3.4. Red Hat OpenStack Platform 17.1 GA - 2023 年 8 月 17 日

在此次更新之前，即使删除了 metalsmith 工具，裸机 overcloud 节点也被列为 active。在节点命名方案与 overcloud 角色命名方案重叠的环境中发生，这可能会导致错误的节点在取消部署过程中被取消置备。由于 metalsmith 工具首先使用分配名称(hostname)查找裸机节点的状态，所以它有时会发现已删除的节点仍处于活动状态。

在这个版本中，要取消置备的节点现在被分配名称(hostname)引用，这样可确保始终取消置备正确的节点。只有主机名不存在，则节点仅由节点名称引用。

在此次更新之前，实时迁移可能会失败，因为数据库没有使用目标主机详情进行更新。

在这个版本中，数据库中的实例主机值在实时迁移过程中被设置为目标主机。

在此次更新之前，如果您使用与 Load Balancer Virtual IP (VIP)关联的浮动 IP (FIP)，并且流量被重定向到使用 FIP 在 Error 状态下的成员时，不会执行 Open Virtual Network (OVN)负载均衡器健康检查。

在这个版本中，如果您使用与 Load Balancer Virtual IP (VIP)关联的浮动 IP (FIP)，则为 FIP 创建新的负载均衡器健康检查，流量不会重定向到 Error 状态的成员。

在此次更新之前，/home/stack/config-download/overcloud/cephadm 中的 cephadm-ansible 日志不会被轮转。cephadm_command.log 为每个 overcloud 部署附加并增大大小。另外，对于每个 openstack overcloud ceph spec 操作，日志 /home/stack/ansible.log 没有轮转。

现在，会为每个 overcloud 部署生成日期的日志，并以以下格式的每个 Ceph spec 操作：

在此次更新之前，计算服务(nova)不会自信检查虚拟机磁盘(VMDK)镜像文件的内容。通过使用特殊精心设计的 VMDK 镜像，可以将主机文件系统上的敏感文件公开给使用该 VMDK 镜像引导的客户机。在这个版本中，Compute 服务会信任检查 VMDK 文件并禁止泄漏行为所依赖的 VMDK 功能。不再可以使用特殊精心设计的 VMDK 文件泄漏敏感主机文件系统内容。此程序错误修复解决了 CVE-2022-47951 的问题。

在此次更新之前，rgw_max_attr_size 的默认值为 256，它在上传大型镜像时为 OpenStack 上 OpenShift 造成问题。在这个版本中，rgw_max_attr_size 的默认值为 1024。

您可以通过在 overcloud 部署中包含的环境文件中添加以下配置来更改值：

parameters_default:
  CephConfigOverrides:
    rgw_max_attr_size: <new value>

在此次更新之前，OVS 接口的网络配置中的回归会影响网络性能。在这个版本中，o sos-vif OVS 插件已被改进，以提高非 Windows 实例的 OVS 接口上的网络性能。

在此次更新之前，在使用 RHOSP 动态路由的 RHOSP 17.1 环境中，存在一个已知问题：OVN BGP 代理使用的 Autonomous System Number (ASN)的默认值与 FRRouting (FRR)使用的 ASN 不同。

在 17.1 GA 中，这个问题已解决。FrrOvnBgpAgentAsn 和 FrrBgpAsn 默认值有效，无需修改它们。

在此次更新之前，在 RHOSP 部署的生命周期内无法更改 NovaHWMachineType，因为没有 hw_machine_type 镜像属性的机器类型会在硬重启或迁移后使用新配置的机器类型。更改实例的底层机器类型可能会破坏实例的内部 ABI。

在这个版本中，当启动实例时，计算服务会在实例的系统元数据中记录实例类型。因此，现在可以在 RHOSP 部署生命周期内更改 NovaHWMachineType，而不影响现有实例的机器类型。

这个版本引入了安全组日志记录功能。要监控流量流并尝试使用实例，您可以为安全组配置网络服务数据包日志记录。

您可以将任何实例端口与一个或多个安全组关联，并为每个安全组定义一个或多个规则。例如，您可以创建一个规则来丢弃到 finance 安全组中任何实例的入站 ssh 流量。您可以创建另一个规则，以允许该组中的实例发送和响应 ICMP (ping)消息。

然后，您可以将数据包日志记录配置为记录接受和丢弃的数据包流的组合。

您可以将安全组日志记录用于有状态和无状态安全组。

日志记录的事件存储在托管实例的 Compute 节点上，位于 /var/log/containers/stdouts/ovn_controller.log 文件中。

