9.7. cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合

検証

1. 次のコマンドを実行して、デプロイメントのロールアウトが完了したことを確認します。

   $ oc rollout status deployment/cert-manager-operator-controller-manager -n cert-manager-operator

   出力例

   deployment "cert-manager-operator-controller-manager" successfully rolled out

手順

1. 次のコマンドを実行して、Istio-CSR をインストールするための新しいプロジェクトを作成します。既存のプロジェクトを使用して、このステップをスキップすることもできます。

   $ oc new-project <istio_csr_project_name>

2. IstioCSR カスタムリソースを作成して、cert-manager Operator for Red Hat OpenShift によって管理される Istio-CSR エージェントを有効にし、Istio ワークロードとコントロールプレーンの証明書署名要求を処理できるようにします。

   注記

   一度にサポートされる IstioCSR カスタムリソース (CR) は 1 つだけです。複数の IstioCSR CR が作成された場合、アクティブになるのは 1 つだけです。IstioCSR の status サブリソースを使用して、リソースが未処理かどうかを確認してください。

   • 複数の IstioCSR CR が同時に作成された場合、いずれも処理されません。
   • 複数の IstioCSR CR が連続して作成された場合、最初の CR のみが処理されます。
   • 新しい要求が拒否されないように、未処理の IstioCSR CR を削除します。
   • IstioCSR 用に作成されたオブジェクトが、Operator によって自動的に削除されることはありません。アクティブな IstioCSR リソースが削除され、以前のデプロイメントを削除せずに別の namespace に新しいリソースが作成されると、複数の istio-csr デプロイメントがアクティブなままになる可能性があります。この動作は推奨されておらず、サポートされていません。

   1. IstioCSR オブジェクトを定義する YAML ファイル (例: istiocsr.yaml) を作成します。

      IstioCSR.yaml ファイルの例

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        IstioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  1
              kind: Issuer 2
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: istio-system

      1

      Issuer または ClusterIssuer の名前を指定します。issuer.yaml ファイルで定義されている CA 発行者と同じ名前にする必要があります。

      2

      Issuer または ClusterIssuer の種類を指定します。issuer.yaml ファイルで定義されている CA 発行者と同じ種類である必要があります。

   2. 次のコマンドを実行して、IstioCSR カスタムリソースを作成します。

      $ oc create -f IstioCSR.yaml

検証

1. 次のコマンドを実行して、Istio-CSR デプロイメントの準備ができていることを確認します。

   $ oc get deployment -n <istio_csr_project_name>

   出力例

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

2. 次のコマンドを実行して、Istio-CSR の Pod が実行されていることを確認します。

   $ oc get pod -n <istio_csr_project_name>

   出力例

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   • 次のコマンドを実行して、Istio-CSR の Pod がログにエラーを報告していないことを確認します。

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

   • 次のコマンドを実行して、cert-manager Operator for Red Hat OpenShift の Pod がエラーを報告していないことを確認します。

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>