7.10. 高度なタスク

手順

1. DNS Operator の managementState を Unmanaged に変更します。

   oc patch dns.operator.openshift.io default --type merge --patch '{"spec":{"managementState":"Unmanaged"}}'

   Copy to Clipboard Toggle word wrap

2. jsonpath コマンドライン JSON パーサーを使用して DNS Operator の managementState を確認します。

   $ oc get dns.operator.openshift.io default -ojsonpath='{.spec.managementState}'

   Copy to Clipboard Toggle word wrap
   注記

   managementState が Unmanaged に設定されている間はアップグレードできません。

手順

1. default という名前の DNS Operator オブジェクトを変更します。

   $ oc edit dns.operator/default

   Copy to Clipboard Toggle word wrap

   クラスター管理者は、転送された DNS クエリーに Transport Layer Security (TLS) を設定できるようになりました。

   TLS を使用した DNS 転送の設定

   apiVersion: operator.openshift.io/v1
   kind: DNS
   metadata:
     name: default
   spec:
     servers:
     - name: example-server 

   1

   
       zones:
       - example.com 

   2

   
       forwardPlugin:
         transportConfig:
           transport: TLS 

   3

   
           tls:
             caBundle:
               name: mycacert
             serverName: dnstls.example.com  

   4

   
         policy: Random 

   5

   
         upstreams: 

   6

   
         - 1.1.1.1
         - 2.2.2.2:5353
     upstreamResolvers: 

   7

   
       transportConfig:
         transport: TLS
         tls:
           caBundle:
             name: mycacert
           serverName: dnstls.example.com
       upstreams:
       - type: Network 

   8

   
         address: 1.2.3.4 

   9

   
         port: 53 

   10

   Copy to Clipboard Toggle word wrap

   1

   rfc6335 サービス名の構文に準拠する必要があります。

   2

   rfc1123 サービス名構文のサブドメインの定義に準拠する必要があります。クラスタードメインの cluster.local は、zones フィールドの無効なサブドメインです。クラスタードメインの cluster.local は、zones の無効な subdomain です。

   3

   転送された DNS クエリーの TLS を設定する場合、transport フィールドの値を TLS に設定します。

   4

   転送された DNS クエリー用に TLS を設定する場合、これは、アップストリーム TLS サーバー証明書を検証するための Server Name Indication (SNI) の一部として使用される必須のサーバー名です。

   5

   アップストリームリゾルバーを選択するためのポリシーを定義します。デフォルト値は Random です。RoundRobin および Sequential の値を使用することもできます。

   6

   必須。アップストリームリゾルバーを指定するために使用します。forwardPlugin エントリーごとに最大 15 の upstreams エントリーが許可されます。

   7

   任意。これを使用して、デフォルトポリシーを上書きし、デフォルトドメインで指定された DNS リゾルバー (アップストリームリゾルバー) に DNS 解決を転送できます。アップストリームリゾルバーを指定しない場合に、DNS 名のクエリーは /etc/resolv.conf のサーバーに送信されます。

   8

   TLS を使用する場合、Network タイプのみが許可され、IP アドレスを指定する必要があります。Network タイプは、このアップストリームリゾルバーが /etc/resolv.conf にリストされているアップストリームリゾルバーとは別に転送されたリクエストを処理する必要があることを示します。

   9

   address フィールドは、有効な IPv4 または IPv6 アドレスである必要があります。

   10

   オプションでポートを指定できます。port の値は 1 〜 65535 である必要があります。アップストリームのポートを指定しない場合、デフォルトのポートは 853 です。

   注記

   servers が定義されていないか無効な場合、config map にはデフォルトサーバーのみが含まれます。

検証

1. config map を表示します。

   $ oc get configmap/dns-default -n openshift-dns -o yaml

   Copy to Clipboard Toggle word wrap

   TLS 転送の例に基づく DNS ConfigMap のサンプル

   apiVersion: v1
   data:
     Corefile: |
       example.com:5353 {
           forward . 1.1.1.1 2.2.2.2:5353
       }
       bar.com:5353 example.com:5353 {
           forward . 3.3.3.3 4.4.4.4:5454 

   1

   
       }
       .:5353 {
           errors
           health
           kubernetes cluster.local in-addr.arpa ip6.arpa {
               pods insecure
               upstream
               fallthrough in-addr.arpa ip6.arpa
           }
           prometheus :9153
           forward . /etc/resolv.conf 1.2.3.4:53 {
               policy Random
           }
           cache 30
           reload
       }
   kind: ConfigMap
   metadata:
     labels:
       dns.operator.openshift.io/owning-dns: default
     name: dns-default
     namespace: openshift-dns

   Copy to Clipboard Toggle word wrap

   1

   forwardPlugin への変更により、CoreDNS デーモンセットのローリング更新がトリガーされます。