9.2. cert-manager Operator for Red Hat OpenShift リリースノート

Istio-CSR と cert-manager Operator for Red Hat OpenShift の統合 (一般提供)

このリリースでは、以前はテクノロジープレビュー機能として提供されていた cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合が完全にサポートされています。この機能は、Red Hat OpenShift Service Mesh または Istio 環境内のワークロードとコントロールプレーンコンポーネントの保護に対するサポートを強化します。cert-manager Operator for Red Hat OpenShift が管理する Istio-CSR エージェントを利用することで、Istio は相互 TLS (mTLS) に必要な証明書を取得、署名、配信、更新できます。詳細は、cert-manager Operator と Istio-CSR の統合 を参照してください。

cert-manager Operator for Red Hat OpenShift のレプリカ数設定

このリリースでは、cert-manager Operator for Red Hat OpenShift の controller、webhook、および cainjector オペランドのデフォルトのレプリカ数をオーバーライドできます。これらの値を設定するには、CertManager カスタムリソースの新しい overrideReplicas フィールドを指定します。この機能拡張により、特定の運用要件に基づいて、高可用性 (HA) を設定し、オペランドをスケーリングできるようになります。詳細は、cert-manager コンポーネントの CertManager CR における共通の設定可能フィールド を参照してください。

cert-manager Operator for Red Hat OpenShift コンテナーのルートファイルシステムは読み取り専用です

このリリースでは、セキュリティーを強化するために、cert-manager Operator for Red Hat OpenShift とそのすべてのオペランドの readOnlyRootFilesystem セキュリティーコンテキストが、デフォルトで true に設定されています。この機能拡張により、コンテナーのセキュリティーが強化され、潜在的な攻撃者によってコンテナーのルートファイルシステムの内容が改ざんされる可能性が防止されます。

cert-manager Operator for Red Hat OpenShift で、ネットワークポリシーによるセキュリティー強化が利用可能になりました

このリリースでは、cert-manager Operator for Red Hat OpenShift に事前定義済みの NetworkPolicy リソースが含まれてています。これは、コンポーネントの Ingress および Egress トラフィックを制御することでセキュリティーを強化するためのものです。これらのポリシーは、メトリクスや Webhook サーバーへの Ingress や、OpenShift API および DNS サーバーへの Egress などの内部トラフィックを対象としています。

この機能は、アップグレード中の接続の問題を防ぐために、デフォルトで無効になっています。CertManager カスタムリソースで明示的に有効にする必要があります。詳細は、cert-manager Operator for Red Hat OpenShift のネットワークポリシー設定 を参照してください。

ACME HTTP-01 ソルバー Pod のリソース要求と制限の設定をサポートする

このリリースでは、cert-manager Operator for Red Hat OpenShift は ACME HTTP-01 ソルバー Pod の CPU およびメモリーリソース要求と制限の設定をサポートします。CertManager カスタムリソース (CR) で次のオーバーライド可能な引数を使用して、CPU およびメモリーリソースの要求と制限を設定できます。

詳細は、cert‑manager コンポーネントのオーバーライド可能な引数 を参照してください。

以前は、cert-manager Operator for Red Hat OpenShift は、RBAC 権限が不十分なため、cert-manager-tokenrequest ロールを作成できませんでした。その結果、RoleCreateFailed エラーが発生し、静的リソースコントローラーがデグレード状態になっていました。このリリースでは、必要な serviceaccounts/token の作成権限を RBAC 設定に追加することで、この問題が解決されています。その結果、cert-manager-tokenrequest ロールおよびロールバインディングが正常に作成され、Operator ログに RoleCreateFailed エラーが表示されなくなりました。(OCPBUGS-56758)

非接続環境のサポート

このリリースでは、cert-manager Operator for Red Hat OpenShift を非接続環境にミラーリングおよびインストールできることが検証済みです。

また、この Operator が非接続環境で各種の発行者 (ACME、CA、Self-signed、および Vault) と連携して動作することも検証済みです。具体的には、プライベートまたは自己ホスト型の ACME サーバーが検証済みです。非接続環境では、Let’s Encrypt やその他のパブリック ACME サービスは実行可能な選択肢ではないためです。Operator イメージのミラーリング方法としては、oc-mirror プラグイン v2 が推奨されます。詳細は、oc-mirror プラグインを使用した非接続インストールのイメージのミラーリング を参照してください。

