第3章 証明書の設定

手順

1. ワイルドカード証明書の署名に使用されるルート CA 証明書のみを含む config map を作成します。

   $ oc create configmap custom-ca \
        --from-file=ca-bundle.crt=</path/to/example-ca.crt> \
        -n openshift-config

   以下は、

   </path/to/example-ca.crt>

   ローカルファイルシステム上のルート CA 証明書ファイルへのパス。たとえば、/etc/pki/ca-trust/source/anchors です。

2. 新たに作成された設定マップでクラスター全体のプロキシー設定を更新します。

   $ oc patch proxy/cluster \
        --type=merge \
        --patch='{"spec":{"trustedCA":{"name":"custom-ca"}}}'

   注記

   クラスターの信頼された CA のみを更新する場合は、MCO によって /etc/pki/ca-trust/source/anchors/openshift-config-user-ca-bundle.crt ファイルが更新され、Machine Config Controller (MCC) によって信頼された CA の更新が各ノードに適用されます。そのため、ノードの再起動は不要です。ただし、これらの変更に伴い、Machine Config Daemon (MCD) によって各ノード上の重要なサービス (kubelet や CRI-O など) が再起動されます。これらのサービスの再起動により、サービスが完全に再起動されるまで、各ノードは一時的に NotReady 状態になります。

   openshift-config-user-ca-bundle.crt ファイル内の他のパラメーター (noproxy など) を変更すると、MCO によってクラスター内の各ノードが再起動されます。

3. ワイルドカード証明書チェーンおよびキーが含まれるシークレットを作成します。

   $ oc create secret tls <secret> \
        --cert=</path/to/cert.crt> \
        --key=</path/to/cert.key> \
        -n openshift-ingress

   ここでは、以下のようになります。

   < 秘密 >

   証明書チェーンと秘密鍵を格納するシークレットの名前を指定します。

   </path/to/cert.crt>

   ローカルファイルシステム上の証明書チェーンへのパスを指定します。

   </path/to/cert.key>

   この証明書に関連付けられた秘密鍵へのパスを指定します。

4. Ingress コントローラー設定を、新規に作成されたシークレットで更新します。

   $ oc patch ingresscontroller.operator default \
        --type=merge -p \
        '{"spec":{"defaultCertificate": {"name": "<secret>"}}}' \
        -n openshift-ingress-operator

   • <secret>:: シークレットに使用する名前を指定します。<secret> を、 秘密情報に使用する名前に置き換えてください。