1.9. 已知问题

在 OpenShift Container Platform 4.1 中，匿名用户可以访问发现端点。之后的版本会取消对这端点的访问，以减少可能的安全漏洞攻击面。一些发现端点被转发到聚合的 API 服务器。但是，升级的集群中会保留未经身份验证的访问，因此现有用例不会中断。

如果您是一个从 OpenShift Container Platform 4.1 升级到 4.8 的集群的集群管理员，您可以撤销或继续允许未经身份验证的访问。建议取消未经身份验证的访问，除非有特殊需要。如果您继续允许未经身份验证的访问，请注意相关的风险。

使用以下脚本撤销对发现端点的未经身份验证的访问：

## Snippet to remove unauthenticated group from all the cluster role bindings
$ for clusterrolebinding in cluster-status-binding discovery system:basic-user system:discovery system:openshift:discovery ;
do
### Find the index of unauthenticated group in list of subjects
index=$(oc get clusterrolebinding ${clusterrolebinding} -o json | jq 'select(.subjects!=null) | .subjects | map(.name=="system:unauthenticated") | index(true)');
### Remove the element at index from subjects array
oc patch clusterrolebinding ${clusterrolebinding} --type=json --patch "[{'op': 'remove','path': '/subjects/$index'}]";
done

此脚本从以下集群角色绑定中删除未经身份验证的对象：

(BZ#1821771)

当使用用户置备的基础架构在 vSphere 上打开虚拟机时，扩展节点的过程可能无法正常工作。虚拟机监控程序配置中的一个已知问题会导致在虚拟机监控程序中创建机器，但不会开机。如果在扩展机器集后某个节点可能处于 Provisioning 状态，您可以调查 vSphere 实例本身中的虚拟机状态。使用 VMware 命令 govc tasks 和 govc events 来确定虚拟机的状态。检查类似以下内容的错误消息：

Invalid memory setting: memory reservation (sched.mem.min) should be equal to memsize(8192).

您可以使用 VMware KBase 文章中的步骤解决这个问题。如需更多信息，请参阅红帽知识库解决方案 UPI vSphere 节点扩展无法正常工作。（BZ#1918383）

当 ArgoCD Operator 订阅并启动 ArgoCD 和 AppProject 时，启动名为 guestbook 的示例应用程序会失败，因为镜像无法在更严格的 OpenShift Container Platform 环境中工作。作为临时解决方案，用户可通过部署以下示例来确保 ArgoCD Operator 正常工作：

PROJ=younamespace
cat > $PROJ-app.yaml <<EOF
apiVersion: argoproj.io/v1alpha1
kind: Application
metadata:
  name: simple-restricted-webserver
  namespace: $PROJ
spec:
  destination:
    namespace: $PROJ
    server: https://kubernetes.default.svc
  project: default
  source:
    path: basic-nginx
    repoURL: 'https://github.com/opdev/argocd-example-restricted-apps.git'
    targetRevision: HEAD
EOF
oc create -f $PROJ-app.yaml

如需更多信息，请参阅 BZ#1812212。

当使用 pathType: Prefix 时，使用 Ingress 创建透传路由会失败。反之，您可以通过将 pathType 设置为ImplementSpecific 并将 path 设置为 '' 来创建 passthrough 路由：

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: ingress7
  namespace: test-ingress
  annotations:
    route.openshift.io/termination: passthrough
spec:
  rules:
  - host: <ingress-psql-example-test-ingress.apps>
    http:
      paths:
      - path: ''
        pathType: ImplementationSpecific
        backend:
          service:
            name: <ingress-psql-example>
            port:
              number: 8080

如需更多信息，请参阅 BZ#1878685。

在 OpenShift Container Platform 4.8 之前，默认的负载平衡算法是 leastconn。在 OpenShift Container Platform 4.8.0 中，对于非透传的路由，默认设置为 random。切换到 random 与需要使用长时间运行的 websocket 连接的环境不兼容，因为它显著提高了这些环境中的内存消耗。为缓解这种显著内存消耗，在 OpenShift Container Platform 4.8 中默认负载均衡算法被恢复为 leastconn。一旦有一个不会产生大量内存用量的解决方案可用后，在以后的 OpenShift Container Platform 发行版本中，默认值将更改为 random。

您可以输入以下命令来检查默认设置：

$ oc get deployment -n openshift-ingress router-default -o yaml | grep -A 2 ROUTER_LOAD_BALANCE_ALGORITHM
        - name: ROUTER_LOAD_BALANCE_ALGORITHM
          value: leastconn

random 选项仍然可用。但是，受益于此算法选择的路由必须通过输入以下命令在注解中明确设置该选项：

$ oc annotate -n <NAMESPACE> route/<ROUTE-NAME> "haproxy.router.openshift.io/balance=random"

(BZ#2017708)

从 4.7 OpenShift Container Platform 集群升级到 4.8 后，默认禁用 OpenShift Container Platform 节点上的二级网络接口控制器 (NIC) 从内部网络到外部网络 pod 的路由路径。这是因为从 4.8 开始，共享网关是 Open Virtual Network (OVN) 设计的默认网关模式。如果需要该路由路径，则作为升级前或之后的临时解决方案，请在 openshift-network-operator 命名空间中创建一个 gateway-mode-config 配置映射，将 OVN 网关模式强制设置为 local。

输入以下命令在 openshift-network-operator 命名空间中创建 gateway-mode-config ：

$ cat localGW.yml

apiVersion: v1
kind: ConfigMap
metadata:
    name: gateway-mode-config
    namespace: openshift-network-operator
data:
    mode: "local"
immutable: true

$ oc apply -f localGW.yml

configmap/gateway-mode-config created

有关其他指导信息，请参阅(KCS)和(BZ#2089389）。这个设置将在以后的发行版本中进一步解决。