OpenShift vs Kubernetes：企業容器平台完整比較

「該選 Kubernetes 還是 OpenShift？」

這大概是企業評估容器平台時最常問的問題。兩邊各有擁護者，網路上的討論也常流於宗教戰爭。

但其實這不是非此即彼的選擇。OpenShift 本身就是基於 Kubernetes 建構的，問題的核心是：你需要的是引擎，還是整台車？

本文會從多個面向客觀比較兩者，幫助你根據實際需求做出選擇。如果你對 OpenShift 還不熟悉，建議先閱讀 OpenShift 完整指南。

---

基本概念釐清

Kubernetes 是什麼？

Kubernetes（K8s）是開源的容器編排引擎。

它解決的核心問題是：當你有幾十、幾百個容器要管理時，怎麼確保它們正確運行、自動擴展、故障復原？

Kubernetes 由 Google 捐贈給 CNCF（Cloud Native Computing Foundation），是目前容器編排的事實標準。

Kubernetes 提供：

• 容器調度與編排
• 服務發現與負載平衡
• 自動擴展
• 滾動更新與回滾
• 儲存編排
• 設定與密鑰管理

Kubernetes 不提供：

• 安裝程式（需要 kubeadm、kubespray 等）
• 監控（需要自己裝 Prometheus）
• 日誌（需要自己裝 EFK/Loki）
• CI/CD（需要自己整合 Jenkins/GitLab）
• Web Console（需要自己裝 Dashboard）

OpenShift 是什麼？

OpenShift 是基於 Kubernetes 的企業級容器平台。

Red Hat 把 Kubernetes 當作核心引擎，在上面加了企業需要的各種功能：安全性強化、監控、日誌、CI/CD、Web Console、Operator 管理⋯⋯打包成一個完整的產品。

簡單的比喻：

• Kubernetes 是 Linux Kernel，OpenShift 是 RHEL
• Kubernetes 是 引擎，OpenShift 是 整台車
• Kubernetes 是 DIY 套件，OpenShift 是 成品

兩者關係

┌─────────────────────────────────────────┐
│            OpenShift                     │
│  ┌─────────────────────────────────┐    │
│  │     OpenShift 加值功能           │    │
│  │  Console │ Pipelines │ GitOps   │    │
│  │  Monitoring │ Logging │ Registry │    │
│  └─────────────────────────────────┘    │
│  ┌─────────────────────────────────┐    │
│  │         Kubernetes               │    │
│  │  API │ Scheduler │ Controllers  │    │
│  └─────────────────────────────────┘    │
└─────────────────────────────────────────┘

所有 Kubernetes 的 YAML 都能在 OpenShift 上跑（反過來不一定，因為 OpenShift 有額外的資源類型）。

插圖：展示 Kubernetes 與 OpenShift 的關係。...

場景描述： 展示 Kubernetes 與 OpenShift 的關係。中央是 Kubernetes 核心（藍色），外圍是 OpenShift 加值功能（紅色環繞）。標註 Kubernetes 提供的核心能力（調度、網路、儲存），以及 OpenShift 額外提供的功能（監控、日誌、CI/CD、安全、Console）。

視覺重點：

• 主要內容清晰呈現

必須出現的元素：

• 依據描述

需要顯示的中文字： 無

顏色調性： 專業、清晰

避免元素： 抽象圖形、齒輪

Slug: openshift-kubernetes-relationship

---

功能比較總覽

核心功能對照表

功能	Kubernetes	OpenShift
容器編排	✅ 核心功能	✅ 繼承 K8s
服務發現	✅ Service/DNS	✅ Service/DNS + Route
自動擴展	✅ HPA/VPA	✅ HPA/VPA + Cluster Autoscaler
滾動更新	✅ Deployment	✅ Deployment + DeploymentConfig
儲存管理	✅ PV/PVC/CSI	✅ PV/PVC/CSI + ODF
網路	✅ CNI 插件	✅ OVN-Kubernetes
安全	✅ RBAC, NetworkPolicy	✅ RBAC + SCC + OAuth
監控	❌ 需自行安裝	✅ 內建 Prometheus Stack
日誌	❌ 需自行安裝	✅ 內建 Logging Stack
CI/CD	❌ 需自行整合	✅ 內建 Pipelines (Tekton)
Web Console	❌ 需自行安裝	✅ 內建，功能完整
映像檔 Registry	❌ 需自行部署	✅ 內建 Registry

