リリース・タイムライン

次の表は、バージョン 4.15 のリリース予定スケジュールです。 この情報は、バージョンがサポート対象外になる可能性がある一般的な時間を見積もるなど、計画の目的に使用できます。

剣標 (†) の付いた日付は暫定的な日付であり、変更されることがあります。

更新の準備

クラスター をバージョン 4.15 に更新するときに必要になる可能性がある変更を確認します。 この情報は、更新時にデプロイ済みアプリに影響を与える可能性がある更新を要約しています。

バックアップおよびリストアの Helm チャートは、 Red Hat OpenShift on IBM Cloud 4.15 クラスターでサポートされています。 ただし、サポートされているのは COS 直接エンドポイントのみです。 例: s3.direct.us.cloud-object-storage.appdomain.cloud

クラスタの Upgradeable ステータスを確認する

以下のコマンドを実行して、クラスタの Upgradeable ステータスを確認します。

oc get clusterversion version -o json | jq '.status.conditions[] | select(.type == "Upgradeable")'

Upgradeable 状況が False である場合の出力例。

{
  "lastTransitionTime": "2023-10-04T15:55:54Z",
  "message": "Kubernetes 1.27 and therefore OpenShift 4.15 remove several APIs which require admin consideration. Please see the knowledge article https://access.redhat.com/articles/6958395 for details and instructions.",
  "reason": "AdminAckRequired",
  "status": "False",
  "type": "Upgradeable"
}

Upgradeable 状況が False の場合、条件情報には、アップグレード前に従う必要がある指示が記載されています。 詳しくは、「 管理者の確認応答の提供」を参照してください。

バージョン 4.15 で作成された VPC クラスターの重要なネットワーキングの変更

バージョン 4.15以降、 Red Hat OpenShift on IBM Cloud では、Secure by Default Cluster VPC Networking という VPC クラスター用の新しいセキュリティー機能が導入されました。

概略すると、 Red Hat OpenShift on IBM Cloud VPC クラスターのセキュリティー体制は、すべてのアウトバウンド・トラフィックを許可し、必要に応じてトラフィックを選択的にブロックするメカニズムをユーザーに提供することから、クラスター機能にとって重要ではないすべてのトラフィックをブロックし、必要に応じてトラフィックを選択的に許可するメカニズムをユーザーに提供するように変更されました。

バージョン 4.15 以降の新しい Red Hat OpenShift on IBM Cloud VPC クラスターをプロビジョンする場合、デフォルトのプロビジョニング動作では、クラスターが機能するために必要なトラフィックのみが許可されます。 それ以外のアクセスは遮断される。 「Secure by Default Networking」を実装するために、デフォルトの VPC セキュリティー・グループ設定と、一般的な IBM サービス用の新しい仮想プライベート・エンドポイント (VPE) が変更されています。

「Secure by Default Networking」には、以下のような重要な注意事項があります。

• VPC クラスターにのみ適用されます。 クラシック・クラスターは影響を受けません。

• 既存のクラスターには影響しません。 VPC 内の既存のクラスターは、現在のように機能し続けます。

• 新しくプロビジョンされた Red Hat OpenShift on IBM Cloud クラスター (バージョン 4.15) にのみ適用されます。 バージョン 4.15にアップグレードされた既存の Red Hat OpenShift on IBM Cloud クラスターのセキュリティー・グループ構成 (行ったカスタマイズを含む) は変更されません。

• バージョン 4.15 以降で作成されたクラスターのデフォルトの動作では、Secure by Default アウトバウンド・トラフィック保護が有効になります。 ただし、UI、CLI、API、および Terraform の新規パラメーターでは、この機能を無効にすることができます。 クラスターの作成後に、アウトバウンド・トラフィック保護を有効または無効にすることもできます。

• VPC でカスタム DNS リゾルバーを使用している場合、新しいバージョン 4.15 クラスターをプロビジョンすると、IKS 管理セキュリティー・グループ (kube-<clusterID>) 上のリゾルバー IP アドレスを介したトラフィックを許可するルールが自動的に追加されます。

デフォルトで作成されるセキュリティー・グループ、ルール、および VPE を含む、Secure by Default Cluster VPC ネットワーキングの概要については、 Understanding Secure by Default Cluster VPC Networking を参照してください。

4.15 クラスターの作成後のアウトバウンド・トラフィックの許可

アウトバウンド・トラフィック保護を有効にしてバージョン 4.15 クラスターを作成した場合、外部ネットワーク接続を必要とする依存関係が原因で、アプリまたはサービスでダウン時間が発生する可能性があります。 アウトバウンド・トラフィックを選択的に有効にするか、すべてのアウトバウンド・トラフィックを許可するには、以下のオプションを確認してください。

詳しくは、 VPC クラスターでのアウトバウンド・トラフィック保護の管理 を参照してください。

VPEゲートウェイ作成情報

VPCクラスタがバージョン 4.15 で作成または更新されると、以下のVPEゲートウェイが存在しない場合は作成されます。

• 4.15にアップデートされたクラスタでは、これらのVPE Gatewayはクラスタが4.14のときに作成されているので、すでに存在しているはずです。

これらのVPEゲートウェイは、VPC内のすべてのリソースで共有され、最初に作成されると、これらのサービスに関連するIPアドレスを変更し、アクセスを制限します。

VPC 内のリソースが、VPE ゲートウェイがまだ存在しないこれらのサービスのいずれかを使用している場合は、アップデートの前と、場合によってはアップデート中に、以下に説明するアクションを実行して、リソースが引き続きアクセスできるようにする必要があります。

新しい4.15クラスタを作成するか、既存の4.14クラスタのマスタをアップグレードするかによって、実行する手順は異なります。

• 新しい4.15クラスタには、上記のSecure by Default設定が適用されます。
• アップグレードされた既存の4.14クラスタは、引き続き古いセキュリティグループモデルを使用します。

一般的な問題とトラブルシューティング

• 4.15 クラスターでアウトバウンド・トラフィック保護を有効にすると、アプリが機能しなくなります。
• バージョン 4.15 クラスターを作成しようとすると、割り当て量エラーが表示されます。
• クラスターをデフォルトでセキュアに更新すると、nodeport アプリは機能しなくなります。
• カスタム DNS リゾルバーを追加した後に DNS 障害が表示されるのはなぜですか?
• バージョン 4.15 クラスターを作成した後、VPC 内の他のクラスターで実行されているアプリケーションで障害が発生する。