10.5.3. SPIRE Agent のデプロイ

手順

1. SpireAgent CR を作成します。

   1. SpireAgent CR を定義する YAML ファイル (例: SpireAgent.yaml) を作成します。

      SpireAgent.yaml の例

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireAgent
      metadata:
       name: cluster
      spec:
        socketPath: "/run/spire/agent-sockets"
        logLevel: "info"
        logFormat: "text"
        nodeAttestor:
          k8sPSATEnabled: "true"
        workloadAttestors:
          k8sEnabled: "true"
          workloadAttestorsVerification:
            type: "auto"
            hostCertBasePath: "/etc/kubernetes"
            hostCertFileName: "kubelet-ca.crt"
          disableContainerSelectors: "false"
          useNewContainerLocator: "true"

      ここでは、以下のようになります。

      metadata.name

      値が クラスター でなければならないことを指定します。

      spec.socketPath

      SPIRE エージェントソケットが作成されるホスト上のディレクトリーを指定します。このディレクトリーは、hostPath ボリュームを介して SPIFFE CSI ドライバーと共有されます。ワークロードがソケットにアクセスするには、SpiffeCSIDriver.spec.agentSocketPath と一致する必要があります。絶対パスを指定する必要があります。最大長は 256 文字です。

      spec.logLevel

      SPIRE サーバーのログレベルを指定します。有効なオプションは、debug、info、warn、error です。

      spec.logFormat

      SPIRE サーバーのログ記録フォーマットを指定します。有効なオプションは、text と json です。

      spec.nodeAttestor.k8sPSATEnabled

      Kubernetes の Projected Service Account Token (PSAT) ノードアテステーションが有効になっているかどうかを指定します。有効化されている場合、SPIRE エージェントはノード認証時に K8s PSAT を使用して SPIRE サーバーに自身のアイデンティティーをアテステーションします。有効なオプションは true と false です。

      spec.workloadAttestors.k8sEnabled

      Kubernetes ワークロードアテスターが有効になっているかどうかを指定します。SPIRE エージェントが有効になっている場合、KubernetesPod 情報とサービスアカウントトークンを使用してワークロードのアイデンティティーを検証できます。有効なオプションは true と false です。

      spec.workloadAttestors.workloadAttestorsVerification.type

      kubelet の証明書検証モードを指定します。有効なオプションは 、auto、hostCert、skip です。

      spec.workloadAttestors.workloadAttestorsVerification.hostCertBasePath

      kubelet CA 証明書が格納されているディレクトリーを指定します。タイプが hostCert の場合は必須です。タイプが auto の場合はオプションです (指定しない場合は/etc/kubernetes がデフォルトになります)。

      spec.workloadAttestors.workloadAttestorsVerification.hostCertFileName

      kubelet の CA 証明書のファイル名を指定します。hostCertBasePath と組み合わせると、完全なパスが形成されます。タイプが hostCert の場合は必須です。タイプが auto の場合はオプションです。指定がない場合は、デフォルトで kubelet-ca.crt が使用されます。

      spec.workloadAttestors.disableContainerSelectors

      Kubernetes ワークロードアテスターでコンテナーセレクターを無効にするかどうかを指定します。Istio で holdApplicationUntilProxyStarts を使用する場合は、true に設定してください。有効なオプションは true と false です。

      spec.workloadAttestors.useNewContainerLocator

      cgroups v2 をサポートする新しいコンテナーロケーターアルゴリズムを有効にすることを指定します。有効なオプションは true と false です。

   2. 以下のコマンドを実行して設定を適用します。

      $ oc apply -f SpireAgent.yaml