企業功能差異

功能	Kubernetes	OpenShift
安裝程式	無（需用 kubeadm 等）	自動化安裝程式
升級機制	手動協調	Operator 自動化
多租戶	需自行設計	Project（強化的 Namespace）
企業支援	社群支援	Red Hat 24x7 支援
合規認證	無	SOC 2, PCI DSS, HIPAA
生命週期	約 1 年支援	EUS 版本最長 24 個月

---

安裝與部署

Kubernetes 安裝

Kubernetes 沒有官方的安裝程式，常見方式：

開發測試：

• minikube：本機單節點
• kind：Docker 內的 K8s
• k3s：輕量級 K8s

生產環境：

• kubeadm：官方工具，需要自己準備基礎設施
• kubespray：Ansible 自動化安裝
• 雲端託管：EKS、GKE、AKS

安裝複雜度：

用 kubeadm 安裝，你需要：

1. 準備 VM/裸機
2. 安裝 Container Runtime
3. 設定網路
4. 執行 kubeadm init
5. 部署 CNI 插件
6. 加入 Worker Node
7. 安裝監控、日誌、Ingress⋯⋯

每一步都有可能出錯，需要一定的 Linux 和網路知識。

OpenShift 安裝

OpenShift 有統一的安裝程式：

開發測試：

• OpenShift Local：本機單節點

生產環境：

• IPI：安裝程式自動建立基礎設施
• UPI：使用者準備基礎設施
• 託管：ROSA（AWS）、ARO（Azure）

安裝複雜度：

IPI 安裝，你需要：

1. 準備 install-config.yaml
2. 執行 openshift-install
3. 等 30-45 分鐘
4. 完成

監控、日誌、Console⋯⋯全部自動裝好。

詳細安裝教學請參考 OpenShift 安裝完整教學。

---

安全性比較

這是兩者差異最大的地方之一。

預設安全等級

面向	Kubernetes	OpenShift
容器以 root 執行	預設允許	預設禁止（SCC）
特權容器	預設允許	預設禁止
Host 網路/PID	預設允許	預設禁止
身份驗證	基本（ServiceAccount）	完整 OAuth

Security Context Constraints（SCC）

SCC 是 OpenShift 特有的安全機制，控制 Pod 能做什麼。

預設的 restricted-v2 SCC 會：

• 禁止以 root 執行
• 禁止特權模式
• 禁止存取 Host 網路
• 強制使用隨機 UID

這表示很多 Docker Hub 上的映像檔，直接部署到 OpenShift 會失敗（因為它們假設以 root 執行）。

這是好事還是壞事？

好的方面：預設就很安全，不用擔心有人部署不安全的容器。

壞的方面：需要調整既有應用或授予額外權限，上手門檻較高。

映像檔安全

功能	Kubernetes	OpenShift
內建 Registry	❌	✅
映像檔簽章	需自行設定	內建支援
漏洞掃描	需整合第三方	可整合 ACS
來源限制	需自行設定	內建 ImagePolicy

---

開發者體驗

Web Console

Kubernetes：

官方 Dashboard 功能陽春，很多人不用。大多依賴 kubectl 或第三方工具（Lens、k9s）。

OpenShift：

內建功能完整的 Web Console，分為：

• Administrator 視角：管理叢集、節點、安全
• Developer 視角：專注應用開發

Developer Console 特色：

• 拓撲圖視覺化應用關係
• 從 Git 一鍵部署
• 即時查看 Pod 日誌
• 內建終端機

CLI 工具

Kubernetes：kubectl

OpenShift：oc（kubectl 的超集）

oc 完全相容 kubectl，額外提供：

• oc new-app：快速部署應用
• oc new-project：建立專案
• oc login：OAuth 登入
• oc adm：管理員操作

CI/CD 整合

Kubernetes：

需要自己整合 CI/CD 工具：

• Jenkins
• GitLab CI
• Argo CD
• Tekton

OpenShift：

內建 OpenShift Pipelines（基於 Tekton）：

• 無需額外安裝
• 與 Console 整合
• 視覺化 Pipeline 編輯

Source-to-Image（S2I）

S2I 是 OpenShift 特有功能，可以直接把原始碼變成容器映像檔：

# 從 Git Repo 直接部署
oc new-app https://github.com/example/my-app.git

不需要寫 Dockerfile，OpenShift 會自動偵測語言、選擇 Builder Image、建構並部署。

插圖：左右對照展示 Kubernetes Dashboard 和 ...