オペランドメトリクスのサポート拡張

このリリースでは、cert-manager の webhook および cainjector オペランドが、/metrics サービスエンドポイントを介して、デフォルトでポート 9402 で Prometheus メトリクスを公開するようになりました。組み込みのユーザーワークロードモニタリングスタックを有効にすることで、すべての cert-manager オペランドからメトリクスを収集するように OpenShift Monitoring を設定できます。詳細は、cert-manager Operator for Red Hat OpenShift のモニタリング を参照してください。

Streaming Lists の有効化

このリリースでは、cert-manager Operator for Red Hat OpenShift が、アップストリームの新機能である WatchListClient を使用するようになりました。これにより、Kubernetes API サーバーの Streaming Lists 機能が使用できるようになり、API サーバーの負荷が軽減されます。OpenShift Container Platform 4.14 以降では、cert-manager コンポーネント起動時のピーク時のメモリー使用量が最適化されています。

cert-manager バージョン 1.16.0 でユーザー名とパスワードの認証を使用して Venafi 発行者を使用する場合、デフォルトのクライアント ID が cert-manager.io としてハードコードされており、カスタマイズできません。この制限は、Venafi プラットフォームでの認証に特定のクライアント ID を必要とするユーザーに影響する可能性があります。

cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合 (テクノロジープレビュー)

cert-manager Operator for Red Hat OpenShift が Istio-CSR をサポートするようになりました。この統合により、cert-manager Operator の発行者が、相互 TLS (mTLS) 通信用の証明書を発行、署名、更新できるようになります。この証明書を、Red Hat OpenShift Service Mesh および Istio が cert-manager Operator から直接要求できるようになりました。

詳細は、cert-manager Operator と Istio-CSR の統合 を参照してください。

cert-manager Operator for Red Hat OpenShift のスケジュールオーバーライド

このリリースでは、cert-manager コントローラー、webhook、CA インジェクターなどを含む cert-manager Operator for Red Hat OpenShift のスケジュールオーバーライドを設定できます。

Google CAS 発行者

cert-manager Operator for Red Hat OpenShift は、Google Certificate Authority Service (CAS) 発行者をサポートするようになりました。google-cas-issuer は、CAS により管理されるプライベート認証局を使用して、発行と更新を含む証明書ライフサイクルの管理を自動化する cert-manager の外部発行者です。

デフォルトの installMode を AllNamespaces に更新

バージョン 1.15.0 以降では、Operator Lifecycle Manager (OLM) のデフォルトかつ推奨される installMode は AllNamespaces です。以前のデフォルトは SingleNamespace でした。この変更は、multi-namespace Operator 管理のベストプラクティスと一致しています。詳細は、OCPBUGS-23406 を参照してください。

冗長 kube-rbac-proxy サイドカーの削除

Operator に、冗長な kube-rbac-proxy サイドカーコンテナーがなくなり、リソースの使用量と複雑さが軽減されました。詳細は、CM-436 を参照してください。

冗長 kube-rbac-proxy サイドカーの削除

Operator に、冗長な kube-rbac-proxy サイドカーコンテナーがなくなり、リソースの使用量と複雑さが軽減されました。詳細は、CM-436 を参照してください。

FIPS 準拠のサポート

このリリースでは、cert-manager Operator for Red Hat OpenShift に対して FIPS モードが自動的に有効化されるようになりました。FIPS モードの OpenShift Container Platform クラスターにインストールすると、cert-manager Operator for Red Hat OpenShift はクラスターの FIPS サポートステータスに影響を与えることなく互換性を確保します。

cert-manager が管理する証明書によるルートの保護 (テクノロジープレビュー)

このリリースでは、cert-manager Operator for Red Hat OpenShift を使用して、Route リソースで参照される証明書を管理できます。詳細は、cert-manager Operator for Red Hat OpenShift によるルート保護 を参照してください。

NCM 発行者

cert-manager Operator for Red Hat OpenShift は、Nokia NetGuard Certificate Manager (NCM) 発行者をサポートします。ncm-issuer は、Kubernetes コントローラーを使用して NCM PKI システムと統合し、証明書要求に署名する cert-manager 外部発行者です。この統合により、アプリケーションの非自己署名付き証明書の取得プロセスが合理化され、証明書の有効性と最新の状態が確保されます。