Red Hat Summit第9章 cert-manager Operator for Red Hat OpenShift
9.1. cert-manager Operator for Red Hat OpenShift の概要
cert-manager Operator for Red Hat OpenShift は、アプリケーション証明書のライフサイクル管理を提供するクラスター全体のサービスです。cert-manager Operator for Red Hat OpenShift を使用すると、外部の証明機関と統合し、証明書のプロビジョニング、更新、および廃止を行うことができます。
9.1.1. cert-manager Operator for Red Hat OpenShift について
cert-manager プロジェクトは、認証局と証明書を Kubernetes API のリソースタイプとして導入します。これにより、クラスター内で作業する開発者にオンデマンドで証明書を提供できます。cert-manager Operator for Red Hat OpenShift は、cert-manager を OpenShift Container Platform クラスターに統合するためのサポートされた方法を提供します。
cert-manager Operator for Red Hat OpenShift は、以下の機能を提供します。
- 外部認証局との統合のサポート
- 証明書を管理するためのツール
- 開発者が証明書をセルフサービスする機能
- 証明書の更新が自動で行われています。
クラスター内で、Red Hat OpenShift for OpenShift Container Platform の cert-manager Operator とコミュニティーの cert-manager Operator の両方を同時に使用しないでください。
また、単一の OpenShift クラスター内の複数の namespace に Red Hat OpenShift for OpenShift Container Platform の cert-manager Operator をインストールしないでください。
9.1.2. cert-manager Operator for Red Hat OpenShift 発行者プロバイダー
cert-manager Operator for Red Hat OpenShift は、次の発行者タイプでテストされています。
- 自動証明書管理環境 (ACME)
- 認証局 (CA)
- 自己署名
- Vault
- Venafi
- Nokia NetGuard Certificate Manager (NCM)
- Google cloud Certificate Authority Service (Google CAS)
9.1.2.1. 発行者タイプのテスト
次の表では、テストした各発行者タイプに対するテスト範囲を示しています。
| 発行者タイプ | テストステータス | 注記 |
|---|---|---|
| ACME | 完全にテスト済み | 標準の ACME 実装で検証しました。 |
| CA | 完全にテスト済み | 基本的な CA 機能を確認しました。 |
| 自己署名 | 完全にテスト済み | 基本的な自己署名機能を確認しました。 |
| Vault | 完全にテスト済み | インフラストラクチャーのアクセス制約により、標準の Vault セットアップに制限されます。 |
| Venafi | 部分的にテスト済み | プロバイダー固有の制限が適用されます。 |
| NCM | 部分的にテスト済み | プロバイダー固有の制限が適用されます。 |
| Google CAS | 部分的にテスト済み | 一般的な CA 設定と互換性があります。 |
OpenShift Container Platform は、サードパーティーの cert-manager Operator for Red Hat OpenShift プロバイダー機能に関連する要素をすべてテストするわけではありません。サードパーティーのサポートの詳細は、OpenShift Container Platform サードパーティーサポートポリシー を参照してください。
9.1.3. 証明書のリクエスト方法
cert-manager Operator for Red Hat OpenShift を使用して証明書をリクエストするには、2 つの方法があります。
cert-manager.io/CertificateRequestオブジェクトの使用-
このメソッドを使用すると、サービス開発者は、設定された発行者 (サービスインフラストラクチャー管理者によって設定された) を指す有効な
issuerRefを使用してCertificateRequestオブジェクトを作成します。次に、サービスインフラストラクチャー管理者は、証明書リクエストを受け入れるか拒否します。受け入れられた証明書リクエストのみが、対応する証明書を作成します。 cert-manager.io/Certificateオブジェクトの使用-
このメソッドを使用すると、サービス開発者は有効な
issuerRefを使用してCertificateオブジェクトを作成し、Certificateオブジェクトを指しているシークレットから証明書を取得します。
9.1.4. cert-manager Operator for Red Hat OpenShift の FIPS 準拠について
cert-manager Operator for Red Hat OpenShift は、バージョン 1.14.0 以降で FIPS に準拠するよう設計されています。OpenShift Container Platform 上で FIPS モードで実行する場合、x86_64、ppc64le、および s390X アーキテクチャー上での FIPS 検証のために、NIST に送信された暗号化ライブラリーが使用されます。NIST 検証プログラムの詳細は、Cryptographic module validation program を参照してください。RHEL 暗号化ライブラリーの個別バージョンに関して検証用に提出された最新の NIST ステータスについては、Compliance activities and government standards を参照してください。
FIPS モードを有効にするには、FIPS モードで稼働するように設定された OpenShift Container Platform クラスター上に cert-manager Operator for Red Hat OpenShift をインストールする必要があります。詳細は、「クラスターに追加のセキュリティーが必要な場合」を参照してください。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}