此功能增强可帮助云用户确定他们无法访问"ACTIVE"实例的原因，因为托管该实例的 Compute 节点无法访问。现在，当主机 Compute 节点无法访问时，RHOSP 管理员可以配置以下参数，以启用自定义策略，这可以在云用户运行 openstack show server details 命令时可以提供 host_status 自动的状态：

在这个版本中，您可以通过从 API 数据库中的实例映射查询资源使用情况和实例，而不是从单独的单元数据库计算资源，将 RHOSP 部署配置为计算内核和 RAM 的配额使用量。这样，在出现单元临时下线时或在多单元环境中的单元性能较差时，配额使用量仍然可以正常使用。

设置以下配置选项以计算来自放置的配额使用量：

parameter_defaults:
  ControllerExtraConfig:
    nova::config::nova_config:
      quota/count_usage_from_placement:
        value: 'True'

在这个版本中，您可以使用备份和恢复工作流中的验证框架来验证恢复的系统状态。包括以下验证：

此功能增强允许云管理员在配置共享文件系统服务(manila)后端存储时，通过 director 指定存储后端的可用区(AZ)。

在这个版本中，管理员可以使用 AZ 注解来逻辑地分隔存储置备请求，并表示故障域。管理员配置的 AZ 由共享文件系统服务向最终用户公开。最终用户可以请求其工作负载根据其需要调度到特定的 AZ。在配置多个存储后端时，管理员可能希望将每个后端标记为不同的 AZ，而不是将所有后端都禁止一个 AZ。

director 有新选项来表示存储 AZ。每个选项都对应一个受支持的存储后端驱动程序。有关 AZ 的更多信息，请参阅 配置持久性存储。

在这个版本中，您可以通过定义相应的隔离资源来配置使用 sbd 的 fence_watchdog，如通过 tripleo 的其他隔离设备：

parameter_defaults:
  EnableFencing: true
  FencingConfig:
    devices:
    - agent: fence_watchdog
      host_mac: "52:54:00:74:f7:51"

作为 Operator，您必须启用 sbd 并设置 watchdog 超时：

parameter_defaults:
  ExtraConfig:
    pacemaker::corosync::enable_sbd: true
    tripleo::fencing::watchdog_timeout: 20

在这个版本中，由 overcloud-hardened-uefi-full.qcow2 整个磁盘 overcloud 镜像安装的 LVM 卷现在由一个精简池支持。卷仍然被增长为消耗可用的物理存储，但默认不会过度置备。

精简配置的逻辑卷的好处：

此更新引入了脚本 neutron-remove-duplicated-port-bindings，以修复有时会影响对失败实时迁移处理的问题。

如果实时迁移失败，计算服务(Nova)将恢复迁移。迁移反向意味着删除数据库或目标计算节点上创建的任何对象。

然而，在一些情况下，实时迁移失败后端口会被保留，带有重复的端口绑定。

neutron-remove-duplicated-port-bindings 脚本查找重复的端口绑定，并删除不活跃的绑定。如果实时迁移失败，您可以运行脚本来产生重复的端口绑定。

在这个版本中，Operator 可以为 Pacemaker 管理的虚拟 IP (VIP)启用 run_arping 功能，以便集群预先检查重复的 IP。

要做到这一点，您必须在环境文件中添加以下配置：

  ExtraConfig:
    pacemaker::resource::ip::run_arping: true

如果找到重复项，则会在 /var/log/pacemaker/pacemaker.log 文件中记录以下错误：

Sep 07 05:54:54  IPaddr2(ip-172.17.3.115)[209771]:    ERROR: IPv4 address collision 172.17.3.115 [DAD]
Sep 07 05:54:54  IPaddr2(ip-172.17.3.115)[209771]:    ERROR: Failed to add 172.17.3.115

借助此次更新，您可以将项目和用户名字段添加到传出的数据收集服务(ceilometer)指标。在以前的版本中，云管理员必须依赖项目的 UUID 和用户来识别租户。现在，您可以查看项目和用户名的列表，而不是 UUID。

此功能增强允许用户从 RHOSP 16.2 升级到 RHOSP 17.1，并保持基于 Compute 节点上的基于 Red Hat Enterprise Linux (RHEL) 8 的操作系统，并与运行 RHEL 9 的节点相结合。

