Заметки к релизу

При обновлении платформы до версий 6.2.0 или 7.1.0, если ранее выполнялась настройка аутентификации с использованием LDAP или других методов, пользовательские настройки Application (блок OIDC Provider) в StarVault перетираются. После обновления - заново добавьте созданные вами Assignments в Applications.

При обновлении до версий 7.1.0, 6.2.0 и 5.2.5 изменения в манифестах kustomization 'nova-release-ingress-public-main' и 'nova-release-ingress-internal-main' будут сброшены к стандартной конфигурации. Если в эти манифесты вносились изменения, рекомендуется сохранить их перед обновлением, чтобы затем восстановить вручную.

Обращаем ваше внимание, что для онлайн‑установки кластера был изменен перечень IP‑адресов сервисов. Актуальный список доступен по ссылке.

Что нового

Добавлен модуль Service Mesh.

Модуль создан на базе Istio с поддержкой Gateway API и интеграцией платформенных сервисов.

Подробнее см. в документации Nova Service Mesh.
Добавлена поддержка инфраструктурного провайдера K2Cloud.

Подробнее см. в документации Интеграция с K2Cloud.
Добавлен Node Local Gateway - локальный балансировщик трафика на каждом узле кластера.

За счет балансировщика все Ingress-контроллеры вынесены из хостового сетевого пространства (HostNetwork) и улучшена работа сетевых политик с пограничным трафиком.

Подробнее см. в документации Node Local Gateway.

Изменения и улучшения

Добавлена возможность выполнять операцию вывода узла кластера в режим обслуживания (drain node) через web-интерфейс nova-console.

Подробнее см. в документации Перевод узла кластера в режим обслуживания.
Добавлены дополнительные заголовки безопасности по умолчанию в Ingress Nginx (internal, public):
```
Referrer-Policy: origin-when-cross-origin
X-Content-Type-Options: nosniff
X-Frame-Options=sameorigin
Strict-Transport-Security=max-age=31536000; includeSubDomains;
```
Заголовок Content-Security-Policy принудительно не устанавливается и остается на усмотрение пользователя.

Управление данными заголовками осуществляется через ConfigMap:
```
nova-ingress-public/nova-ingress-public-custom-add-headers nova-ingress-internal/nova-ingress-internal-custom-add-headers
```
Добавлены -default-deny Ingress-ресурсы Для сервисов Prometheus, Alertmanager, Thanos Query.

Данные ресурсы могут быть использованы для настройки точечных ограничений доступа в рамках каждого сервиса. По умолчанию настроено ограничение доступа к /debug/pprof.

Исправления

Исправлена ошибка обновления платформы на ОС семейства RHEL.

Данная ошибка происходила в конфигурации с несколькими ресурсами, использующими PV из Longhorn.
Исправлена проблема, из-за которой вход в платформенные веб-интерфейсы, защищенные oauth2 proxy, был невозможен используя учетную запись метода аутентификации LDAP (Ошибка 500).
Исправлена проблема, из-за которой в Grafana могли не появляться отдельные дашборды с состоянием кластера Kubernetes.
Исправлена обработка значений с плавающей точкой в выводе df при вычислении свободного места.

Из-за этой ошибки валидация get_node_free_disk_space завершалась некорректно.
Исправлена логика проверки занятости портов.

Данное исправление было внесено, чтобы корректно выявлять конфликты с сервисом systemd-resolved и исключить сбои установки при включенном DNS-резолвере.

1. Обновление компонентов

Обновлена веб-консоль Nova до версии 0.4.11.

Повышена стабильность и исправлены ошибки в работе плагинов мониторинга и резервного копирования.
Обновлен агент резервного копирования nova-backup-daemon до версии v1.1.0.

Добавлена поддержка резервного копирования рабочих узлов кластера.

Установка в IPI-режиме в VMware на текущий момент не поддерживается и находится в процессе тестирования.

Для просмотра списка всех обновлений перейдите к соответствующему разделу базы знаний Релизы и обновления.