6.3. イメージコントローラー設定パラメーター

ingresscontrollers.operator.openshift.io リソースは以下の設定パラメーターを提供します。

パラメーター	説明
`domain`	`domain` は Ingress コントローラーによって提供される DNS 名で、複数の機能を設定するために使用されます。 `LoadBalancerService` エンドポイント公開ストラテジーの場合、`domain` は DNS レコードを設定するために使用されます。`endpointPublishingStrategy` を参照してください。生成されるデフォルト証明書を使用する場合、証明書は `domain` およびその `subdomains` で有効です。`defaultCertificate` を参照してください。この値は個別の Route ステータスに公開され、ユーザーは外部 DNS レコードのターゲット先を認識できるようにします。 `domain` 値はすべての Ingress コントローラーの中でも固有の値であり、更新できません。空の場合、デフォルト値は `ingress.config.openshift.io/cluster` `.spec.domain` です。
`replicas`	`replicas` は Ingress コントローラーレプリカの必要な数です。設定されていない場合、デフォルト値は `2` になります。
`endpointPublishingStrategy`	`endpointPublishingStrategy` は Ingress コントローラーエンドポイントを他のネットワークに公開し、ロードバランサーの統合を有効にし、他のシステムへのアクセスを提供するために使用されます。設定されていない場合、デフォルト値は `infrastructure.config.openshift.io/cluster` `.status.platform` をベースとします。 AWS: `LoadBalancerService` (外部スコープあり) Azure: `LoadBalancerService` (外部スコープあり) GCP: `LoadBalancerService` (外部スコープあり) Bare metal: `NodePortService` その他: `HostNetwork` `endpointPublishingStrategy` 値は更新できません。
`defaultCertificate`	`defaultCertificate` 値は、Ingress コントローラーによって提供されるデフォルト証明書が含まれるシークレットの参照です。ルートが独自の証明書を指定しない場合、`defaultCertificate` が使用されます。シークレットには以下のキーおよびデータが含まれる必要があります: * `tls.crt`: 証明書ファイルコンテンツ * `tls.key`: キーファイルコンテンツ設定されていない場合、ワイルドカード証明書は自動的に生成され、使用されます。証明書は Ingress コントーラーの `domain` および `subdomains` で有効であり、生成された証明書 CA はクラスターの信頼ストアに自動的に統合されます。使用中の証明書 (生成されるか、ユーザー指定の場合かを問わない) は OpenShift Container Platform のビルトイン OAuth サーバーに自動的に統合されます。
`namespaceSelector`	`namespaceSelector` は、Ingress コントローラーによってサービスされる namespace セットをフィルターするために使用されます。これはシャードの実装に役立ちます。
`routeSelector`	`routeSelector` は、Ingress コントローラーによって提供される Routes のセットをフィルターするために使用されます。これはシャードの実装に役立ちます。
`nodePlacement`	`nodePlacement` は、Ingress コントローラーのスケジュールに対する明示的な制御を有効にします。設定されていない場合は、デフォルト値が使用されます。注記 `nodePlacement` パラメーターには、`nodeSelector` と `tolerations` の 2 つの部分が含まれます。以下に例を示します。 nodePlacement: nodeSelector: matchLabels: kubernetes.io/os: linux tolerations: - effect: NoSchedule operator: Exists
`tlsSecurityProfile`	`tlsSecurityProfile` は、Ingress コントローラーの TLS 接続の設定を指定します。これが設定されていない場合、デフォルト値は `apiservers.config.openshift.io/cluster` リソースをベースとして設定されます。 `Old`、`Intermediate`、および `Modern` のプロファイルタイプを使用する場合、有効なプロファイル設定はリリース間で変更される可能性があります。たとえば、リリース `X.Y.Z` にデプロイされた `Intermediate` プロファイルを使用する仕様がある場合、リリース `X.Y.Z+1` へのアップグレードにより、新規のプロファイル設定が Ingress コントローラーに適用され、ロールアウトが生じる可能性があります。 Ingress コントローラーの最小の TLS バージョンは `1.1` で、最大の TLS バージョンは `1.2` です。重要 HAProxy Ingress コントローラーイメージは TLS `1.3` をサポートしません。`Modern` プロファイルには TLS `1.3` が必要であることから、これはサポートされません。Ingress Operator は `Modern` プロファイルを `Intermediate` に変換します。また、Ingress Operator は TLS `1.0` の `Old` または `Custom` プロファイルを `1.1` に変換し、TLS `1.3` の `Custom` プロファイルを `1.2` に変換します。 OpenShift Container Platform ルーターは、TLS_AES_128_CCM_SHA256、TLS_CHACHA20_POLY1305_SHA256、TLS_AES_256_GCM_SHA384、および TLS_AES_128_GCM_SHA256 を使用する TLS `1.3` 暗号スイートの Red Hat 分散 OpenSSL デフォルトセットを有効にします。OpenShift Container Platform 4.6、4.7、および 4.8 では TLS `1.3` がサポートされていなくても、クラスターは TLS `1.3` 接続と暗号スイートを受け入れる場合があります。注記設定されたセキュリティープロファイルの暗号および最小 TLS バージョンが `TLSProfile` ステータスに反映されます。
