9.10. cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合

手順

1. Issuer および Certificate オブジェクトを定義する YAML ファイルを作成します。

   issuer.yaml ファイルの例

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   Copy to Clipboard Toggle word wrap

   1 3 4

   Issuer または ClusterIssuer を指定します。

   2 5

   Istio プロジェクトの名前を指定します。

手順

1. 次のコマンドを実行して、Istio-CSR をインストールするための新しいプロジェクトを作成します。Istio-CSR をインストールするための既存のプロジェクトがある場合は、この手順をスキップしてください。

   $ oc new-project <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

2. IstioCSR カスタムリソースを作成して、cert-manager Operator for Red Hat OpenShift によって管理される Istio-CSR エージェントを有効にし、Istio ワークロードとコントロールプレーンの証明書署名要求を処理できるようにします。

   注記

   一度にサポートされる IstioCSR カスタムリソース (CR) は 1 つだけです。複数の IstioCSR CR が作成された場合、アクティブになるのは 1 つだけです。IstioCSR の status サブリソースを使用して、リソースが未処理かどうかを確認してください。

   • 複数の IstioCSR CR が同時に作成された場合、いずれも処理されません。
   • 複数の IstioCSR CR が連続して作成された場合、最初の CR のみが処理されます。
   • 新しい要求が拒否されないように、未処理の IstioCSR CR を削除します。
   • IstioCSR 用に作成されたオブジェクトが、Operator によって自動的に削除されることはありません。アクティブな IstioCSR リソースが削除され、以前のデプロイメントを削除せずに別の namespace に新しいリソースが作成されると、複数の istio-csr デプロイメントがアクティブなままになる可能性があります。この動作は推奨されておらず、サポートされていません。

   1. IstioCSR オブジェクトを定義する YAML ファイルを作成します。

      IstioCSR CR の例

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      Copy to Clipboard Toggle word wrap

      1

      Issuer または ClusterIssuer の名前を指定します。issuer.yaml ファイルで定義されている CA 発行者と同じ名前にする必要があります。

      2

      Issuer または ClusterIssuer の種類を指定します。issuer.yaml ファイルで定義されている CA 発行者と同じ種類である必要があります。

   2. 次のコマンドを実行して、IstioCSR カスタムリソースを作成します。

      $ oc create -f IstioCSR.yaml

      Copy to Clipboard Toggle word wrap

検証

1. 次のコマンドを実行して、Istio-CSR デプロイメントの準備ができていることを確認します。

   $ oc get deployment -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、Istio-CSR の Pod が実行されていることを確認します。

   $ oc get pod -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   出力例

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   Copy to Clipboard Toggle word wrap

   • 次のコマンドを実行して、Istio-CSR の Pod がログにエラーを報告していないことを確認します。

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

     Copy to Clipboard Toggle word wrap

   • 次のコマンドを実行して、cert-manager Operator for Red Hat OpenShift の Pod がエラーを報告していないことを確認します。

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

     Copy to Clipboard Toggle word wrap

手順

1. 次のコマンドを実行して、IstioCSR CR を編集します。

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   <istio_csr_project_name> は、IstioCSR CR を作成した namespace に置き換えます。

2. spec.istioCSRConfig セクションでログレベルと形式を設定します。

   ログレベルを設定するための IstioCSR CR 設定のサンプル

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       logFormat: text 

   1

   
       logLevel: 2 

   2

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   ログの出力形式を指定します。このフィールドは text または json のいずれかに設定できます。

   2

   ログレベルを設定します。サポートされている値は、Kubernetes ロギングガイドラインで定義されているように、1 から 5 までの値です。デフォルト値は 1 です。

3. 変更を適用するために、エディターを保存して閉じます。変更が適用されると、cert-manager Operator が istio-csr オペランドのログ設定を更新します。

手順

1. 次のコマンドを実行して、IstioCSR CR を編集します。

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   <istio_csr_project_name> は、IstioCSR CR を作成した namespace に置き換えます。

2. namespace セレクターを設定するには、spec.istioCSRConfig.istioDataPlaneNamespaceSelector セクションを設定します。

   namespace セレクターを含む IstioCSR CR 設定のサンプル

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       istioDataPlaneNamespaceSelector: maistra.io/member-of=istio-system 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   maistra.io/member-of=istio-system は、サービスメッシュ内の namespace を特定するためのラベルのキーと値に置き換えます。<key>=<value> 形式を使用してください。

   注記

   istio-csr コンポーネントは、設定されたセレクターと一致しない namespace 内の ConfigMap オブジェクトは削除または管理しません。IstioCSR CR をデプロイした後にセレクターを作成または更新する場合、または namespace からラベルを削除する場合は、競合を避けるためにこれらの ConfigMap オブジェクトを手動で削除する必要があります。

   次のコマンドを実行すると、セレクターに一致する namespace にない ConfigMap オブジェクトをリスト表示できます。この例では、セレクターは maistra.io/member-of=istio-system です。

   printf "%-25s %10s\n" "ConfigMap" "Namespace"; \
   for ns in $(oc get namespaces -l "maistra.io/member-of!=istio-system" -o=jsonpath='{.items[*].metadata.name}'); do \
     oc get configmaps -l "istio.io/config=true" -n $ns --no-headers -o jsonpath='{.items[*].metadata.name}{"\t"}{.items[*].metadata.namespace}{"\n"}' --ignore-not-found; \
   done

   Copy to Clipboard Toggle word wrap
3. 変更を適用するために、エディターを保存して閉じます。変更が適用されると、cert-manager Operator for Red Hat OpenShift が istio-csr オペランドの namespace セレクター設定を更新します。

手順

1. 次のコマンドを実行して、IstioCSR CR を編集します。

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   Copy to Clipboard Toggle word wrap

   1

   <istio_csr_project_name> は、IstioCSR CR を作成した namespace に置き換えます。

2. spec.istioCSRConfig.certManager セクションを編集して CA バンドルを設定します。

   CA バンドル設定を含む IstioCSR CR のサンプル

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       certManager:
         istioCACertificate:
           key: <key_in_the_configmap> 

   1

   
           name: <configmap_name> 

   2

   
           namespace: <configmap_namespace> 

   3

   Copy to Clipboard Toggle word wrap

   1

   CA バンドルを含む ConfigMap 内のキー名を指定します。

   2

   ConfigMap の名前を指定します。このフィールドを更新する前に、参照される ConfigMap とキーが存在することを確認してください。

   3

   オプション: ConfigMap が存在する namespace を指定します。このフィールドを設定しなかった場合、IstioCSR CR をインストールした namespace で、cert-manager Operator for Red Hat OpenShift によって ConfigMap が検索されます。

   注記

   CA 証明書がローテーションされるたびに、最新の証明書を使用して ConfigMap を手動で更新する必要があります。

3. 変更を適用するために、エディターを保存して閉じます。変更が適用されると、cert-manager Operator が istio-csr オペランドの CA バンドルを更新します。