9.7.6. Google Cloud でのアンビエント認証情報を使用した ACME 発行者の設定

手順

1. オプション:DNS-01 自己チェック用のネームサーバー設定をオーバーライドで指定します。

   この手順は、ターゲットのパブリックホストゾーンがクラスターのデフォルトのプライベートホストゾーンに重複する場合のみ、必要です。

   1. 次のコマンドを実行して、CertManager リソースを編集します。

      $ oc edit certmanager cluster

   2. 次のオーバーライド引数を指定して、spec.controllerConfig セクションを追加します。

      apiVersion: operator.openshift.io/v1alpha1
      kind: CertManager
      metadata:
        name: cluster
        ...
      spec:
        ...
        controllerConfig:
          overrideArgs:
            - '--dns01-recursive-nameservers-only'
            - '--dns01-recursive-nameservers=1.1.1.1:53'

      ここでは、以下のようになります。

      --dns01-recursive-nameservers-only

      そのドメインに関連付けられている権威ネームサーバーを確認する代わりに、再帰的なネームサーバーを指定します。

      --dns01-recursive-nameservers=1.1.1.1:53

      DNS-01 自己チェックのためにクエリーを実行する <host>:<port> ネームサーバーのコンマ区切りリストを指定します。パブリックゾーンとプライベートゾーンの重複を避けるには、1.1.1.1:53 値を使用する必要があります。

   3. 変更を適用するためにファイルを保存します。

2. オプション: 発行者の namespace を作成します。

   $ oc new-project <issuer_namespace>

3. CertManager リソースを変更して、--issuer-ambient-credentials 引数を追加します。

   $ oc patch certmanager/cluster \
     --type=merge \
     -p='{"spec":{"controllerConfig":{"overrideArgs":["--issuer-ambient-credentials"]}}}'

4. 発行者を作成します。

   1. Issuer オブジェクトを定義する YAML ファイルを作成します。

      issuer.yaml ファイルの例

      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: <issuer_name>
        namespace: <issuer_namespace>
      spec:
        acme:
          preferredChain: ""
          privateKeySecretRef:
            name: <secret_private_key>
          server: <server>
          solvers:
          - dns01:
              cloudDNS:
                project: <gcp_project_id>

      ここでは、以下のようになります。

      < 発行者名 >

      発行者の名前を指定します。

      < 秘密鍵 >

      ACME アカウントの秘密鍵を保存するシークレットの名前を指定します。

      <server>

      ACME サーバーの ディレクトリー エンドポイントにアクセスするための URL を指定します。この例では、Let’s Encrypt のステージング環境を使用します。

      <gcp_project_id>

      Cloud DNS ゾーンを含む Google Cloud プロジェクトの名前を指定します。

   2. 次のコマンドを実行して、Issuer オブジェクトを作成します。

      $ oc create -f issuer.yaml