1.3.12.4. Machine Config Operator 証明書に関する変更点

インストールプログラムによって作成された Machine Config Server (MCS) CA バンドルは、openshift-machine-config-operator namespace の machine-config-server-ca config map に保存されるようになりました。バンドルは以前は kube-system namespace の root-ca configmap に保存されていました。OpenShift Container Platform 4.19 に更新されたクラスターでは、root-ca configmap は使用されなくなりました。この変更は、この CA バンドルが Machine Config Operator (MCO) によって管理されていることを明確にするために行われました。

MCS 署名鍵は、openshift-machine-config-operator namespace の machine-config-server-ca シークレットに保存されます。

MCS の CA および MCS 証明書は有効期間が 10 年で、MCO によって約 8 年で自動的にローテーションされます。OpenShift Container Platform 4.19 に更新すると、CA 署名鍵は存在しなくなります。その結果、MCO 証明書コントローラーが起動すると、CA バンドルは直ちに期限切れとみなされます。この有効期限により、クラスターが 10 年経過していなくても、証明書のローテーションが直ちに行われます。それ以降、次のローテーションは標準の 8 年周期で行われます。

MCO 証明書の詳細は、Machine Config Operator 証明書 を参照してください。