9.10. cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合

検証

1. 次のコマンドを実行して、デプロイメントのロールアウトが完了したことを確認します。

   $ oc rollout status deployment/cert-manager-operator-controller-manager -n cert-manager-operator

   Copy to Clipboard Toggle word wrap

   出力例

   deployment "cert-manager-operator-controller-manager" successfully rolled out

   Copy to Clipboard Toggle word wrap

手順

1. Issuer および Certificate オブジェクトを定義する YAML ファイルを作成します。

   issuer.yaml ファイルの例

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   Copy to Clipboard Toggle word wrap

   1 3 4

   Issuer または ClusterIssuer を指定します。

   2 5

   Istio プロジェクトの名前を指定します。

手順

1. 次のコマンドを実行して、Istio-CSR をインストールするための新しいプロジェクトを作成します。Istio-CSR をインストールするための既存のプロジェクトがある場合は、この手順をスキップしてください。

   $ oc new-project <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

2. IstioCSR カスタムリソースを作成して、cert-manager Operator for Red Hat OpenShift によって管理される Istio-CSR エージェントを有効にし、Istio ワークロードとコントロールプレーンの証明書署名要求を処理できるようにします。

   注記

   一度にサポートされる IstioCSR カスタムリソース (CR) は 1 つだけです。複数の IstioCSR CR が作成された場合、アクティブになるのは 1 つだけです。IstioCSR の status サブリソースを使用して、リソースが未処理かどうかを確認してください。

   • 複数の IstioCSR CR が同時に作成された場合、いずれも処理されません。
   • 複数の IstioCSR CR が連続して作成された場合、最初の CR のみが処理されます。
   • 新しい要求が拒否されないように、未処理の IstioCSR CR を削除します。
   • IstioCSR 用に作成されたオブジェクトが、Operator によって自動的に削除されることはありません。アクティブな IstioCSR リソースが削除され、以前のデプロイメントを削除せずに別の namespace に新しいリソースが作成されると、複数の istio-csr デプロイメントがアクティブなままになる可能性があります。この動作は推奨されておらず、サポートされていません。

   1. IstioCSR オブジェクトを定義する YAML ファイルを作成します。

      IstioCSR CR の例

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      Copy to Clipboard Toggle word wrap

      1

      Issuer または ClusterIssuer の名前を指定します。issuer.yaml ファイルで定義されている CA 発行者と同じ名前にする必要があります。

      2

      Issuer または ClusterIssuer の種類を指定します。issuer.yaml ファイルで定義されている CA 発行者と同じ種類である必要があります。

   2. 次のコマンドを実行して、IstioCSR カスタムリソースを作成します。

      $ oc create -f IstioCSR.yaml

      Copy to Clipboard Toggle word wrap

検証

1. 次のコマンドを実行して、Istio-CSR デプロイメントの準備ができていることを確認します。

   $ oc get deployment -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Istio-CSR の Pod が実行されていることを確認します。

   $ oc get pod -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   Copy to Clipboard Toggle word wrap

   • 次のコマンドを実行して、Istio-CSR の Pod がログにエラーを報告していないことを確認します。

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

     Copy to Clipboard Toggle word wrap

   • 次のコマンドを実行して、cert-manager Operator for Red Hat OpenShift の Pod がエラーを報告していないことを確認します。

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

     Copy to Clipboard Toggle word wrap