查看存储 JMX 凭证的任何目标 JVM。
另外，在此标题项目中，您可以在特定目标 JVM 中添加存储的凭证。对于需要 JMX 验证的目标 JVM，在提示时必须提供您的用户名和密码。在尝试打开到目标 JVM 的 JMX 连接时，C Cryostat 可以使用存储的凭证。
setCachedTargetSelect implementation
在 Cryostat 2.1 发布后，当您登录到 Cryostat web 控制台并进入 Dashboard 时，您从之前的会话中选择的 JVM 将显示为 Target JVM 下拉列表下的默认值。即使 Cryostat 不再可以连接到这个 JVM，也会发生这种情况。
Cryostat 2.1 通过在每个新会话开始时刷新目标 JVM 列表来解决这个问题，然后仅列出 JVM 可以建立连接的 JVM。
您可以通过导航到 Settings > Auto-Refresh，为您的 Cryostat web 控制台配置刷新周期。在提供的字段中，您可以指定一个以秒为单位、分钟或小时的值。您必须选中" 启用 "复选框才能完成配置。
GUI masthead 中的用户名
Cryostat 2.1 从 /v2.1/auth 端点获取用户名，因此它可以在 Cryostat Web 控制台 masthead 中显示用户名。在 Cryostat 2.0 中，只有在在基本身份验证模式中启动 Cryostat 实例时，才能查看您的用户名。
图 3.7. 在 Cryostat web 控制台的 masthead 中显示的用户名
WebSocket API
Cryostat 2.1 更新其 WebSocket API，以支持无限 WebSocket 客户端连接。在此发行前，WebSocket API 只能支持最多 64 个客户端连接。
对于 Cryostat 2.1，WebSocket API 现在会自动收到有关使用相同单向推送通知频道(NC)频道的、无限连接客户端执行的操作信息。
第 4 章 不支持和弃用的功能
Cryostat 2.1 消除了一些功能，因为其高的维护成本、更低的社区利益以及更好的替代解决方案。
容器JFR 变体
Cryostat 2.1 移除了 TimeoutHandler 实施。Vertx 服务器不再使用这个实现来自动结束一个延迟响应消息，这些消息由 Cryostat 请求处理程序发送。WebClientAssetsHandler 和 StaticAssets 处理程序 现在阻止这些延迟响应问题。
第 5 章 已知问题
有时，C Cryostat 版本可能包含红帽确认的问题或问题，并可能会在产品开发过程中在以后的阶段修复。查看每个已知问题以了解其描述及其解决方案。
Cryostat Operator 升级
- Description
当将 Cryostat Operator 订阅从 Cryostat 2.0 更新至 Cryostat 2.1 时，您必须将更新频道从
stable-2.0改为stable。在这个升级过程后，OpenShift Operator 从 Cryostat 2.0 创建的一些 Red Hat OpenShift 对象将包含一些过时的定义。当您与 Cryostat 2.1 实例交互时，这些定义可能会导致 Cryostat 组件之间的连接问题。
- 临时解决方案
删除您的 Cryostat 2.1 实例中存在的 Cryostat 2.0 服务和部署。
示例显示从 Cryostat 2.1 实例移除 Cryostat 2.0 服务和部署
oc project <cryostat_project> cryostats=$(oc get cryostat --template \ '{{range .items}}{{.metadata.name}}{{"\n"}}{{end}}') for cryostat in ${cryostats}; do oc delete svc,deploy -lapp="${cryostat}" done在移除这些定义后，您的 Cryostat Operator 会使用 Cryostat 2.1 对象定义创建服务和部署。这会恢复 Cryostat 组件间的连接，并保留在 Cryostat 2.1 中由 Cryostat 2.0 创建的 JFR 记录。
已删除 归档记录表中 的条目
- Description
- Recordings 菜单项中的归档 记录表不会立即删除您已删除的所有归档记录。
- 临时解决方案
- 选择除 Recordings 外的任何菜单项，然后选择 Recordings 菜单项。Archived Recordings 表现在显示所有可用的归档记录。
Cryostat 的 API 处理行为
- Description
Cryostat 2.1 不同时处理 API 请求，这可能会导致 Cryostat 实例的性能问题。
在以下示意图中，以下符号表示操作：
- 并行行(|): Cryostat 正在处理 API 请求。
- 一个点的行(.)： Cryostat 尚未处理请求。
"x": Cryostat 已处理请求。
图 5.1. Cryostat 如何处理 API 请求的当前行为示例
API 请求 A （一个缓慢的请求）在客户端发出 API 请求 B 时运行，然后 API 请求 C，快速请求。Cryostat 无法处理 API 请求 B，直到完成处理 API 请求 A。此活动与 Cryostat 处理 API 请求 B 和 C 的方式类似。
图 5.2. Cryostat 如何处理 API 请求的预期行为示例
客户端在不同时间段内发送每个请求。Cryostat 在 API 请求 A 之前处理 B 和 C，因为 Cryostat 可以在任何缓慢请求前处理快速请求。此行为减少了 Cryostat 的任何性能问题，因为 Cryostat 可以同时处理 API 请求并将响应发回到客户端。
- 临时解决方案
- 目前，这个问题还没有临时解决方案。
重复文件名显示在 归档记录表 下
- Description
当您将具有相同文件名的文件重新上传到表中的文件时，会在 Recordings 菜单项 上的 Archived Recordings 表中发生了一个问题。
如果您试图删除或编辑这个已知问题的 re-uploaded 文件，则 Cryostat 将对这两个文件应用更改。这些更改可能会影响您与文件交互的方式，因为您可能要使用 Cryostat 来分析不正确的文件。
注意在以下情况下不会出现这个问题：
- 如果您立即归档与同一目标 JVM 相关的两个活动记录。
- 如果您重新上传一次相同的文件到 Cryostat。Cryostat 将每个重新上传的文件存储在与特定目标 JVM 无关的存储位置。
对于这两种情况，C Cryostat 会将数字附加到第二个文件，使其与第一个文件区分开来。
以下目录结构示例显示了与所选目标 JVM 存档 对应的存储位置的
20220401T212052Z.jfr归档文件。当您将本地系统中相同命名的文件重新上传到 Cryostat 的存档位置时，C Cryostat 会将文件存储在不与任何目标 JVM 对应的存储位置，而不是标记。archive/ ├── file-uploads ├── ONSXE5TJMNSTU2TNPA5HE3LJHIXS6L3KNZSGSL3SNVUTULZPMNZHS33TORQXIORZGA4TGL3KNV4HE3LJ │ └── es-andrewazor-demo-Main_foo_20220401T212052Z.jfr └── unlabelled └── es-andrewazor-demo-Main_50mb_20211224T172734Z.2.jfr └── es-andrewazor-demo-Main_50mb_20211224T172734Z.jfr └── es-andrewazor-demo-Main_foo_20220401T212052Z.jfr根据前面的示例，归档 记录表上的 re-upload 操作的当前行为显示了两个名称相同的文件。Cryostat 对两个文件应用相同的名称，因为 Cryostat 会标识每个文件具有不同的存储位置。
Cryostat 上的 re-upload 操作的预期行为会将后续数字附加到重新上传的文件。这意味着，该文件与表中存在的文件的名称不相同。
- 临时解决方案
- 目前，这个问题还没有临时解决方案。
第 6 章 与此发行版本相关的公告
以下公告已发布为这个版本中包含的程序错误修复和 CVE 修复：
更新于 2023-09-19
