9.10. Red Hat OpenShift の cert-manager Operator と Istio-CSR の統合

検証

1. 次のコマンドを実行して、デプロイメントのロールアウトが完了したことを確認します。

   $ oc rollout status deployment/cert-manager-operator-controller-manager -n cert-manager-operator

   出力例

   deployment "cert-manager-operator-controller-manager" successfully rolled out

手順

1. 以下のコマンドを実行して Istio-CSR をインストールするための新規プロジェクトを作成します。既存のプロジェクトを使用し、この手順を省略できます。

   $ oc new-project <istio_csr_project_name>

2. IstioCSR カスタムリソースを作成して、Istio ワークロードおよびコントロールプレーンの証明書署名要求を処理するために、Red Hat OpenShift の cert-manager Operator によって管理される Istio-CSR エージェントを有効にします。

   注記

   一度にサポートされる IstioCSR カスタムリソース(CR)は 1 つだけです。複数の IstioCSR CR が作成されると、1 つだけアクティブになります。IstioCSR の status サブリソースを使用して、リソースが処理されていないかどうかを確認します。

   • 複数の IstioCSR CR が同時に作成される場合、何も処理されません。
   • 複数の IstioCSR CR が順次作成される場合、最初の CR のみが処理されます。
   • 新規要求が拒否されるのを防ぐには、未処理の IstioCSR CR を削除します。
   • Operator は、IstioCSR 用に作成されたオブジェクトを自動的に削除しません。アクティブな IstioCSR リソースが削除され、以前のデプロイメントを削除せずに新規が別の namespace に作成されると、複数の istio-csr デプロイメントがアクティブなままになる可能性があります。この動作は推奨されず、サポートされていません。

   1. IstioCSR オブジェクトを定義する YAML ファイル（例： istiocsr.yaml ）を作成します。

      IstioCSR.yaml ファイルの例

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        IstioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  1
              kind: Issuer 2
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: istio-system

      1

      Issuer または ClusterIssuer 名を指定します。これは、issuer.yaml ファイルで定義されている CA 発行者の名前と同じである必要があります。

      2

      Issuer または ClusterIssuer の種類を指定します。これは、issuer.yaml ファイルで定義されている CA 発行者と同じ種類である必要があります。

   2. 以下のコマンドを実行して IstioCSR カスタムリソースを作成します。

      $ oc create -f IstioCSR.yaml

検証

1. 以下のコマンドを実行して、Istio-CSR デプロイメントが準備状態にいることを確認します。

   $ oc get deployment -n <istio_csr_project_name>

   出力例

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

2. 次のコマンドを実行して、Istio-CSR Pod が実行されていることを確認します。

   $ oc get pod -n <istio_csr_project_name>

   出力例

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   • 以下のコマンドを実行して、Istio-CSR Pod がログにエラーを報告していないことを確認します。

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

   • 以下のコマンドを実行して、Red Hat OpenShift Pod の cert-manager Operator がエラーを報告していないことを確認します。

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>