3.3. サービス提供証明書のシークレットによるサービストラフィックのセキュリティー保護

手順

1. サービスに service.beta.openshift.io/serving-cert-secret-name のアノテーションを付けます。

   $ oc annotate service <service_name> \1
        service.beta.openshift.io/serving-cert-secret-name=<secret_name> 2

   1

   <service_name> を、セキュリティー保護するサービスの名前に置き換えます。

   2

   <secret_name> は、証明書とキーのペアを含む生成されたシークレットの名前です。便宜上、これを <service_name> と同じにすることが推奨されます。

   たとえば、以下のコマンドを使用してサービス test1 にアノテーションを付けます。

   $ oc annotate service test1 service.beta.openshift.io/serving-cert-secret-name=test1

2. アノテーションが存在することを確認するためにサービスを検査します。

   $ oc describe service <service_name>

   出力例

   ...
   Annotations:              service.beta.openshift.io/serving-cert-secret-name: <service_name>
                             service.beta.openshift.io/serving-cert-signed-by: openshift-service-serving-signer@1556850837
   ...

3. クラスターがサービスのシークレットを生成した後に、Pod 仕様がこれをマウントでき、Pod はシークレットが利用可能になった後にこれを実行できます。

手順

1. 設定マップに service.beta.openshift.io/inject-cabundle=true のアノテーションを付けます。

   $ oc annotate configmap <config_map_name> \1
        service.beta.openshift.io/inject-cabundle=true

   1

   <config_map_name> を、アノテーションを付ける設定マップの名前に置き換えます。

   注記

   ボリュームマウントの service-ca.crt キーを明示的に参照することにより、設定マップが CA バンドルと共に挿入されるまで、Pod を起動できなくなります。この動作は、ボリュームの提供証明書の設定について optional フィールドを true に設定して上書きできます。

   たとえば、以下のコマンドを使用して設定マップ test1 にアノテーションを付けます。

   $ oc annotate configmap test1 service.beta.openshift.io/inject-cabundle=true

2. 設定マップを表示して、サービス CA バンドルが挿入されていることを確認します。

   $ oc get configmap <config_map_name> -o yaml

   CA バンドルは、YAML 出力の service-ca.crt キーの値として表示されます。

   apiVersion: v1
   data:
     service-ca.crt: |
       -----BEGIN CERTIFICATE-----
   ...

手順

1. API サービスに service.beta.openshift.io/inject-cabundle=true のアノテーションを付けます。

   $ oc annotate apiservice <api_service_name> \1
        service.beta.openshift.io/inject-cabundle=true

   1

   <api_service_name> を、アノテーションを付ける API サービスの名前に置き換えます。

   たとえば、以下のコマンドを使用して API サービス test1 にアノテーションを付けます。

   $ oc annotate apiservice test1 service.beta.openshift.io/inject-cabundle=true

2. API サービスを表示し、サービス CA バンドルが挿入されていることを確認します。

   $ oc get apiservice <api_service_name> -o yaml

   CA バンドルは YAML 出力の spec.caBundle フィールドに表示されます。

   apiVersion: apiregistration.k8s.io/v1
   kind: APIService
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   spec:
     caBundle: <CA_BUNDLE>
   ...

手順

1. CRD に service.beta.openshift.io/inject-cabundle=true のアノテーションを付けます。

   $ oc annotate crd <crd_name> \1
        service.beta.openshift.io/inject-cabundle=true

   1

   <crd_name> をアノテーションを付ける CRD の名前に置き換えます。

   たとえば、以下のコマンドを使用して CRD test1 にアノテーションを付けます。

   $ oc annotate crd test1 service.beta.openshift.io/inject-cabundle=true

2. CRD を表示して、サービス CA バンドルが挿入されていることを確認します。

   $ oc get crd <crd_name> -o yaml

   CA バンドルは、YAML 出力の spec.conversion.webhook.clientConfig.caBundle フィールドに表示されます。

   apiVersion: apiextensions.k8s.io/v1
   kind: CustomResourceDefinition
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   spec:
     conversion:
       strategy: Webhook
       webhook:
         clientConfig:
           caBundle: <CA_BUNDLE>
   ...