場景描述： 左右對照展示 Kubernetes Dashboard 和 OpenShift Console 的介面差異。左邊是 Kubernetes Dashboard 的簡單介面（工作負載列表），右邊是 OpenShift Developer Console 的豐富介面（拓撲圖、資源監控、快速操作）。

視覺重點：

• 主要內容清晰呈現

必須出現的元素：

• 依據描述

需要顯示的中文字： 無

顏色調性： 專業、清晰

避免元素： 抽象圖形、齒輪

Slug: openshift-vs-kubernetes-console

---

運維管理

升級更新

Kubernetes：

升級 Kubernetes 是個大工程：

1. 閱讀 Release Notes
2. 備份 etcd
3. 升級 Control Plane
4. 升級 Worker Node
5. 測試驗證

每個步驟都可能出問題，需要經驗豐富的團隊。

OpenShift：

透過 Operator 機制，升級相對簡單：

1. 在 Console 點擊「更新」
2. 選擇目標版本
3. 等待自動升級完成

Operator 會處理元件之間的相依性和順序。

監控日誌

Kubernetes：

需要自己部署：

• Prometheus + Grafana（監控）
• EFK 或 Loki（日誌）
• Jaeger（追蹤）

每個都要設定、維護、升級。

OpenShift：

內建完整的可觀測性堆疊：

• Prometheus + Alertmanager + Grafana
• OpenShift Logging（Vector + Loki）
• 分散式追蹤

全部由 Operator 管理，自動升級。

多叢集管理

Kubernetes：

需要第三方工具：

• Rancher
• Tanzu
• Anthos

OpenShift：

Red Hat 提供 ACM（Advanced Cluster Management）：

• 統一管理多個叢集
• 跨叢集部署應用
• 集中式策略管理
• 可觀測性整合

---

成本分析

授權成本

項目	Kubernetes	OpenShift
軟體授權	免費（開源）	訂閱制（按 Core 計價）
支援	社群（免費）	Red Hat 企業支援（付費）

OpenShift 訂閱費用不低，這是很多人猶豫的原因。

維運成本

但授權只是成本的一部分，還要考慮：

Kubernetes 隱藏成本：

• 監控方案的設計、部署、維護
• 日誌系統的設計、部署、維護
• CI/CD 整合的時間
• 安全強化的工作
• 升級時的人力投入
• 問題排查的時間

OpenShift 節省的成本：

• 上述功能已內建
• 有企業支援可以問
• 升級自動化
• 安全預設就好

TCO 計算考量

成本項目	Kubernetes	OpenShift
軟體授權	$0	$$$
基礎設施	相同	相同
人力（初期建置）	$$$$	$$
人力（日常維運）	$$$	$
人力（問題處理）	$$$（自己查）	$（有支援）
培訓成本	$$	$

