3.2. API サーバー証明書の追加

手順

1. kubeadmin ユーザーとして新しい API にログインします。

   $ oc login -u kubeadmin -p <password> https://FQDN:6443

2. kubeconfig ファイルを取得します。

   $ oc config view --flatten > kubeconfig-newapi

3. openshift-config namespace に証明書およびプライベートキーが含まれるシークレットを作成します。

   $ oc create secret tls <secret> \1
        --cert=</path/to/cert.crt> \2
        --key=</path/to/cert.key> \3
        -n openshift-config

   1

   <secret> は、証明書チェーンおよびプライベートキーが含まれるシークレットの名前です。

   2

   </path/to/cert.crt> は、ローカルファイルシステム上の証明書チェーンへのパスです。

   3

   </path/to/cert.key> は、この証明書に関連付けられるプライベートキーへのパスです。

4. API サーバーを作成されたシークレットを参照するように更新します。

   $ oc patch apiserver cluster \
        --type=merge -p \
        '{"spec":{"servingCerts": {"namedCertificates":
        [{"names": ["<FQDN>"], 1
        "servingCertificate": {"name": "<secret>"}}]}}}' 2

   1

   <FQDN> を、API サーバーが証明書を提供する FQDN に置き換えます。

   2

   <secret> を、直前の手順でシークレットに使用された名前に置き換えます。

5. apiserver/cluster オブジェクトを検査し、シークレットが参照されていることを確認します。

   $ oc get apiserver cluster -o yaml

   出力例

   ...
   spec:
     servingCerts:
       namedCertificates:
       - names:
         - <FQDN>
         servingCertificate:
           name: <secret>
   ...

6. kube-apiserver Operator を確認し、Kubernetes API サーバーの新しいリビジョンがロールアウトされることを確認します。Operator が設定の変更を検出して新しいデプロイメントをトリガーするのに 1 分かかる場合があります。新しいリビジョンが公開されている間、PROGRESSING は True を報告します。

   $ oc get clusteroperators kube-apiserver

   以下の出力にあるように、PROGRESSING が False と表示されるまで次の手順に移行しないでください。

   出力例

   NAME             VERSION   AVAILABLE   PROGRESSING   DEGRADED   SINCE
   kube-apiserver   4.14.0     True        False         False      145m

   PROGRESSING が True と表示されている場合は、数分待機してから再試行します。

   注記

   Kubernetes API サーバーの新しいリビジョンは、API サーバーの名前付き証明書が初めて追加された場合にのみロールアウトされます。API サーバーの名前付き証明書が更新されると、kube-apiserver Pod が更新された証明書を動的に再ロードするため、Kubernetes API サーバーの新しいリビジョンはロールアウトされません。