支援Nutanix、整合Pod安全許可，OpenShift第三季更新來了

今年3月底紅帽OpenShift推出4.10版，相隔一季的此刻，一如過去OpenShift發行新版本的週期，OpenShift的最新版本4.11接續登場，當中採用了4月初發布的Kubernetes 1.24版，以及5月登場的容器執行時期介面CRI-O 1.24版，能讓用戶在開放混合雲的環境下，更容易使用企業級的Kubernetes平臺。

這一版在系統安裝方面最大的改變，是讓用戶能夠從AWS、Azure這兩大公有雲業者的市集當中，直接安裝OpenShift，獲得更大的使用彈性，協助IT團隊因應動態的技術應用需求。以AWS為例，目前這種作法適合北美地區與GovCloud政府雲用戶，歐洲、中東、非洲（EMEA）用戶在8月底也可使用；若是Azure，北美、Azure Government政府雲，以及EMEA用戶，均可使用。

其次是「運用安裝程式來建置基礎架構（IPI）」的作業環境部署支援上，新增了Nutanix，企業可在Nutanix AOS伺服器虛擬化環境之上，透過IPI安裝來處理OpenShift叢集的自動化部署。

使用這樣的部署方式時，安裝程式會控制整個安裝區域，包含基礎架構的建立，並且搭配固定的OpenShift部署最佳實來進行建置。而這樣的OpenShift部署可支援Nutanix AOS的長期支援版本，以及短期支援版本。

基本上，IPI是最完整的自動安裝方式，因為當中不僅能部署叢集，也能管理已經完成建置的叢集，能讓系統管理者與基礎架構工程師節省部署與管理的時間。

而關於OpenShift on Nutanix的應用支援，可追溯至2021年7月紅帽與Nutanix宣布策略合作，起初Nutanix的Hypervisor可支援紅帽的企業Linux作業系統RHEL，到了今年5月，Nutanix宣布紅帽自動化處理平臺Red Hat Ansible Automation Platform的驗證內容集合（certified content collection），能夠讓用戶將其用於Nutanix基礎架構的自動化處理，而8月推出OpenShift 4.11，又是一個新的里程碑，因為用戶可在Nutanix的超融合基礎架構平臺之上，運用IPI安裝流程來部署OpenShift。未來紅帽計畫在Nutanix的環境之上，支援另一種安裝方式：UPI（User-Provisioned Infrastructure），而且是用紅帽2022年初推出的輔助安裝程式（Assisted Installer）。

在OpenShift on Nutanix的運用上，紅帽還提到OpenShift的Cloud Credential Operator支援手動操作模式，可用於Nutanix平臺的身分認證整合作業上，而在容器儲存介面（CSI）的整合，則是設置在叢集部署完成後的部署，未來將會在安裝流程中自動設定CSI。

另一個新增特色則是整合Pod安全許可（Pod Security Admission），使用者可藉此針對多個Kubernetes Pod定義不同的隔離層級，協助更清楚地實施管制政策，使Pod的行為能夠變得更一致。

紅帽表示，Kubernetes從1.25版就不再提供PodSecurityPolicy的API，取而代之的是新內建的許可控制器，名為Pod Security Admission Control，能讓叢集管理者透過命名空間標籤（Namespace Labels）的搭配，強制實行Pod安全標準（Pod Security Standards）。

此外，OpenShift從4.10版起，也增加簡化角色存取控管（RBAC）的作法，稱為安全前後脈絡限制（Security Context Constraints，SCC），管理者能以此控制Pod行為的許可，而在4.11版OpenShift當中，SCC增加多種Pod安全限制組態（restricted pod security profile），像是restricted-v2、hostnetwork-v2、nonroot-v2，企業可依據這些新的安全性許可設定來管制Pod的使用。

目前Pod Security Admission與SCC均能強制實施Pod的許可，前者搭配權限強制實施、受限稽核記錄（restricted audit logging），以及API警示，而在全域的範圍當中執行。

而在SCC的運用上，位處使用者建立的命名空間的SCC相關許可服務帳號，系統會透過一支控制器程式來監視，並搭配Pod安全性許可的警示與稽核標籤來自動標記這些命名空間。

對於從上一版OpenShift開始提供的沙箱型容器（sandboxed containers）應用，紅帽在4.11版擴充了適用環境，用戶可在AWS公有雲的裸機型執行個體服務，以及單節點OpenShift（Single Node Openshift，SNO）執行這類虛擬環境，能對應用程式工作負載的執行提供額外的隔離層。

產品資訊

Red Hat OpenShift 4.11
●原廠：Red Hat
●建議售價：廠商未提供
●搭配Kubernetes版本：1.24
●支援Linux版本：Red Hat Enterprise Linux 8.4/8.5、Red Hat Enterprise Linux CoreOS
●安裝方式：
UPI安裝：AWS、Azure、Azure Stack Hub、GCP、IBM Z/LinuxONE、IBM Power Systems、RHOSP、RHV、VMware vSphere、VMware Cloud on AWS、裸機
IPI安裝：AWS、Azure、Azure Stack Hub、GCP、IBM Cloud VPC、阿里雲、RHOSP、RHV、VMware vSphere、VMware Cloud on AWS、Nutanix、裸機
●叢集部署需要的主機：1臺Bootstrap節點、3臺Control plane節點、2臺運算節點
●主機系統需求：Red Hat Enterprise Linux CoreOS、4顆vCPU、16 GB 記憶體、100 GB儲存空間

【註：規格與價格由廠商提供，因時有異動，正確資訊請洽廠商】