10.5.5. SPIRE OpenID Connect ディスカバリープロバイダーのデプロイ

手順

1. SpireOIDCDiscoveryProvider CR を作成します。

   1. SpireOIDCDiscoveryProvider CR を定義する YAML ファイル (例: SpireOIDCDiscoveryProvider.yaml) を作成します。

      SpireOIDCDiscoveryProvider.yaml の例

      aapiVersion: operator.openshift.io/v1alpha1
      kind: SpireOIDCDiscoveryProvider
      metadata:
       name: cluster
      spec:
        logLevel: "info"
        logFormat: "text"
        csiDriverName: "csi.spiffe.io"
        jwtIssuer: "https://oidc-discovery.apps.cluster.example.com"
        replicaCount: 1
        managedRoute: "true"
        externalSecretRef: ""

      ここでは、以下のようになります。

      metadata.name

      値が クラスター でなければならないことを指定します。

      spec.logLevel

      SPIRE サーバーのログレベルを指定します。有効なオプションは、debug、info、warn、error です。

      spec.logFormat

      SPIRE サーバーのログ記録フォーマットを指定します。有効なオプションは、text と json です。

      spec.csiDriverName

      Workload API ソケットのマウントに使用する CSI ドライバーの名前を指定します。これは、OIDC プロバイダーが SPIFFE アイデンティティーにアクセスできるように、SpiffeCSIDriver.spec.pluginName の 値と一致する必要があります。有効な DNS サブドメイン形式 (例: csi.spiffe.io) で、最大長は 127 文字です。

      spec.jwtIssuer

      JWT 発行者の URL を指定します。有効な HTTPS または HTTP URL である必要があり、最大長は 512 文字です。この値は、SpireServer.spec.jwtIssuer の 値と一致する必要があります。

      spec.replicaCount

      OIDC ディスカバリープロバイダーのデプロイメントにおけるレプリカ数を指定します。1 から 5 の間である必要があります。

      仕様管理ルート

      Operator が OIDC ディスカバリープロバイダーのエンドポイントに対して OpenShift ルートを自動的に作成するかどうかを指定します。Operator が OIDC ディスカバリーエンドポイント (*.apps.) 用の OpenShift ルートを自動的に作成および維持するようにするには、true に設定します。管理者がルートまたは Ingress を手動で設定できるようにするには、false に設定してください。

      spec.ternalSecretRef

      OIDC ディスカバリープロバイダーのルートホストの TLS 証明書を含む、外部管理シークレットへの参照を指定します。有効な Kubernetes シークレット参照名で、最大長は 253 文字です。このフィールドは任意です。

   2. 以下のコマンドを実行して設定を適用します。

      $ oc apply -f SpireOIDCDiscoveryProvider.yaml

検証

1. 次のコマンドを実行して、OIDC Discovery Provider のデプロイメントが準備完了状態であり、利用可能であることを確認します。

   $ oc get deployment -l app.kubernetes.io/name=spiffe-oidc-discovery-provider -n zero-trust-workload-identity-manager

   出力例

   NAME                                    READY  UP-TO-DATE  AVAILABLE  AGE
   spire-spiffe-oidc-discovery-provider    1/1    1           1          2m58s

2. 次のコマンドを実行して、OIDC Discovery Provider Pod のステータスが Running であることを確認します。

   $ oc get po -l app.kubernetes.io/name=spiffe-oidc-discovery-provider -n zero-trust-workload-identity-manager

   出力例

   NAME                                                    READY   STATUS    RESTARTS   AGE
   spire-spiffe-oidc-discovery-provider-64586d599f-lcc94   2/2     Running   0          7m15s