必须升级 control plane 节点和存储节点。默认行为是，除非有明确配置，否则所有节点都会升级到 RHEL 9。

在 RHOSP 联网环境中，在创建虚拟机实例时，请不要将实例绑定到虚拟端口 (vport)。反之，使用其 IP 地址不是另一个端口允许的地址对成员的端口。

将 vport 绑定到实例可防止实例生成并生成类似如下的错误消息：

WARNING nova.virt.libvirt.driver [req-XXXX - - - default default] [instance: XXXXXXXXX] Timeout waiting for [('network-vif-plugged', 'XXXXXXXXXX')] for instance with vm_state building and task_state spawning.: eventlet.timeout.Timeout: 300 seconds

如果您在迁移到 OVN 机制驱动程序的过程中使用 IPv6 连接到实例，则当 ML2/OVS 服务停止时，与实例的连接可能会延迟到几分钟。要避免这种情况，请使用 IPv4。

在迁移到 OVN 机制驱动程序时，IPv6 的路由器广告守护进程 radvd 会停止。在停止 radvd 时，路由器公告将不再广播。这个广播中断会导致实例连接在 IPv6 上丢失。新 ML2/OVN 服务启动后，会自动恢复 IPv6 通信。

要避免潜在的中断，请使用 IPv4。

目前，在 ML2/OVS 部署中，Open vSwitch (OVS)不支持设置 skb_priority、skb_mark 或输出队列字段的卸载 OpenFlow 规则。这些字段对于 virtio 端口的服务质量(QoS)支持是必需的。

如果您为 virtio 端口设置了最小带宽规则，则 Networking 服务(neutron) OVS 代理使用 Packet Mark 字段标记此端口的流量。此流量无法卸载，它会影响其他端口中的流量。如果您设置了带宽限制规则，则所有流量都标记为默认的 0 队列，这意味着无法卸载任何流量。

临时解决方案：如果您的环境包含 OVS 硬件卸载端口，请在需要硬件卸载的节点中禁用数据包标记。当您禁用数据包标记时，无法为 virtio 端口设置速率限制规则。但是，区分服务代码点(DSCP)标记规则仍然可用。

在配置文件中，将 disable_packet_marking 标志设置为 true。编辑配置文件时，您必须重启 neutron_ovs_agent 容器。例如：

$ cat `/var/lib/config-data/puppet-generated/neutron/etc/neutron/plugins/ml2/openvswitch_agent.ini`
  [ovs]
  disable_packet_marking=True

在 RHOSP 17.1 中，当部署 DNS 服务(designate)时，当 overcloud 被删除时，在 undercloud 上创建的网络服务(neutron)端口不会被删除。当 overcloud 使用 DNS 服务重新创建或不使用 DNS 服务时，这些端口不会造成操作问题。

临时解决方案：删除 overcloud 后，使用 openstack port delete 命令手动删除端口。

在使用 BGP 动态路由的 RHOSP 17.1 环境中，目前存在一个已知问题：浮动 IP (FIP)端口转发失败。

配置 FIP 端口转发时，发送到带有与 FIP 相等的目标 IP 的特定目标端口的数据包将从 RHOSP 网络服务(neutron)端口重定向到内部 IP。无论使用的协议是什么，都会出现这种情况：TCP、UDP 等。

配置 BGP 动态路由时，不公开执行 FIP 端口转发的路由，这些数据包无法访问其最终目的地。

目前，还没有临时解决方案。

Pacemaker 控制的 ceph-nfs 资源需要一个运行时目录来存储某些进程数据。安装或升级 RHOSP 时会创建该目录。目前，重启 Controller 节点会删除目录，在 Controller 节点重启时不会恢复 ceph-nfs 服务。如果所有 Controller 节点都已重启，ceph-nfs 服务会永久失败。

临时解决方案：如果重启 Controller 节点，登录到 Controller 节点并创建 /var/run/ceph 目录：

$ mkdir -p /var/run/ceph

在所有已重新引导的 Controller 节点上重复此步骤。如果在创建目录后 ceph-nfs-pacemaker 服务已标记为失败，请从任何 Controller 节点执行以下命令：

$ pcs resource cleanup

目前，Logrotate 归档一次所有日志文件，Rsyslog 会停止将日志发送到 Elasticsearch Workaround：在部署期间将 "RsyslogReopenOnTruncate: true" 添加到环境文件，以便 Rsyslog 重新打开日志轮转时的所有日志文件。

目前，RHOSP 17.1 使用了一个旧的 puppet-rsyslog 模块，它配置了一个不正确的 Rsyslog。临时解决方案：在部署 rsyslog 之前，在 /usr/share/openstack-tripleo-heat-templates/deployment/logging/rsyslog-container-puppet.yaml 中手动应用补丁 [1]。

