1.7. Machine Config Operator 証明書について

• /etc/kubernetes/kubelet-ca.crt
• /etc/kubernetes/static-pod-resources/configmaps/cloud-config/ca-bundle.pem
• /etc/pki/ca-trust/source/anchors/openshift-config-user-ca-bundle.crt

前提条件

• この手順には、python-yq RPM パッケージがインストールされていなければ実行できないオプションの手順が含まれています。

手順

• 次のコマンドを実行して、詳細な証明書情報を取得します。

  $ oc get controllerconfig/machine-config-controller -o yaml | yq -y '.status.controllerCertificates'

  Copy to Clipboard Toggle word wrap

  出力例

  - bundleFile: KubeAPIServerServingCAData
    notAfter: '2034-10-23T13:13:02Z'
    notBefore: '2024-10-25T13:13:02Z'
    signer: CN=admin-kubeconfig-signer,OU=openshift
    subject: CN=admin-kubeconfig-signer,OU=openshift
  - bundleFile: KubeAPIServerServingCAData
    notAfter: '2024-10-26T13:13:05Z'
    notBefore: '2024-10-25T13:27:14Z'
    signer: CN=kubelet-signer,OU=openshift
    subject: CN=kube-csr-signer_@1729862835
  - bundleFile: KubeAPIServerServingCAData
    notAfter: '2024-10-26T13:13:05Z'
    notBefore: '2024-10-25T13:13:05Z'
    signer: CN=kubelet-signer,OU=openshift
    subject: CN=kubelet-signer,OU=openshift
  # ...

  Copy to Clipboard Toggle word wrap

• 次のコマンドを使用してマシン設定プールのステータスを確認し、ControllerConfig リソースで見つかった情報のより単純なバージョンを取得します。

  $ oc get mcp master -o yaml | yq -y '.status.certExpirys'

  Copy to Clipboard Toggle word wrap

  出力例

  - bundle: KubeAPIServerServingCAData
    expiry: '2034-10-23T13:13:02Z'
    subject: CN=admin-kubeconfig-signer,OU=openshift
  - bundle: KubeAPIServerServingCAData
    expiry: '2024-10-26T13:13:05Z'
    subject: CN=kube-csr-signer_@1729862835
  - bundle: KubeAPIServerServingCAData
    expiry: '2024-10-26T13:13:05Z'
    subject: CN=kubelet-signer,OU=openshift
  - bundle: KubeAPIServerServingCAData
    expiry: '2025-10-25T13:13:05Z'
    subject: CN=kube-apiserver-to-kubelet-signer,OU=openshift
  # ...

  Copy to Clipboard Toggle word wrap

  このメソッドは、マシン設定プール情報をすでに使用している OpenShift Container Platform アプリケーションを対象としています。

• ノード上にあるイメージレジストリー証明書を確認します。

  1. ノードにログインします。

     $ oc debug node/<node_name>

     Copy to Clipboard Toggle word wrap

  2. /host をデバッグシェル内のルートディレクトリーとして設定します。

     sh-5.1# chroot /host

     Copy to Clipboard Toggle word wrap

  3. /etc/docker/cert.d ディレクトリーの内容を確認します。

     sh-5.1# ls /etc/docker/certs.d

     Copy to Clipboard Toggle word wrap

     出力例

     image-registry.openshift-image-registry.svc.cluster.local:5000
     image-registry.openshift-image-registry.svc:5000

     Copy to Clipboard Toggle word wrap