4.2.6. プロキシー証明書のカスタマイズ

trustedCA が参照する config map を変更するか、マシン設定を使用して CA 証明書を RHCOS トラストバンドルに書き込むことにより、プロキシー証明書を更新します。

ユーザーが提供するトラストバンドルを更新するには、以下のいずれかのタスクを完了する必要があります。

CA 証明書を RHCOS 信頼バンドルに書き込むメカニズムは、machine config を使用して行われるその他のファイルの RHCOS への書き込みと全く同じです。Machine Config Operator (MCO) が新しい CA 証明書を含む新しいマシン設定を適用すると、MCO は update-ca-trust プログラムを実行し、RHCOS ノード上で CRI-O サービスを再起動します。この更新に、ノードの再起動は必要ありません。CRI-O サービスを再起動すると、新しい CA 証明書で信頼バンドルが自動的に更新されます。以下に例を示します。

apiVersion: machineconfiguration.openshift.io/v1
kind: MachineConfig
metadata:
  labels:
    machineconfiguration.openshift.io/role: worker
  name: 50-examplecorp-ca-cert
spec:
  config:
    ignition:
      version: 3.1.0
    storage:
      files:
      - contents:
          source: data:text/plain;charset=utf-8;base64,<base64_encoded_ca_certificate>
        mode: 0644
        overwrite: true
        path: /etc/pki/ca-trust/source/anchors/examplecorp-ca.crt

マシンの トラストストアは、ノードの トラストストアの 更新もサポートする必要がある。