目前，使用 Mellanox ConnectX-5、ConnectX-6 和 Bluefield-2 NIC 的客户机实例存在一个已知问题，以及带有卸载(switchdev)端口的 Bluefield-2 NIC。当您直接从客户机重启操作系统时，需要很长时间来初始化系统，例如，使用 sudo systemctl reboot --reboot-arg=now。如果实例配置了来自同一物理功能(PF)的两个虚拟功能(VF)，则其中一个 VF 的初始化可能会失败，并导致较长的初始化时间。

临时解决方案：使用 OpenStack API 及时重启客户机实例，而不是直接重启客户机实例。

在使用以下 BIOS 配置时，对于 RHOSP 17.1 上 UEFI 引导模式的某些 AMD 平台上的 NFV 部署，overcloud 节点置备可能会失败：

在启用了 DVR 的 ML2/OVN 或 ML2/OVS 的 RHOSP 环境中，连接到不同租户网络的实例之间的 east/west 流量会产生大量到光纤。

因此，这些实例之间的数据包不仅到达运行这些实例的 Compute 节点，还到达任何其他 overcloud 节点。

这可能导致对网络的影响，这可能是安全风险，因为光纤在任何位置发送流量。

这个错误将在 FDP 以后的发行版本中解决。您不需要执行 RHOSP 更新来获取 FDP 修复。

Dashboard 服务(horizon)目前被配置为默认验证客户端 TLS 证书，这会在所有 TLS 随处(TLS-e)部署中中断 Dashboard 服务。

临时解决方案：

目前，RHEL 9.2 中的 Retbleed 漏洞缓解可能会导致 Intel Skylake CPU 上使用 Data Plane Development Kit (OVS-DPDK)的 Open vSwitch 的性能下降。

只有在 BIOS 中禁用了 C-states，超线程被启用，OVS-DPDK 只使用一个给定内核的超线程时，才会发生此性能回归。

临时解决方案：将核心的超线程分配给 OVS-DPDK 或将运行 DPDK 的 SRIOV 客户机（如 NFV 配置指南中的推荐）。

缓冲区超过安全组日志条目的日志队列有时会在达到指定限制前停止接受条目。作为临时解决方案，您可以设置超过您要保存的条目数的队列长度。

您可以使用参数 NeutronOVNLoggingRateLimit 设置每秒的最大日志条目数。如果日志条目创建超过那个速率，则过量在队列中会被缓冲到您在 NeutronOVNLoggingBurstLimit 中指定的日志条目数。

这个问题在突发的第一秒中尤其明显。在较长的突发（如 60 秒）中，速率限值更大，并补偿突发限制。因此，这个问题在短的突发中具有最大比例的影响。

临时解决方案：在比目标值高的值设置 NeutronOVNLoggingBurstLimit。根据需要观察和调整。

带有 OVN 机制驱动程序的 RHOSP 17.1 不支持记录每个端口的流事件，或使用 网络日志 create 命令的 --target 选项。

RHOSP 17.1 支持使用 network log create 命令的 --resource 选项为每个安全组记录流事件。请参阅配置 Red Hat OpenStack Platform 网络 中的"Logging 安全组操作"。

在 RHOSP 17.1 GA 中，当启用了安全基于角色的访问控制(sRBAC)时，DNS 服务(designate)会被错误配置。当前的 sRBAC 策略包含指定不正确的规则，且必须修正指定才能正常工作。

临时解决方案：在 undercloud 服务器上应用以下补丁并重新部署 overcloud：

https://review.opendev.org/c/openstack/tripleo-heat-templates/+/888159

在 RHOSP 17.1 中，有临时数据包丢失的问题，其中硬件中断请求(IRQ)会在 OVS-DPDK PMD 线程或运行 DPDK 应用程序的客户机上出现非自愿上下文切换。

此问题是在部署过程中置备大量 VF 的结果。VF 需要 IRQ，每个必须绑定到物理 CPU。当没有足够的内务 CPU 处理 IRQ 的容量时，irqbalance 无法绑定所有它们，而 IRQ 在隔离的 CPU 上进行绑定。

临时解决方案：您可以尝试一个或多个这些操作：

目前，当替换 bootstrap Controller 节点时，OVN 数据库集群会被分区： 北向和南向数据库有两个数据库集群。这种情形使得实例变得不可用。

要查找 bootstrap Controller 节点的名称，请运行以下命令：

ssh tripleo-admin@CONTROLLER_IP "sudo hiera -c /etc/puppet/hiera.yaml pacemaker_short_bootstrap_node_name"

