9.9. cert-manager Operator for Red Hat OpenShift によるルート保護

手順

1. 次のコマンドを実行して、エッジ TLS Termination とカスタムホスト名を使用して、Service リソースの Route リソースを作成します。ホスト名は、次の手順で Certificate リソースを作成するときに使用されます。

   $ oc create route edge <route_name> \ 1
     --service=<service_name> \ 2
     --hostname=<hostname> \ 3
     --namespace=<namespace> 4

   1

   ルートの名前を指定します。

   2

   公開するサービスを指定します。

   3

   ルートのホスト名を指定します。

   4

   ルートが配置されている namespace を指定します。

2. 次のコマンドを実行して、HTTP-01 ソルバーを設定する Issuer を作成します。その他の ACME 発行者タイプについては、「ACME 発行者の設定」を参照してください。

   Issuer.yaml ファイルの例

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: letsencrypt-acme
     namespace: <namespace> 1
   spec:
     acme:
       server: https://acme-v02.api.letsencrypt.org/directory
       privateKeySecretRef:
         name: letsencrypt-acme-account-key
       solvers:
         - http01:
             ingress:
               ingressClassName: openshift-default
   EOF

   1

   Issuer が配置されている namespace を指定します。ルートの namespace と同じである必要があります。

3. 次のコマンドを実行して、ルートの Certificate オブジェクトを作成します。secretName は、cert-manager が発行および管理する TLS シークレットを指定し、次の手順のルートでも参照されます。

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: example-route-cert
     namespace: <namespace> 1
   spec:
     commonName: <hostname> 2
     dnsNames:
       - <hostname> 3
     usages:
       - server auth
     issuerRef:
       kind: Issuer
       name: letsencrypt-acme
     secretName: <secret_name> 4
   EOF

   1

   Certificate リソースが配置されている namespace を指定します。ルートの namespace と同じである必要があります。

   2

   ルートのホスト名を使用して、証明書の共通名を指定します。

   3

   ルートのホスト名を、証明書の DNS 名に追加します。

   4

   証明書が含まれるシークレットの名前を指定します。

4. 次のコマンドを使用して、参照されたシークレットを読み取るためのルーターサービスアカウント権限を付与する Role を作成します。

   $ oc create role secret-reader \
     --verb=get,list,watch \
     --resource=secrets \
     --resource-name=<secret_name> \ 1
     --namespace=<namespace> 2

   1

   アクセスを許可するシークレットの名前を指定します。これは、Certificate リソースで指定された secretName と一致する必要があります。

   2

   シークレットとルートの両方が配置されている namespace を指定します。

5. 次のコマンドを使用して、ルーターサービスアカウントを新しく作成した Role リソースにバインドする RoleBinding リソースを作成します。

   $ oc create rolebinding secret-reader-binding \
     --role=secret-reader \
     --serviceaccount=openshift-ingress:router \
     --namespace=<namespace> 1

   1

   シークレットとルートの両方が配置されている namespace を指定します。

6. 次のコマンドを使用して、ルートの .spec.tls.externalCertificate フィールドを更新し、以前に作成したシークレットを参照し、cert-manager が発行した証明書を使用します。

   $ oc patch route <route_name> \ 1
     -n <namespace> \ 2
     --type=merge \
     -p '{"spec":{"tls":{"externalCertificate":{"name":"<secret_name>"}}}}' 3

   1

   ルート名を指定します。

   2

   シークレットとルートの両方が配置されている namespace を指定します。

   3

   証明書が含まれるシークレットの名前を指定します。