1.2. ルートのセキュリティー保護

検証

1. すべてのルートのアノテーションをクエリーするには、以下のコマンドを入力します。

   $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

   Copy to Clipboard Toggle word wrap

   出力例

   Name: routename HSTS: max-age=0

   Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行し、必要に応じてフィールドを更新して、Ingress 設定 YAML を編集します。

   $ oc edit ingresses.config.openshift.io/cluster

   Copy to Clipboard Toggle word wrap

   HSTS ポリシーの例

   apiVersion: config.openshift.io/v1
   kind: Ingress
   metadata:
     name: cluster
   spec:
     domain: 'hello-openshift-default.apps.username.devcluster.openshift.com'
     requiredHSTSPolicies: 

   1

   
     - domainPatterns: 

   2

   
       - '*hello-openshift-default.apps.username.devcluster.openshift.com'
       - '*hello-openshift-default2.apps.username.devcluster.openshift.com'
       namespaceSelector: 

   3

   
         matchLabels:
           myPolicy: strict
       maxAge: 

   4

   
         smallestMaxAge: 1
         largestMaxAge: 31536000
       preloadPolicy: RequirePreload 

   5

   
       includeSubDomainsPolicy: RequireIncludeSubDomains 

   6

   
     - domainPatterns:
       - 'abc.example.com'
       - '*xyz.example.com'
       namespaceSelector:
         matchLabels: {}
       maxAge: {}
       preloadPolicy: NoOpinion
       includeSubDomainsPolicy: RequireNoIncludeSubDomains

   Copy to Clipboard Toggle word wrap

   1

   必須。requiredHSTSPolicies は順番に検証され、最初に一致する domainPatterns が適用されます。

   2

   必須。1 つ以上の domainPatterns ホスト名を指定する必要があります。任意の数のドメインをリスト表示できます。さまざまな domainPatterns について、Enforcing オプションの複数のセクションを含めることができます。

   3

   オプション: namespaceSelector を含める場合、ルートを配置するプロジェクトのラベルと一致する必要があります。これにより、ルートに設定された HSTS ポリシーを適用する必要があります。domainPatterns ではなく namespaceSelector のみに一致するルートは検証されません。

   4

   必須。max-age は、HSTS ポリシーが有効な期間 (秒単位) を測定します。このポリシー設定により、最小および最大の max-age を適用することができます。

   • largestMaxAge の値は 0 から 2147483647 の範囲内で指定する必要があります。これを指定しないと、上限が強制されないことを意味します。
   • smallestMaxAge の値は 0 から 2147483647 の範囲内で指定する必要があります。トラブルシューティングのために HSTS を無効にするには、0 を入力します。HSTS を無効にする必要がない場合は 1 を入力します。これを指定しないと、下限が強制されません。

   5

   オプション: haproxy.router.openshift.io/hsts_header に preload を含めることで、外部サービスがこのサイトをそれぞれの HSTS プリロードリストに含めることができます。ブラウザーはこれらの一覧を使用し、サイトと対話する前でも HTTPS 経由で通信できるサイトを判別できます。preload 設定がない場合、ブラウザーは少なくともサイトと通信してヘッダーを取得する必要があります。preload は、以下のいずれかで設定できます。

   • RequirePreload: preload は RequiredHSTSPolicy で必要になります。
   • RequireNoPreload: preload は RequiredHSTSPolicy によって禁止されます。
   • NoOpinion: preload は RequiredHSTSPolicy に重要ではありません。

   6

   オプション: includeSubDomainsPolicy は、以下のいずれかで設定できます。

   • RequireIncludeSubDomains: includeSubDomains は RequiredHSTSPolicy で必要です。
   • RequireNoIncludeSubDomains: includeSubDomains は RequiredHSTSPolicy によって禁止されています。
   • NoOpinion: includeSubDomains は RequiredHSTSPolicy に重要ではありません。

2. oc annotate command を入力して、HSTS をクラスターのすべてのルートまたは特定の namespace に適用することができます。

   • HSTS をクラスターのすべてのルートに適用するには、oc annotate command を実行します。以下に例を示します。

     $ oc annotate route --all --all-namespaces --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000"

     Copy to Clipboard Toggle word wrap

   • 特定の namespace のすべてのルートに HSTS を適用するには、oc annotate command を実行します。以下に例を示します。

     $ oc annotate route --all -n my-namespace --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=31536000"

     Copy to Clipboard Toggle word wrap