手順

1. 変更用 Webhook 設定に service.beta.openshift.io/inject-cabundle=true のアノテーションを付けます。

   $ oc annotate mutatingwebhookconfigurations <mutating_webhook_name> \1
        service.beta.openshift.io/inject-cabundle=true

   1

   <mutating_webhook_name> を、アノテーションを付ける変更用 Webhook 設定の名前に置き換えます。

   たとえば、以下のコマンドを使用して変更用 webhook 設定 test1 にアノテーションを付けます。

   $ oc annotate mutatingwebhookconfigurations test1 service.beta.openshift.io/inject-cabundle=true

2. 変更用 webhook 設定を表示して、サービス CA バンドルが挿入されていることを確認します。

   $ oc get mutatingwebhookconfigurations <mutating_webhook_name> -o yaml

   CA バンドルは、YAML 出力のすべての Webhook の clientConfig.caBundle フィールドに表示されます。

   apiVersion: admissionregistration.k8s.io/v1
   kind: MutatingWebhookConfiguration
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   webhooks:
   - myWebhook:
     - v1beta1
     clientConfig:
       caBundle: <CA_BUNDLE>
   ...

手順

1. 検証用 Webhook 設定に service.beta.openshift.io/inject-cabundle=true のアノテーションを付けます。

   $ oc annotate validatingwebhookconfigurations <validating_webhook_name> \1
        service.beta.openshift.io/inject-cabundle=true

   1

   <validating_webhook_name> をアノテーションを付ける検証用 Webhook 設定の名前に置き換えます。

   たとえば、以下のコマンドを使用して検証用 webhook 設定 test1 にアノテーションを付けます。

   $ oc annotate validatingwebhookconfigurations test1 service.beta.openshift.io/inject-cabundle=true

2. 検証用 webhook 設定を表示して、サービス CA バンドルが挿入されていることを確認します。

   $ oc get validatingwebhookconfigurations <validating_webhook_name> -o yaml

   CA バンドルは、YAML 出力のすべての Webhook の clientConfig.caBundle フィールドに表示されます。

   apiVersion: admissionregistration.k8s.io/v1
   kind: ValidatingWebhookConfiguration
   metadata:
     annotations:
       service.beta.openshift.io/inject-cabundle: "true"
   ...
   webhooks:
   - myWebhook:
     - v1beta1
     clientConfig:
       caBundle: <CA_BUNDLE>
   ...

手順

1. 証明書を含むシークレットを確認するためにサービスを検査します。これは、以下に示すように serving-cert-secret-name アノテーションにあります。

   $ oc describe service <service_name>

   出力例

   ...
   service.beta.openshift.io/serving-cert-secret-name: <secret>
   ...

2. サービスの生成されたシークレットを削除します。このプロセスで、シークレットが自動的に再作成されます。

   $ oc delete secret <secret> 1

   1

   <secret> を、直前の手順のシークレットの名前に置き換えます。

3. 新規シークレットを取得し、AGE を調べて、証明書が再作成されていることを確認します。

   $ oc get secret <service_name>

   出力例

   NAME              TYPE                DATA   AGE
   <service.name>    kubernetes.io/tls   2      1s

手順

1. 以下のコマンドを使用して、現在のサービス CA 証明書の有効期限を表示します。

   $ oc get secrets/signing-key -n openshift-service-ca \
        -o template='{{index .data "tls.crt"}}' \
        | base64 --decode \
        | openssl x509 -noout -enddate

2. サービス CA を手動でローテーションします。このプロセスは、新規サービス証明書に署名するために使用される新規サービス CA を生成します。

   $ oc delete secret/signing-key -n openshift-service-ca

3. 新規証明書をすべてのサービスに適用するには、クラスター内のすべての Pod を再起動します。このコマンドにより、すべてのサービスが更新された証明書を使用するようになります。

   $ for I in $(oc get ns -o jsonpath='{range .items[*]} {.metadata.name}{"\n"} {end}'); \
         do oc delete pods --all -n $I; \
         sleep 1; \
         done

   警告

   このコマンドは、すべての namespace で実行されているすべての Pod を調べ、これらを削除するため、サービスを中断させます。これらの Pod は削除後に自動的に再起動します。