第2章 ファイアウォールの設定

手順

1. 以下のレジストリー URL を許可リストに指定します。

   URL	ポート	機能
   registry.redhat.io	443	コアコンテナーイメージを指定します。
   access.redhat.com	443	コンテナークライアントが registry.access.redhat.com から取得したイメージを検証するのに必要な署名ストアをホストします。ファイアウォール環境では、このリソースが許可リストに含まれていることを確認してください。
   registry.access.redhat.com	443	コアコンテナーイメージを含め、Red Hat Ecosystem Catalog に保存されているすべてのコンテナーイメージをホストします。
   quay.io	443	コアコンテナーイメージを指定します。
   cdn.quay.io	443	コアコンテナーイメージを指定します。
   cdn01.quay.io	443	コアコンテナーイメージを指定します。
   cdn02.quay.io	443	コアコンテナーイメージを指定します。
   cdn03.quay.io	443	コアコンテナーイメージを指定します。
   cdn04.quay.io	443	コアコンテナーイメージを指定します。
   cdn05.quay.io	443	コアコンテナーイメージを指定します。
   cdn06.quay.io	443	コアコンテナーイメージを指定します。
   sso.redhat.com	443	https://console.redhat.com サイトは、sso.redhat.com からの認証を使用します。

   • 許可リストで cdn.quay.io と cdn0[1-6].quay.io の代わりに、ワイルドカードの *.quay.io と *.openshiftapps.com を使用できます。
   • ワイルドカード *.access.redhat.com を使用すると、設定を簡素化し、registry.access.redhat.com を含むすべてのサブドメインを許可できます。
   • quay.io などのサイトを許可リストに追加するには、*.quay.io などのワイルドカードエントリーを拒否リストに加えないでください。ほとんどの場合、イメージレジストリーはコンテンツ配信ネットワーク (CDN) を使用してイメージを提供します。ファイアウォールがアクセスをブロックすると、最初のダウンロード要求が cdn01.quay.io などのホスト名にリダイレクトされるときに、イメージのダウンロードが拒否されます。
2. ビルドに必要な言語またはフレームワークのリソースを提供するサイトを許可リストに指定します。

3. Telemetry を無効にしていない場合は、以下の URL へのアクセスを許可して Red Hat Insights にアクセスできるようにする必要があります。

   URL	ポート	機能
   cert-api.access.redhat.com	443	Telemetry で必須
   api.access.redhat.com	443	Telemetry で必須
   infogw.api.openshift.com	443	Telemetry で必須
   console.redhat.com	443	Telemetry および insights-operator で必須

4. Alibaba Cloud、Amazon Web Services (AWS) 、Microsoft Azure、または Google Cloud Platform (GCP) を使用してクラスターをホストする場合、クラウドプロバイダー API およびそのクラウドの DNS を提供する URL へのアクセス権を付与する必要があります。

   クラウド	URL	ポート	機能
   Alibaba	*.aliyuncs.com	443	Alibaba Cloud のサービスとリソースにアクセスするために必要です。Alibaba endpoints_config.go ファイル を確認して、使用するリージョンを許可する正確なエンドポイントを決定します。
   AWS	aws.amazon.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	*.amazonaws.com または、AWS API にワイルドカードを使用しないことを選択した場合は、次の URL を許可リストに登録する必要があります。	443	AWS サービスおよびリソースへのアクセスに必要です。AWS ドキュメントの AWS Service Endpoints を参照し、使用するリージョンを許可するエンドポイントを判別します。
   	ec2.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	events.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	iam.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	route53.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	*.s3.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	*.s3.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	*.s3.dualstack.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	sts.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	sts.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	tagging.us-east-1.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。このエンドポイントは、クラスターがデプロイされているリージョンに関係なく、常に us-east-1 です。
   	ec2.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	elasticloadbalancing.<aws_region>.amazonaws.com	443	AWS 環境でのクラスターのインストールおよび管理に使用されます。
   	servicequotas.<aws_region>.amazonaws.com	443	必須。サービスをデプロイするためのクォータを確認するのに使用されます。
   	tagging.<aws_region>.amazonaws.com	443	タグの形式で AWS リソースに関するメタデータを割り当てることができます。
   GCP	*.googleapis.com	443	GCP サービスおよびリソースへのアクセスに必要です。GCP ドキュメントの Cloud Endpoints を参照し、API を許可するエンドポイントを判別します。
   	accounts.google.com	443	GCP アカウントへのアクセスに必要です。
   Azure	management.azure.com	443	Azure サービスおよびリソースへのアクセスに必要です。Azure ドキュメントで Azure REST API Reference を参照し、API を許可するエンドポイントを判別します。
   	*.blob.core.windows.net	443	Ignition ファイルのダウンロードに必要です。
   	login.microsoftonline.com	443	Azure サービスおよびリソースへのアクセスに必要です。Azure ドキュメントで Azure REST API Reference を参照し、API を許可するエンドポイントを判別します。

5. 以下の URL を許可リストに指定します。

   URL	ポート	機能
   *.apps.<cluster_name>.<base_domain>	443	Ingress ワイルドカードをインストール時に設定しない限り、デフォルトのクラスタールートへのアクセスに必要。
   api.openshift.com	443	クラスタートークンの両方が必要であり、クラスターに更新が利用可能かどうかを確認するために必要です。
   console.redhat.com	443	クラスタートークンに必須
   mirror.openshift.com	443	ミラーリングされたインストールのコンテンツおよびイメージへのアクセスに必要。Cluster Version Operator には単一の機能ソースのみが必要ですが、このサイトはリリースイメージ署名のソースでもあります。
   quayio-production-s3.s3.amazonaws.com	443	AWS で Quay イメージコンテンツにアクセスするために必要。
   rhcos.mirror.openshift.com	443	Red Hat Enterprise Linux CoreOS (RHCOS) イメージをダウンロードするために必要。
   sso.redhat.com	443	https://console.redhat.com サイトは、sso.redhat.com からの認証を使用します。
   storage.googleapis.com/openshift-release	443	リリースイメージ署名のソース (ただし、Cluster Version Operator には単一の機能ソースのみが必要)。

   Operator にはヘルスチェックを実行するためのルートアクセスが必要です。具体的には、認証および Web コンソール Operator は 2 つのルートに接続し、ルートが機能することを確認します。クラスター管理者として操作を実行しており、*.apps.<cluster_name>.<base_domain> を許可しない場合は、これらのルートを許可します。

   • oauth-openshift.apps.<cluster_name>.<base_domain>
   • console-openshift-console.apps.<cluster_name>.<base_domain>、またはフィールドが空でない場合に consoles.operator/cluster オブジェクトの spec.route.hostname フィールドに指定されるホスト名。

6. オプションのサードパーティーコンテンツに対する次の URL を許可リストに追加します。

   URL	ポート	機能
   registry.connect.redhat.com	443	すべてのサードパーティーのイメージと認定 Operator に必要です。
   rhc4tp-prod-z8cxf-image-registry-us-east-1-evenkyleffocxqvofrk.s3.dualstack.us-east-1.amazonaws.com	443	registry.connect.redhat.com でホストされているコンテナーイメージにアクセスできます
   oso-rhc4tp-docker-registry.s3-us-west-2.amazonaws.com	443	Sonatype Nexus、F5 Big IP Operator に必要です。

7. デフォルトの Red Hat Network Time Protocol (NTP) サーバーを使用する場合は、以下の URL を許可します。

   • 1.rhel.pool.ntp.org
   • 2.rhel.pool.ntp.org
   • 3.rhel.pool.ntp.org