9.9. cert-manager Operator for Red Hat OpenShift によるルート保護

手順

1. 次のコマンドを実行して、HTTP-01 ソルバーを設定する Issuer を作成します。その他の ACME 発行者タイプについては、「ACME 発行者の設定」を参照してください。

   Issuer.yaml ファイルの例

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: letsencrypt-acme
     namespace: <namespace> 

   1

   
   spec:
     acme:
       server: https://acme-v02.api.letsencrypt.org/directory
       privateKeySecretRef:
         name: letsencrypt-acme-account-key
       solvers:
         - http01:
             ingress:
               ingressClassName: openshift-default
   EOF

   Copy to Clipboard Toggle word wrap

   1

   Issuer が配置されている namespace を指定します。ルートの namespace と同じである必要があります。

2. 次のコマンドを実行して、ルートの Certificate オブジェクトを作成します。secretName は、cert-manager が発行および管理する TLS シークレットを指定し、次の手順のルートでも参照されます。

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: example-route-cert
     namespace: <namespace> 

   1

   
   spec:
     commonName: <hostname> 

   2

   
     dnsNames:
       - <hostname> 

   3

   
     usages:
       - server auth
     issuerRef:
       kind: Issuer
       name: letsencrypt-acme
     secretName: <secret_name> 

   4

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   Certificate リソースが配置されている namespace を指定します。ルートの namespace と同じである必要があります。

   2

   ルートのホスト名を使用して、証明書の共通名を指定します。

   3

   ルートのホスト名を、証明書の DNS 名に追加します。

   4

   証明書が含まれるシークレットの名前を指定します。

3. 次のコマンドを使用して、参照先のシークレットを読み取る権限をルーターのサービスアカウントに付与するための Role を作成します。

   $ oc create role secret-reader \
     --verb=get,list,watch \
     --resource=secrets \
     --resource-name=<secret_name> \ 

   1

   
     --namespace=<namespace> 

   2

   Copy to Clipboard Toggle word wrap

   1

   アクセスを許可するシークレットの名前を指定します。これは、Certificate リソースで指定された secretName と一致する必要があります。

   2

   シークレットとルートの両方が配置されている namespace を指定します。

4. 次のコマンドを実行して、ルーターのサービスアカウントを、新しく作成した Role リソースにバインドする RoleBinding リソースを作成します。

   $ oc create rolebinding secret-reader-binding \
     --role=secret-reader \
     --serviceaccount=openshift-ingress:router \
     --namespace=<namespace> 

   1

   Copy to Clipboard Toggle word wrap

   1

   シークレットとルートの両方が配置されている namespace を指定します。

5. 次のコマンドを実行して、エッジ TLS 終端とカスタムホスト名を使用するサービスリソースのルートを作成します。ホスト名は、次のステップで Certificate リソースを作成するときに使用します。

   $ oc create route edge <route_name> \ 

   1

   
     --service=<service_name> \ 

   2

   
     --hostname=<hostname> \ 

   3

   
     --namespace=<namespace> 

   4

   Copy to Clipboard Toggle word wrap

   1

   ルートの名前を指定します。

   2

   公開するサービスを指定します。

   3

   ルートのホスト名を指定します。

   4

   ルートが配置されている namespace を指定します。

6. 次のコマンドを使用して、ルートの .spec.tls.externalCertificate フィールドを更新し、以前に作成したシークレットを参照し、cert-manager が発行した証明書を使用します。

   $ oc patch route <route_name> \ 

   1

   
     -n <namespace> \ 

   2

   
     --type=merge \
     -p '{"spec":{"tls":{"externalCertificate":{"name":"<secret_name>"}}}}' 

   3

   Copy to Clipboard Toggle word wrap

   1

   ルート名を指定します。

   2

   シークレットとルートの両方が配置されている namespace を指定します。

   3

   証明書が含まれるシークレットの名前を指定します。