結論：

• 小規模、技術能力強：Kubernetes 可能更划算
• 中大規模、需要穩定：OpenShift TCO 可能更低

成本計算很複雜，需要考量的因素很多。預約免費諮詢，讓我們幫你分析 TCO。

---

生態系統

Operator 生態

Kubernetes：

Operator 是可選的，可以用 Helm、純 YAML 等方式部署應用。OperatorHub.io 有社群貢獻的 Operator。

OpenShift：

Operator 是核心機制。OperatorHub 整合在 Console 中，包含：

• Red Hat 認證的 Operator
• 合作夥伴 Operator
• 社群 Operator

Red Hat 會測試認證 Operator 與 OpenShift 的相容性。

Helm 支援

兩者都支援 Helm。OpenShift 可以：

• 從 Console 安裝 Helm Chart
• 將 Helm Release 顯示在 Developer Console

第三方整合

大部分 Kubernetes 生態系的工具都能在 OpenShift 上運行，但可能需要：

• 調整安全設定（SCC）
• 使用 OpenShift 相容的版本

---

適用場景建議

選擇 Kubernetes 的情況

適合 Kubernetes：

1. 團隊有深厚 K8s 經驗

   • 已經知道怎麼設定監控、日誌、CI/CD
   • 有能力處理各種問題

2. 需要完全客製化

   • 有特殊網路需求
   • 想用特定的 CNI、CSI、CRI

3. 預算非常有限

   • 願意用人力換取軟體成本

4. 已有成熟的 DevOps 工具鏈

   • 已經建好 CI/CD、監控、日誌
   • 只需要容器編排能力

5. 雲端託管服務

   • 使用 EKS、GKE、AKS
   • 雲端廠商處理維運

選擇 OpenShift 的情況

適合 OpenShift：

1. 需要快速上線

   • 沒時間慢慢建置工具鏈
   • 希望開箱即用

2. 重視安全合規

   • 有 SOC 2、PCI DSS 等合規需求
   • 需要企業級安全預設

3. 需要企業支援

   • 出問題要有人可以問
   • 需要明確的 SLA

4. 團隊 K8s 經驗有限

   • 學習曲線較平緩
   • Web Console 降低門檻

5. 想要 All-in-One 解決方案

   • 不想自己拼湊工具
   • 希望有整合好的體驗

決策流程圖

                    開始
                      │
                      ▼
              團隊有 K8s 經驗？
                 /         \
               有           沒有
               │             │
               ▼             ▼
         已有工具鏈？    傾向 OpenShift
            /    \
          有      沒有
          │        │
          ▼        ▼
    傾向 K8s    有預算？
                /    \
              有      沒有
              │        │
              ▼        ▼
        OpenShift    K8s + 時間

---

常見問題 FAQ

Q1：OpenShift 就是 Kubernetes 加殼嗎？

不只是「加殼」。OpenShift 在 Kubernetes 基礎上做了很多架構層級的改變：（1）作業系統用不可變的 RHCOS；（2）所有元件用 Operator 管理；（3）預設安全機制（SCC）完全不同；（4）安裝和升級機制重新設計。說「加殼」低估了 OpenShift 的工程投入。

Q2：學了 Kubernetes 還需要學 OpenShift 嗎？

如果要用 OpenShift，建議學。雖然核心概念相同，但 OpenShift 有自己的：（1）額外資源類型（Route、DeploymentConfig、BuildConfig）；（2）安全機制（SCC、OAuth）；（3）操作方式（oc 指令、Console）。好消息是，有 K8s 基礎學 OpenShift 很快。

Q3：用 OpenShift 還需要會 kubectl 嗎？

會比較好。oc 是 kubectl 的超集，所有 kubectl 指令 oc 都能用。但 OpenShift 文件和社群討論常混用兩種指令，會 kubectl 比較不會混淆。

Q4：OpenShift 太貴了怎麼辦？

幾個選項：（1）OKD 是 OpenShift 的開源社群版，功能類似但沒有 Red Hat 支援；（2）評估 TCO 而非只看授權費，OpenShift 可能節省的維運成本超過授權費；（3）小規模先用 K8s，等規模大了再考慮 OpenShift。

Q5：可以從 Kubernetes 遷移到 OpenShift 嗎？

可以，但需要注意：（1）應用程式可能需要調整以符合 SCC 要求；（2）某些 K8s 特定的設定可能需要改用 OpenShift 方式；（3）CI/CD 流程可能需要調整。建議先在測試環境驗證，再逐步遷移。

---

還在猶豫選 Kubernetes 還是 OpenShift？

這是個重要決定，選錯了後面改很麻煩。

預約免費諮詢，告訴我們你的需求，我們給你中立建議。

---

參考資源

• OpenShift 完整指南
• OpenShift 架構詳解
• OpenShift 安裝教學
• OpenShift 價格分析
• OpenShift 學習資源