2.4. OpenShift Container Platform のファイアウォールの設定
OpenShift Container Platform をインストールする前に、ファイアウォールを、OpenShift Container Platform が必要とするサイトへのアクセスを付与するように設定する必要があります。ファイアウォールを使用する場合は、OpenShift Container Platform が機能するために必要なサイトにアクセスできるように、ファイアウォールに追加の設定を行います。
非接続環境の場合は、Red Hat と Oracle の両方のコンテンツをミラーリングする必要があります。このような環境では、ファイアウォールを特定のポートとレジストリーに公開するためのファイアウォールルールを作成する必要があります。
ご使用の環境で OpenShift Container Platform クラスターの前に専用のロードバランサーがある場合は、ファイアウォールとロードバランサーの間の許可リストを確認して、クラスターに対する不要なネットワーク制限を回避してください。
手順
ファイアウォールの許可リストに次のレジストリー URL を設定します。
URL ポート 機能 registry.redhat.io443
コアコンテナーイメージを指定します。
access.redhat.com443
コンテナークライアントが
registry.access.redhat.comから取得したイメージを検証するのに必要な署名ストアをホストします。ファイアウォール環境では、このリソースが許可リストに含まれていることを確認してください。registry.access.redhat.com443
コアコンテナーイメージを含め、Red Hat Ecosystem Catalog に保存されているすべてのコンテナーイメージをホストします。
quay.io443
コアコンテナーイメージを指定します。
cdn.quay.io443
コアコンテナーイメージを指定します。
cdn01.quay.io443
コアコンテナーイメージを指定します。
cdn02.quay.io443
コアコンテナーイメージを指定します。
cdn03.quay.io443
コアコンテナーイメージを指定します。
cdn04.quay.io443
コアコンテナーイメージを指定します。
cdn05.quay.io443
コアコンテナーイメージを指定します。
cdn06.quay.io443
コアコンテナーイメージを指定します。
sso.redhat.com443
https://console.redhat.comサイトは、sso.redhat.comからの認証を使用します。-
許可リストで
cdn.quay.ioとcdn0[1-6].quay.ioの代わりに、ワイルドカードの*.quay.ioと*.openshiftapps.comを使用できます。 -
ワイルドカード
*.access.redhat.comを使用すると、設定を簡素化し、registry.access.redhat.comを含むすべてのサブドメインを許可できます。 -
quay.ioなどのサイトを許可リストに追加するには、*.quay.ioなどのワイルドカードエントリーを拒否リストに加えないでください。ほとんどの場合、イメージレジストリーはコンテンツ配信ネットワーク (CDN) を使用してイメージを提供します。ファイアウォールがアクセスをブロックすると、最初のダウンロード要求がcdn01.quay.ioなどのホスト名にリダイレクトされるときに、イメージのダウンロードが拒否されます。
-
許可リストで
- ファイアウォールの許可リストを設定し、ビルドに必要な言語またはフレームワークのリソースを提供するサイトをリストに含めます。
Telemetry を無効にしていない場合は、以下の URL へのアクセスを許可して Red Hat Insights にアクセスできるようにする必要があります。
URL ポート 機能 cert-api.access.redhat.com443
Telemetry で必須
api.access.redhat.com443
Telemetry で必須
infogw.api.openshift.com443
Telemetry で必須
console.redhat.com443
Telemetry および
insights-operatorで必須ファイアウォールの許可リストを設定し、次のレジストリー URL をリストに含めます。
URL ポート 機能 api.openshift.com443
クラスタートークンの両方が必要であり、クラスターに更新が利用可能かどうかを確認するために必要です。
rhcos.mirror.openshift.com443
Red Hat Enterprise Linux CoreOS (RHCOS) イメージをダウンロードするために必要。
ファイアウォールの許可リストを設定し、次の外部 URL をリストに含めます。各リポジトリー URL は OCI コンテナーをホストします。パフォーマンスの問題を軽減するために、イメージをミラーリングするリポジトリーの数をできる限り少なくすることを検討してください。
URL ポート 機能 k8s.gcr.ioport
コミュニティーベースのイメージレジストリーのコンテナーイメージをホストする Kubernetes レジストリー。このイメージレジストリーは、カスタム Google Container Registry (GCR) ドメインでホストされています。
ghcr.ioport
Open Container Initiative イメージを保存および管理できる GitHub イメージレジストリー。プライベート、内部、パブリックパッケージを公開、インストール、削除するには、アクセストークンが必要です。
storage.googleapis.com443
リリースイメージ署名のソース (ただし、Cluster Version Operator には単一の機能ソースのみが必要)。
registry.k8s.ioport
k8s.gcr.ioイメージレジストリーを置き換えます。これは、k8s.gcr.ioイメージレジストリーが他のプラットフォームやベンダーをサポートしていないためです。
