4.5.2. GitOps ZTP および SiteConfig リソースを使用したシングルノード OpenShift クラスターの IPsec 暗号化の設定

手順

1. ztp-site-generate コンテナーソースの最新バージョンを抽出し、カスタムサイト設定データを管理するリポジトリーとマージします。

2. クラスター内の IPsec を設定するために必要な値を使用して、optional-extra-manifest/ipsec/ipsec-endpoint-config.yaml を設定します。以下に例を示します。

   interfaces:
   - name: hosta_conn
     type: ipsec
     libreswan:
       left: '%defaultroute'
       leftid: '%fromcert'
       leftmodecfgclient: false
       leftcert: left_server 

   1

   
       leftrsasigkey: '%cert'
       right: <external_host> 

   2

   
       rightid: '%fromcert'
       rightrsasigkey: '%cert'
       rightsubnet: <external_address> 

   3

   
       ikev2: insist 

   4

   
       type: tunnel

   1

   このフィールドの値は、リモートシステムで使用される証明書の名前と一致する必要があります。

   2

   <external_host> は、外部ホストの IP アドレスまたは DNS ホスト名に置き換えます。

   3

   <external_address> は、IPsec トンネルの反対側にある外部ホストの IP サブネットに置き換えます。

   4

   IKEv2 VPN 暗号化プロトコルのみを使用します。IKEv1 は使用しないでください。これは非推奨となっています。

3. 次の証明書を optional-extra-manifest/ipsec フォルダーに追加します。

   • left_server.p12: IPsec エンドポイントの証明書バンドル

   • ca.pem: 証明書に署名した認証局

     証明書ファイルは、各ホストのネットワークセキュリティーサービス (NSS) データベースで必要です。これらのファイルは、後の手順で Butane 設定の一部としてインポートされます。

4. カスタムサイト設定データを保持する Git リポジトリーの optional-extra-manifest/ipsec フォルダーでシェルプロンプトを開きます。

5. 必要な Butane および MachineConfig CR ファイルを生成するには、optional-extra-manifest/ipsec/build.sh スクリプトを実行します。

   PKCS#12 証明書がパスワードで保護されている場合は、-W 引数を設定します。

   出力例

   out
    └── argocd
         └── example
              └── optional-extra-manifest
                   └── ipsec
                        ├── 99-ipsec-master-endpoint-config.bu 

   1

   
                        ├── 99-ipsec-master-endpoint-config.yaml 

   2

   
                        ├── 99-ipsec-worker-endpoint-config.bu 

   3

   
                        ├── 99-ipsec-worker-endpoint-config.yaml 

   4

   
                        ├── build.sh
                        ├── ca.pem 

   5

   
                        ├── left_server.p12 

   6

   
                        ├── enable-ipsec.yaml
                        ├── ipsec-endpoint-config.yml
                        └── README.md

   1 2 3 4

   ipsec/build.sh スクリプトは、Butane およびエンドポイント設定 CR を生成します。

   5 6

   ネットワークに関連する ca.pem および left_server.p12 証明書ファイルを提供します。

6. カスタムサイト設定データを管理するリポジトリーに custom-manifest/ フォルダーを作成します。enable-ipsec.yaml および 99-ipsec-* YAML ファイルをディレクトリーに追加します。以下に例を示します。

   siteconfig
     ├── site1-sno-du.yaml
     ├── extra-manifest/
     └── custom-manifest
           ├── enable-ipsec.yaml
           ├── 99-ipsec-worker-endpoint-config.yaml
           └── 99-ipsec-master-endpoint-config.yaml

7. SiteConfig CR で、extraManifests.searchPaths フィールドに custom-manifest/ ディレクトリーを追加します。以下に例を示します。

   clusters:
   - clusterName: "site1-sno-du"
     networkType: "OVNKubernetes"
     extraManifests:
       searchPaths:
         - extra-manifest/
         - custom-manifest/

8. SiteConfig CR の変更と更新されたファイルを Git リポジトリーにコミットし、変更をプッシュしてマネージドクラスターをプロビジョニングし、IPsec 暗号化を設定します。

   Argo CD パイプラインが変更を検出し、マネージドクラスターのデプロイを開始します。

   クラスターのプロビジョニング中に、GitOps ZTP パイプラインが、custom-manifest/ ディレクトリー内の CR を、extra-manifest/ ディレクトリーに保存されているデフォルトの追加マニフェストのセットに追加します。