14.5. kubelet の TLS セキュリティープロファイルの設定

手順

1. KubeletConfig CR を作成し、TLS セキュリティープロファイルを設定します。

   Custom プロファイル用の KubeletConfig CR のサンプル

   apiVersion: machineconfiguration.openshift.io/v1
   kind: KubeletConfig
   metadata:
     name: set-kubelet-tls-security-profile
   spec:
     tlsSecurityProfile:
       type: Custom
       custom:
         ciphers:
         - ECDHE-ECDSA-CHACHA20-POLY1305
         - ECDHE-RSA-CHACHA20-POLY1305
         - ECDHE-RSA-AES128-GCM-SHA256
         - ECDHE-ECDSA-AES128-GCM-SHA256
         minTLSVersion: VersionTLS11
     machineConfigPoolSelector:
       matchLabels:
         pools.operator.machineconfiguration.openshift.io/worker: ""
   #...

   ここでは、以下のようになります。

   spec.tlsSecurityProfile.type

   TLS セキュリティープロファイルの種類 (旧、中間、または カスタム) を指定します。デフォルトは Intermediate です。

   spec.tlsSecurityProfile.type.custom

   選択したタイプに適したフィールドを指定します。

   • old: {}
   • intermediate: {}
   • modern: {}
   • custom:

   spec.tlsSecurityProfile.type.custom

   カスタム タイプの場合、TLS 暗号スイートのリストと、受け入れ可能な最小 TLS バージョンを指定します。

   spec.machineConfigPoolSelector.matchLabels.custom

   TLS セキュリティープロファイルを適用するノードのマシン設定プールラベルを指定します。このパラメーターは任意です。

2. KubeletConfig オブジェクトを作成します。

   $ oc create -f <filename>

   クラスター内のワーカーノードの数によっては、設定済みのノードが 1 つずつ再起動されるのを待機します。

1. 設定済みノードのデバッグセッションを開始します。

   $ oc debug node/<node_name>

2. /host をデバッグシェル内のルートディレクトリーとして設定します。

   sh-4.4# chroot /host

3. kubelet.conf ファイルを表示します。

   sh-4.4# cat /etc/kubernetes/kubelet.conf

   出力例

     "kind": "KubeletConfiguration",
     "apiVersion": "kubelet.config.k8s.io/v1beta1",
   #...
     "tlsCipherSuites": [
       "TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256",
       "TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256",
       "TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384",
       "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384",
       "TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305_SHA256",
       "TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256"
     ],
     "tlsMinVersion": "VersionTLS12",
   #...