第3章 証明書の設定

手順

1. ワイルドカード証明書の署名に使用されるルート CA 証明書のみを含む config map を作成します。

   $ oc create configmap custom-ca \
        --from-file=ca-bundle.crt=</path/to/example-ca.crt> \

   1

   
        -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   </path/to/example-ca.crt> は、ローカルファイルシステム上のルート CA 証明書ファイルへのパスです。たとえば、/etc/pki/ca-trust/source/anchors です。

2. 新たに作成された設定マップでクラスター全体のプロキシー設定を更新します。

   $ oc patch proxy/cluster \
        --type=merge \
        --patch='{"spec":{"trustedCA":{"name":"custom-ca"}}}'

   Copy to Clipboard Toggle word wrap
   注記

   クラスターの信頼された CA のみを更新する場合は、MCO によって /etc/pki/ca-trust/source/anchors/openshift-config-user-ca-bundle.crt ファイルが更新され、Machine Config Controller (MCC) によって信頼された CA の更新が各ノードに適用されます。そのため、ノードの再起動は不要です。ただし、これらの変更に伴い、Machine Config Daemon (MCD) によって各ノード上の重要なサービス (kubelet や CRI-O など) が再起動されます。これらのサービスの再起動により、サービスが完全に再起動されるまで、各ノードは一時的に NotReady 状態になります。

   openshift-config-user-ca-bundle.crt ファイル内の他のパラメーター (noproxy など) を変更すると、MCO によってクラスター内の各ノードが再起動されます。

3. ワイルドカード証明書チェーンおよびキーが含まれるシークレットを作成します。

   $ oc create secret tls <secret> \

   1

   
        --cert=</path/to/cert.crt> \

   2

   
        --key=</path/to/cert.key> \

   3

   
        -n openshift-ingress

   Copy to Clipboard Toggle word wrap

   1

   <secret> は、証明書チェーンおよびプライベートキーが含まれるシークレットの名前です。

   2

   </path/to/cert.crt> は、ローカルファイルシステム上の証明書チェーンへのパスです。

   3

   </path/to/cert.key> は、この証明書に関連付けられるプライベートキーへのパスです。

4. Ingress コントローラー設定を、新規に作成されたシークレットで更新します。

   $ oc patch ingresscontroller.operator default \
        --type=merge -p \
        '{"spec":{"defaultCertificate": {"name": "<secret>"}}}' \

   1

   
        -n openshift-ingress-operator

   Copy to Clipboard Toggle word wrap

   1

   <secret> を、直前の手順でシークレットに使用された名前に置き換えます。

   重要

   ローリング更新を実行するために Ingress Operator をトリガーするには、シークレットの名前を更新する必要があります。kubelet はボリュームマウント内のシークレットへの変更を自動的に伝播するため、シークレットの内容を更新してもローリング更新はトリガーされません。詳細は、この Red Hat Knowledgebase Solution を参照してください。