1.2. ルートの保護

前提条件

• プロジェクトの管理者権限があるユーザーで、クラスターにログインしている。
• OpenShift CLI (oc) がインストールされている。

手順

• ルートで HSTS を有効にするには、haproxy.router.openshift.io/hsts_header 値を edge-terminated または re-encrypt ルートに追加します。次のコマンドを実行すると、oc annotate ツールを使用してこれを実行できます。コマンドを適切に実行するには、haproxy.router.openshift.io/ hsts_header ルートアノテーション内のセミコロン (;) も二重引用符 ("") で囲まれていることを確認してください。

  最大経過時間を 31536000 ミリ秒 (約 8.5 時間) に設定する アノテーション コマンドの例

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header=max-age=31536000;\
  includeSubDomains;preload"

  アノテーションで設定されたルートの例

  apiVersion: route.openshift.io/v1
  kind: Route
  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=31536000;includeSubDomains;preload
  # ...
  spec:
    host: def.abc.com
    tls:
      termination: "reencrypt"
      ...
    wildcardPolicy: "Subdomain"
  # ...

  ここでは、以下のようになります。

  max-age

  HSTS ポリシーの有効期間 (秒単位) を指定します。0 に設定すると、これはポリシーを無効にします。

  サブドメインを含める

  ホストのすべてのサブドメインは、ホストと同じ HSTS ポリシーを持つ必要があることを指定します。オプションのパラメーター。

  プリロード

  max-age が 0 より大きい場合に、サイトが HSTS プリロードリストに含まれることを指定します。たとえば、Google などのサイトは preload が設定されているサイトの一覧を作成します。ブラウザーはこれらのリストを使用し、サイトと対話する前でも HTTPS 経由で通信できるサイトを判別できます。preload を設定していない場合、ブラウザーはヘッダーを取得するために、HTTPS を介してサイトと少なくとも 1 回対話している必要があります。オプションのパラメーター。

前提条件

• プロジェクトの管理者権限があるユーザーで、クラスターにログインしている。
• OpenShift CLI (oc) がインストールされている。

手順

• HSTS を無効にするには、ルートアノテーションの max-age 値を 0 に設定するために、次のように入力します。

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

  ヒント

  代わりに、以下の YAML を適用して、ルートごとに HSTS を無効にするための config map を作成することもできます。

  kind: Route
  apiVersion: route.openshift.io/v1
  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=0

• namespace のすべてのルートで HSTS を無効にするには、following コマンドを入力します。

  $ oc annotate route --all -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

検証

• すべてのルートのアノテーションをクエリーするには、以下のコマンドを入力します。

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  出力例

  Name: routename HSTS: max-age=0

前提条件

• プロジェクトの管理者権限があるユーザーで、クラスターにログインしている。
• OpenShift CLI (oc) がインストールされている。

• 必要な HSTS ポリシーの maxAge セットを確認するには、以下のコマンドを入力します。

  $ oc get clusteroperator/ingress -n openshift-ingress-operator -o jsonpath='{range .spec.requiredHSTSPolicies[*]}{.spec.requiredHSTSPolicies.maxAgePolicy.largestMaxAge}{"\n"}{end}'

• すべてのルートで HSTS アノテーションを確認するには、以下のコマンドを入力します。

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  出力例

  Name: <_routename_> HSTS: max-age=31536000;preload;includeSubDomains