3.2. Ajout de certificats de serveur API

Procédure

1. Connectez-vous à la nouvelle API en tant qu'utilisateur kubeadmin.

   $ oc login -u kubeadmin -p <password> https://FQDN:6443

2. Obtenir le fichier kubeconfig.

   oc config view --flatten > kubeconfig-newapi

3. Créez un secret contenant la chaîne de certificats et la clé privée dans l'espace de noms openshift-config.

   $ oc create secret tls <secret> \1
        --cert=</path/to/cert.crt> \2
        --key=</path/to/cert.key> \3
        -n openshift-config

   1

   <secret> est le nom du secret qui contiendra la chaîne de certificats et la clé privée.

   2

   </path/to/cert.crt> est le chemin d'accès à la chaîne de certificats sur votre système de fichiers local.

   3

   </path/to/cert.key> est le chemin d'accès à la clé privée associée à ce certificat.

4. Mettre à jour le serveur API pour qu'il fasse référence au secret créé.

   $ oc patch apiserver cluster \
        --type=merge -p \
        '{"spec":{"servingCerts": {"namedCertificates":
        [{"names": ["<FQDN>"], 1
        "servingCertificate": {"name": "<secret>"}}]}}}' 2

   1

   Remplacez <FQDN> par le FQDN pour lequel le serveur API doit fournir le certificat.

   2

   Remplacez <secret> par le nom utilisé pour le secret à l'étape précédente.

5. Examinez l'objet apiserver/cluster et confirmez que le secret est maintenant référencé.

   $ oc get apiserver cluster -o yaml

   Exemple de sortie

   ...
   spec:
     servingCerts:
       namedCertificates:
       - names:
         - <FQDN>
         servingCertificate:
           name: <secret>
   ...

6. Consultez l'opérateur kube-apiserver et vérifiez qu'une nouvelle révision du serveur API Kubernetes est déployée. L'opérateur peut mettre une minute à détecter le changement de configuration et à déclencher un nouveau déploiement. Pendant le déploiement de la nouvelle révision, PROGRESSING signalera True.

   $ oc get clusteroperators kube-apiserver

   Ne passez pas à l'étape suivante tant que PROGRESSING n'est pas répertorié comme False, comme le montre le résultat suivant :

   Exemple de sortie

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   kube-apiserver   4.12.0     True        False         False      145m

   Si PROGRESSING affiche True, attendez quelques minutes et réessayez.