1.5. Pod への機密性の高いデータの提供

手順

1. マスターの YAML ファイルにシークレットオブジェクトを作成します。

   例:

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque 1
   data:
     username: dXNlci1uYW1l
     password: cGFzc3dvcmQ=

   1

   不透明なシークレットを指定します。

2. 以下のコマンドを使用してシークレットオブジェクトを作成します。

   $ oc create -f <filename>

1. このシークレットを使ってこのシークレットの参照を許可したい、Pod のサービスアカウントを更新します。
2. シークレットを環境変数またはファイルとして使用する Pod を作成します (secret ボリュームを使用)。

1. サービスの Pod 仕様を編集します。

2. シークレットに使用する名前にservice.alpha.openshift.io/serving-cert-secret-name アノテーションを追加します。

   kind: Service
   apiVersion: v1
   metadata:
     name: my-service
     annotations:
         service.alpha.openshift.io/serving-cert-secret-name: my-cert 1
   spec:
     selector:
       app: MyApp
     ports:
     - protocol: TCP
       port: 80
       targetPort: 9376

   証明書およびキーは PEM 形式であり、それぞれ tls.crt および tls.key に保存されます。

3. サービスを作成します。

   $ oc create -f <file-name>.yaml

4. シークレットを表示して、作成されていることを確認します。

   $ oc get secrets
   
   NAME                         TYPE                                  DATA      AGE
   my-cert                  kubernetes.io/tls                     2         9m
   
   $ oc describe secret my-service-pod
   Name:         my-service-pod
   Namespace:    openshift-console
   Labels:       <none>
   Annotations:  kubernetes.io/service-account.name: builder
                 kubernetes.io/service-account.uid: ab-11e9-988a-0eb4e1b4a396
   
   Type:  kubernetes.io/service-account-token
   
   Data
   
   ca.crt:     5802 bytes
   namespace:  17 bytes
   token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Ii
   wia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJvcGVuc2hpZnQtY29uc29sZSIsImt1YmVyb
   cnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC51aWQiOiJhYmE4Y2UyZC00MzVlLTExZTktOTg4YS0wZWI0ZTFiNGEz
   OTYiLCJzdWIiOiJzeXN0ZW06c2VydmljZWFjY291bnQ6b3BlbnNoaWZ

5. このシークレットを使って Pod 仕様を編集します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-service-pod
   spec:
     containers:
     - name: mypod
       image: redis
       volumeMounts:
       - name: foo
         mountPath: "/etc/foo"
     volumes:
     - name: foo
       secret:
         secretName: my-cert
         items:
         - key: username
           path: my-group/my-username
           mode: 511

   これが利用可能な場合、Pod が実行されます。この証明書は内部サービス DNS 名、 <service.name>.<service.namespace>.svc に適しています。

   証明書/キーのペアは有効期限に近づくと自動的に置換されます。シークレットの service.alpha.openshift.io/expiry アノテーションで RFC3339 形式の有効期限の日付を確認します。

   注記

   ほとんどの場合、サービス DNS 名 <service.name>.<service.namespace>.svc は外部にルーティング可能ではありません。<service.name>.<service.namespace>.svc の主な使用方法として、クラスターまたはサービス間の通信用として、 re-encrypt ルートで使用されます。