11.5. Configuration du profil de sécurité TLS pour le kubelet

Procédure

1. Créez un CR KubeletConfig pour configurer le profil de sécurité TLS :

   Exemple de CR KubeletConfig pour un profil Custom

   apiVersion: machineconfiguration.openshift.io/v1
   kind: KubeletConfig
   metadata:
     name: set-kubelet-tls-security-profile
   spec:
     tlsSecurityProfile:
       type: Custom 

   1

   
       custom: 

   2

   
         ciphers: 

   3

   
         - ECDHE-ECDSA-CHACHA20-POLY1305
         - ECDHE-RSA-CHACHA20-POLY1305
         - ECDHE-RSA-AES128-GCM-SHA256
         - ECDHE-ECDSA-AES128-GCM-SHA256
         minTLSVersion: VersionTLS11
     machineConfigPoolSelector:
       matchLabels:
         pools.operator.machineconfiguration.openshift.io/worker: "" 

   4

   Copy to Clipboard Toggle word wrap

   1

   Spécifiez le type de profil de sécurité TLS (Old, Intermediate, ou Custom). La valeur par défaut est Intermediate.

   2

   Spécifiez le champ approprié pour le type sélectionné :

   • old: {}
   • intermediate: {}
   • custom:

   3

   Pour le type custom, spécifiez une liste de chiffrements TLS et la version TLS minimale acceptée.

   4

   Facultatif : Indiquez l'étiquette du pool de configuration de la machine pour les nœuds auxquels vous souhaitez appliquer le profil de sécurité TLS.

2. Créer l'objet KubeletConfig:

   $ oc create -f <filename>

   Copy to Clipboard Toggle word wrap

   En fonction du nombre de nœuds de travail dans la grappe, attendez que les nœuds configurés soient redémarrés un par un.

1. Démarrer une session de débogage pour un nœud configuré :

   oc debug node/<node_name>

   Copy to Clipboard Toggle word wrap

2. Définir /host comme répertoire racine dans l'interpréteur de commandes de débogage :

   sh-4.4# chroot /host

   Copy to Clipboard Toggle word wrap

3. Consulter le fichier kubelet.conf:

   sh-4.4# cat /etc/kubernetes/kubelet.conf

   Copy to Clipboard Toggle word wrap

   Exemple de sortie

   kind: KubeletConfiguration
   apiVersion: kubelet.config.k8s.io/v1beta1
    ...
     "tlsCipherSuites": [
       "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256",
       "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256",
       "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384",
       "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
       "TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256",
       "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256"
     ],
     "tlsMinVersion": "VersionTLS12",

   Copy to Clipboard Toggle word wrap