9.2. cert-manager Operator for Red Hat OpenShift リリースノート

Istio-CSR と cert-manager Operator for Red Hat OpenShift の統合 (一般提供)

このリリースでは、以前はテクノロジープレビュー機能として提供されていた cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合が完全にサポートされます。この機能は、Red Hat OpenShift Service Mesh または Istio 環境内のワークロードとコントロールプレーンコンポーネントのセキュリティー保護に対する強化されたサポートを提供します。Cert-manager Operator for Red Hat OpenShift が管理する Istio-CSR エージェントを利用することで、Istio は相互 TLS (mTLS) に必要な証明書を取得、署名、配信、更新できます。詳細は、cert-manager Operator と Istio-CSR の統合 を参照してください。

Cert-manager Operator for Red Hat OpenShift のレプリカ数設定

このリリースでは、cert-manager Operator for Red Hat OpenShift コントローラー、Webhook、および cainjector オペランドのデフォルトのレプリカ数をオーバーライドできます。これらの値を設定するには、CertManager カスタムリソースの新しい overrideReplicas フィールドを指定します。この機能強化により、特定の運用要件に基づいて高可用性 (HA) とスケールオペランドを設定できるようになります。詳細は、cert-manager コンポーネントの CertManager CR の共通の設定可能フィールド を参照してください。

Cert-manager Operator for Red Hat OpenShift ではルートファイルシステムは読み取り専用です

このリリースでは、セキュリティーを強化するために、cert-manager Operator for Red Hat OpenShift とそのすべてのオペランドの readOnlyRootFilesystem セキュリティーコンテキストがデフォルトで true に設定されています。この機能強化により、コンテナーが強化され、潜在的な攻撃者がコンテナーのルートファイルシステムの内容を変更することを防ぎます。

Cert-manager Operator for Red Hat OpenShift でネットワークポリシー強化が利用可能になりました

このリリースでは、cert-manager Operator for Red Hat OpenShift には、コンポーネントの Ingress トラフィックと出力トラフィックを制御することでセキュリティーを強化するための定義済みの NetworkPolicy リソースが含まれています。これらのポリシーは、メトリクスや Webhook サーバーへのイングレスや、OpenShift API および DNS サーバーへのエグレスなどの内部トラフィックをカバーします。

アップグレード中の接続の問題を防ぐため、この機能はデフォルトで無効になっています。CertManager カスタムリソースで明示的に有効にする必要があります。詳細は、cert-manager Operator for Red Hat OpenShift のネットワークポリシー設定を 参照してください。

ACME HTTP-01 ソルバー Pod のリソース要求と制限の設定をサポートする

このリリースでは、cert-manager Operator for Red Hat OpenShift は ACME HTTP-01 ソルバー Pod の CPU およびメモリーリソース要求と制限の設定をサポートします。CertManager カスタムリソース (CR) で次のオーバーライド可能な引数を使用して、CPU およびメモリーリソースの要求と制限を設定できます。

詳細は、cert‑manager コンポーネントのオーバーライド可能な引数 を参照してください。

以前は、cert-manager Operator for Red Hat OpenShift は、RBAC 権限が不十分なため、cert-manager-tokenrequest ロールを作成できませんでした。その結果、RoleCreateFailed エラーが発生し、静的リソースコントローラーがデグレード状態になっていました。このリリースでは、必要な serviceaccounts/token の作成権限を RBAC 設定に追加することで、この問題が解決されています。その結果、cert-manager-tokenrequest ロールおよびロールバインディングが正常に作成され、Operator ログに RoleCreateFailed エラーが表示されなくなりました。(OCPBUGS-56758)

非接続環境のサポート

このリリースでは、cert-manager Operator for Red Hat OpenShift を非接続環境にミラーリングおよびインストールできることが検証済みです。

また、この Operator が非接続環境で各種の発行者 (ACME、CA、Self-signed、および Vault) と連携して動作することも検証済みです。具体的には、プライベートまたは自己ホスト型の ACME サーバーが検証済みです。非接続環境では、Let’s Encrypt やその他のパブリック ACME サービスは実行可能な選択肢ではないためです。Operator イメージのミラーリング方法としては、oc-mirror プラグイン v2 が推奨されます。詳細は、oc-mirror プラグイン v2 を使用した非接続インストールのイメージのミラーリング を参照してください。

オペランドメトリクスのサポート拡張

このリリースでは、cert-manager の webhook および cainjector オペランドが、/metrics サービスエンドポイントを介して、デフォルトでポート 9402 で Prometheus メトリクスを公開するようになりました。組み込みのユーザーワークロードモニタリングスタックを有効にすることで、すべての cert-manager オペランドからメトリクスを収集するように OpenShift Monitoring を設定できます。詳細は、cert-manager Operator for Red Hat OpenShift のモニタリング 参照してください。

Streaming Lists の有効化

このリリースでは、cert-manager Operator for Red Hat OpenShift が、アップストリームの新機能である WatchListClient を使用するようになりました。これにより、Kubernetes API サーバーの Streaming Lists 機能が使用できるようになり、API サーバーの負荷が軽減されます。OpenShift Container Platform 4.14 以降では、cert-manager コンポーネント起動時のピーク時のメモリー使用量が最適化されています。

cert-manager バージョン 1.16.0 でユーザー名とパスワードの認証を使用して Venafi 発行者を使用する場合、デフォルトのクライアント ID が cert-manager.io としてハードコードされており、カスタマイズできません。この制限は、Venafi プラットフォームでの認証に特定のクライアント ID を必要とするユーザーに影響する可能性があります。

cert-manager Operator for Red Hat OpenShift と Istio-CSR の統合 (テクノロジープレビュー)

cert-manager Operator for Red Hat OpenShift が Istio-CSR をサポートするようになりました。この統合により、cert-manager Operator の発行者が、相互 TLS (mTLS) 通信用の証明書を発行、署名、更新できるようになります。この証明書を、Red Hat OpenShift Service Mesh および Istio が cert-manager Operator から直接要求できるようになりました。

詳細は、cert-manager Operator と Istio-CSR の統合 を参照してください。

cert-manager Operator for Red Hat OpenShift のスケジュールオーバーライド

このリリースでは、cert-manager コントローラー、webhook、CA インジェクターなどを含む cert-manager Operator for Red Hat OpenShift のスケジュールオーバーライドを設定できます。

Google CAS 発行者

cert-manager Operator for Red Hat OpenShift は、Google Certificate Authority Service (CAS) 発行者をサポートするようになりました。google-cas-issuer は、CAS により管理されるプライベート認証局を使用して、発行と更新を含む証明書ライフサイクルの管理を自動化する cert-manager の外部発行者です。

デフォルトの installMode を AllNamespaces に更新

バージョン 1.15.0 以降では、Operator Lifecycle Manager (OLM) のデフォルトかつ推奨される installMode は AllNamespaces です。以前のデフォルトは SingleNamespace でした。この変更は、multi-namespace Operator 管理のベストプラクティスと一致しています。詳細は、OCPBUGS-23406 を参照してください。

冗長 kube-rbac-proxy サイドカーの削除

Operator に、冗長な kube-rbac-proxy サイドカーコンテナーがなくなり、リソースの使用量と複雑さが軽減されました。詳細は、CM-436 を参照してください。