2.4. OpenShift Container Platform のファイアウォールの設定

手順

1. ファイアウォールの許可リストに次のレジストリー URL を設定します。

   Expand

   URL	ポート	機能
   registry.redhat.io	443	コアコンテナーイメージを指定します。
   access.redhat.com	443	コンテナークライアントが registry.access.redhat.com から取得したイメージを検証するのに必要な署名ストアをホストします。ファイアウォール環境では、このリソースが許可リストに含まれていることを確認してください。
   registry.access.redhat.com	443	コアコンテナーイメージを含め、Red Hat Ecosystem Catalog に保存されているすべてのコンテナーイメージをホストします。
   quay.io	443	コアコンテナーイメージを指定します。
   cdn.quay.io	443	コアコンテナーイメージを指定します。
   cdn01.quay.io	443	コアコンテナーイメージを指定します。
   cdn02.quay.io	443	コアコンテナーイメージを指定します。
   cdn03.quay.io	443	コアコンテナーイメージを指定します。
   cdn04.quay.io	443	コアコンテナーイメージを指定します。
   cdn05.quay.io	443	コアコンテナーイメージを指定します。
   cdn06.quay.io	443	コアコンテナーイメージを指定します。
   sso.redhat.com	443	https://console.redhat.com サイトは、sso.redhat.com からの認証を使用します。

   Show more
   • 許可リストで cdn.quay.io と cdn0[1-6].quay.io の代わりに、ワイルドカードの *.quay.io と *.openshiftapps.com を使用できます。
   • ワイルドカード *.access.redhat.com を使用すると、設定を簡素化し、registry.access.redhat.com を含むすべてのサブドメインを許可できます。
   • quay.io などのサイトを許可リストに追加するには、*.quay.io などのワイルドカードエントリーを拒否リストに加えないでください。ほとんどの場合、イメージレジストリーはコンテンツ配信ネットワーク (CDN) を使用してイメージを提供します。ファイアウォールがアクセスをブロックすると、最初のダウンロード要求が cdn01.quay.io などのホスト名にリダイレクトされるときに、イメージのダウンロードが拒否されます。
2. ファイアウォールの許可リストを設定し、ビルドに必要な言語またはフレームワークのリソースを提供するサイトをリストに含めます。

3. Telemetry を無効にしていない場合は、以下の URL へのアクセスを許可して Red Hat Insights にアクセスできるようにする必要があります。

   Expand

   URL	ポート	機能
   cert-api.access.redhat.com	443	Telemetry で必須
   api.access.redhat.com	443	Telemetry で必須
   infogw.api.openshift.com	443	Telemetry で必須
   console.redhat.com	443	Telemetry および insights-operator で必須

   Show more

4. ファイアウォールの許可リストを設定し、次のレジストリー URL をリストに含めます。

   Expand

   URL	ポート	機能
   api.openshift.com	443	クラスタートークンの両方が必要であり、クラスターに更新が利用可能かどうかを確認するために必要です。
   rhcos.mirror.openshift.com	443	Red Hat Enterprise Linux CoreOS (RHCOS) イメージをダウンロードするために必要。

   Show more

5. ファイアウォールの許可リストを設定し、次の外部 URL をリストに含めます。各リポジトリー URL は OCI コンテナーをホストします。パフォーマンスの問題を軽減するために、イメージをミラーリングするリポジトリーの数をできる限り少なくすることを検討してください。

   Expand

   URL	ポート	機能
   k8s.gcr.io	port	コミュニティーベースのイメージレジストリーのコンテナーイメージをホストする Kubernetes レジストリー。このイメージレジストリーは、カスタム Google Container Registry (GCR) ドメインでホストされています。
   ghcr.io	port	Open Container Initiative イメージを保存および管理できる GitHub イメージレジストリー。プライベート、内部、パブリックパッケージを公開、インストール、削除するには、アクセストークンが必要です。
   storage.googleapis.com	443	リリースイメージ署名のソース。ただし、Cluster Version Operator には単一の機能ソースのみが必要です。
   registry.k8s.io	port	k8s.gcr.io イメージレジストリーを置き換えます。これは、k8s.gcr.io イメージレジストリーが他のプラットフォームやベンダーをサポートしていないためです。

   Show more