临时解决方案：执行 Red Hat KCS 解决方案 7024434: 恢复分区集群的 OVN 数据库 中所述的步骤。

目前，以下部署架构不支持 Multi-RHEL：

当执行从 RHOSP 16.2 升级到 17.1 GA 时，存在一个已知问题。集合代理 collectd-sensubility 无法在 RHEL 8 Compute 节点上运行。

临时解决方案：在受影响的节点上编辑文件，/var/lib/container-config-scripts/collectd_check_health.py，并将第 26 行的 "healthy: .State.Health.Status}" 替换为 "healthy: .State.Healthcheck.Status}"/。

在使用 ML2/OVN 机制驱动程序的 RHOSP 17.1 GA 环境中，浮动 IP 端口转发无法正常工作。造成这个问题的原因是，当使用 FIP 时 VLAN 和扁平网络分发南北网络流量，而是应在 Controller 或 Networker 节点上集中 FIP 端口转发。

临时解决方案： 要通过集中式网关节点解决这个问题并强制 FIP 端口转发，可将 RHOSP 编排服务(heat)参数 NeutronEnableDVR 设置为 false，或者使用 Geneve 而不是 VLAN 或扁平项目网络。

在这个 RHOSP 发行版本中，存在一个已知问题：使用 Intel X710 和 E810 系列控制器虚拟功能(VF)的 SR-IOV 接口可能会遇到涉及链接状态流的网络连接问题。受影响的客户机内核版本有：

目前，在为卷使用 Red Hat Ceph Storage (RHCS)后端时存在一个已知问题，这可能会阻止实例重启，并可能导致数据崩溃。当满足以下条件时会出现这种情况：

临时解决方案：不要 重新输入 满足所有列出条件的卷。

元数据服务在多个尝试启动 HAProxy 子容器失败时，元数据服务可能会不可用。元数据代理记录类似："ProcessExecutionError: Exit code: 125; Stdin: ; Stdout: Starting a new child container neutron-haproxy-ovnmeta-<uuid>" 的错误消息。

临时解决方案：运行 podman kill <_container name_> 以停止有问题的 haproxy 子容器。

如果您在其可用性的前几天下载 RHOSP 17.1.0 GA，您可能会发现文件 /etc/rhosp/release 中的版本描述错误地包含 Beta 设计，如下例所示。

(overcloud) [stack@undercloud-0 ~]$ cat /etc/rhosp-release
Red Hat OpenStack Platform release
17.1.0 Beta (Wallaby)

临时解决方案：如果您的 GA 部署会受到影响，请运行以下命令：！dnf -y update rhosp-release

如果您在其可用性的前几天下载 RHOSP 17.1.0 GA，您可能会发现文件 /etc/rhosp/release 中的版本描述错误地包含 Beta 设计，如下例所示。

(overcloud) [stack@undercloud-0 ~]$ cat /etc/rhosp-release
Red Hat OpenStack Platform release
17.1.0 Beta (Ussri)

临时解决方案：如果您的 GA 部署会受到影响，请运行以下命令：！dnf -y update rhosp-release

从 RHOSP 17.0 开始，ML2/OVS 机制驱动程序已弃用。

在多个版本中，红帽将 ML2/OVS 替换为 ML2/OVN。例如，从 RHOSP 15 开始，ML2/OVN 成为默认机制驱动程序。

通过 RHOSP 17 发行版本，支持已弃用的 ML2/OVS 机制驱动程序。在此期间，ML2/OVS 驱动程序保持维护模式，接收程序错误修复和正常支持，大多数新的功能开发都会在 ML2/OVN 机制驱动程序中发生。

在 RHOSP 18.0 中，红帽计划完全删除 ML2/OVS 机制驱动程序并停止支持它。

如果您的现有 RHOSP 部署使用 ML2/OVS 机制驱动程序，请立即开始评估迁移到机制驱动程序的计划。RHOSP 16.2 和 17.1 支持迁移。

红帽需要在尝试从 ML2/OVS 迁移到 ML2/OVN 前提交主动支持问题单。红帽不支持在没有主动支持问题单的情况下进行迁移。请参见 如何在 Red Hat OpenStack Platform 上为计划的活动创建一个主动问题单？

使用 sensubility 通过 podman 监控 API 健康状态在 RHOSP 17.1 中已被弃用。

只有 sensubility 层已弃用。API 健康检查仍处于支持状态。sensubility 层存在与 Sensu 交互，它不再是一个受支持的接口。