3.2. API サーバー証明書の追加

手順

1. kubeadmin ユーザーとして CLI にログインしてください。

   $ oc login -u kubeadmin -p <password> https://<fqdn>:6443

   各項目の説明:

   <password>

   クラスター管理者パスワードを指定します。

   <fqdn>

   内部クラスター API エンドポイントの完全修飾ドメイン名を指定します。

2. openshift-config 名前空間に、証明書チェーンと秘密鍵を含むシークレットを作成します。

   $ oc create secret tls <secret_name> \
        --cert=<path_to_certificate_file> \
        --key=<path_to_private_key_file> \
        -n openshift-config

   各項目の説明:

   <secret_name>

   暗号鍵ペアを格納する新しい秘密リソースの名前を指定します。

   < 証明書ファイルへのパス >

   カスタム証明書チェーンファイルへの絶対ローカルパスを指定します。

   < 秘密鍵ファイルへのパス >

   証明書に関連付けられた暗号化されていない秘密鍵ファイルへの絶対ローカルパスを指定します。

3. API サーバーを更新して、作成したシークレットリソースを参照するようにします。

   $ oc patch apiserver cluster --type=merge -p '
   {
     "spec": {
       "servingCerts": {
         "namedCertificates": [
           {
             "names": ["<fqdn>"],
             "servingCertificate": {
               "name": "<secret_name>"
             }
           }
         ]
       }
     }
   }'

   各項目の説明:

   <fqdn>

   API サーバーがこのカスタム証明書を提供する、完全修飾ドメイン名を指定します。ポート番号は含めないでください。

   <secret_name>

   前の手順で作成したシークレットの名前を指定します。

4. オペレーターの状態を確認して、Kubernetes API サーバーの新しいリビジョンが展開されたことを確認します。

   $ oc get clusteroperators kube-apiserver

   注記

   API サーバーオペレーターがカスタム証明書で設定された新しい Pod リビジョンをデプロイしている間、PROGRESSING ステータス列は True に変わります。展開作業中は、プロセスを中断したり、追加の設定更新を適用したりしないでください。ステータスが False に戻り、AVAILABLE がTrue と 表示されるまで続行しないでください。