1.4.5. 外部管理証明書を使用したルートの作成

手順

1. 次のコマンドを実行して、シークレットと同じ namespace に role オブジェクトを作成し、ルーターサービスアカウントに読み取りアクセスを許可します。

   $ oc create role secret-reader --verb=get,list,watch --resource=secrets --resource-name=<secret-name> \
   --namespace=<current-namespace>

   • <secret-name>: シークレットの実際の名前を指定します。
   • <current-namespace>: シークレットとルートの両方が存在する namespace を指定します。

2. 次のコマンドを実行して、シークレットと同じ namespace に rolebinding オブジェクトを作成し、ルーターサービスアカウントを新しく作成されたロールにバインドします。

   $ oc create rolebinding secret-reader-binding --role=secret-reader --serviceaccount=openshift-ingress:router --namespace=<current-namespace>

   • <current-namespace>: シークレットとルートの両方が存在する namespace を指定します。

3. 次の例を使用して、route を定義し、証明書を含むシークレットを指定する YAML ファイルを作成します。

   セキュアなルートの YAML 定義

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: myedge
     namespace: test
   spec:
     host: myedge-test.apps.example.com
     tls:
       externalCertificate:
         name: <secret-name>
       termination: edge
       [...]
   [...]

   • <secret-name>: シークレットの実際の名前を指定します。

4. 次のコマンドを実行して route リソースを作成します。

   $ oc apply -f <route.yaml>

   • <route.yaml>: 生成された YAML ファイル名を指定します。

     シークレットが存在し、証明書/キーペアがある場合、すべての前提条件が満たされていれば、ルーターは生成された証明書を提供します。

     注記

     .spec.tls.externalCertificate が指定されていないと、ルーターはデフォルトで生成された証明書を使用します。

     .spec.tls.externalCertificate フィールドを使用する場合は、.spec.tls.certificate フィールドまたは .spec.tls.key フィールドを指定することはできません。