`routeAdmission`	`routeAdmission` は、複数の namespace での要求の許可または拒否など、新規ルート要求を処理するためのポリシーを定義します。 `namespaceOwnership` は、namespace 間でホスト名の要求を処理する方法を記述します。デフォルトは `Strict` です。 `Strict`: ルートが複数の namespace 間で同じホスト名を要求することを許可しません。 `InterNamespaceAllowed`: ルートが複数の namespace 間で同じホスト名の異なるパスを要求することを許可します。 `wildcardPolicy` は、ワイルドカードポリシーを使用するルートが Ingress コントローラーによって処理される方法を記述します。 `WildcardsAllowed`: ワイルドカードポリシーと共にルートが Ingress コントローラーによって許可されていることを示します。 `WildcardsDisallowed`: ワイルドカードポリシーの `None` を持つルートのみが Ingress コントローラーによって許可されることを示します。`wildcardPolicy` を `WildcardsAllowed` から `WildcardsDisallowed` に更新すると、ワイルドカードポリシーの `Subdomain` を持つ許可されたルートが機能を停止します。これらのルートは、Ingress コントローラーによって許可されるように `None` のワイルドカードポリシーに対して再作成される必要があります。`WildcardsDisallowed` はデフォルト設定です。
`IngressControllerLogging`	`logging` はログに記録される内容および場所のパラメーターを定義します。このフィールドが空の場合、操作ログは有効になりますが、アクセスログは無効になります。 `access` は、クライアント要求をログに記録する方法を記述します。このフィールドが空の場合、アクセスロギングは無効になります。 `destination` はログメッセージの宛先を記述します。 `type` はログの宛先のタイプです。 `Container` は、ログがサイドカーコンテナーに移動することを指定します。Ingress Operator は Ingress コントローラー Pod で logs という名前のコンテナーを設定し、Ingress コントローラーがログをコンテナーに書き込むように設定します。管理者がこのコンテナーからログを読み取るカスタムロギングソリューションを設定することが予想されます。コンテナーログを使用すると、ログの割合がコンテナーランタイムの容量やカスタムロギングソリューションの容量を超えるとログがドロップされることがあります。 `Syslog` は、ログが Syslog エンドポイントに送信されることを指定します。管理者は、Syslog メッセージを受信できるエンドポイントを指定する必要があります。管理者がカスタム Syslog インスタンスを設定していることが予想されます。 `container` は `Container` ロギング宛先タイプのパラメーターを記述します。現在、コンテナーロギングのパラメーターはないため、このフィールドは空である必要があります。 `syslog` は、`Syslog` ロギング宛先タイプのパラメーターを記述します。 `address` は、ログメッセージを受信する syslog エンドポイントの IP アドレスです。 `port` は、ログメッセージを受信する syslog エンドポイントの UDP ポート番号です。 `facility` はログメッセージの syslog ファシリティーを指定します。このフィールドが空の場合、ファシリティーは `local1` になります。それ以外の場合、有効な syslog ファシリティー ( `kern`、`user`、`mail`、`daemon`、`auth`、 `syslog`、`lpr`、`news`、`uucp`、`cron`、 `auth2`、`ftp`、 `ntp`、`audit`、 `alert`、`cron2`、 `local0`、`local1`、 `local2`、`local3`) を指定する必要があります。`local4`、`local5`、 `local6`、または `local7`。 `httpLogFormat` は、HTTP 要求のログメッセージの形式を指定します。このフィールドが空の場合、ログメッセージは実装のデフォルト HTTP ログ形式を使用します。HAProxy のデフォルトの HTTP ログ形式については、HAProxy ドキュメントを参照してください。
`httpHeaders`	`httpHeaders` は HTTP ヘッダーのポリシーを定義します。 `IngressControllerHTTPHeaders` の `forwardedHeaderPolicy` を設定することで、Ingress コントローラーが `Forwarded`、`X-Forwarded-For`、`X-Forwarded-Host`、`X-Forwarded-Port`、`X-Forwarded-Proto`、および `X-Forwarded-Proto-Version` HTTP ヘッダーをいつどのように設定するか指定します。デフォルトでは、ポリシーは `Append` に設定されます。 `Append` は、Ingress コントローラーがヘッダーを追加するように指定し、既存のヘッダーを保持します。 `Replace` は、Ingress コントローラーがヘッダーを設定するように指定し、既存のヘッダーを削除します。 `IfNone` は、ヘッダーがまだ設定されていない場合に、Ingress コントローラーがヘッダーを設定するように指定します。 `Never` は、Ingress コントローラーがヘッダーを設定しないように指定し、既存のヘッダーを保持します。

注記

すべてのパラメーターはオプションです。

6.3.1. Ingress コントローラーの TLS セキュリティープロファイル

TLS セキュリティープロファイルは、サーバーに接続する際に接続クライアントが使用できる暗号を規制する方法をサーバーに提供します。

6.3.1.1. TLS セキュリティープロファイルについて

TLS (Transport Layer Security) セキュリティープロファイルを使用して、さまざまな OpenShift Container Platform コンポーネントに必要な TLS 暗号を定義できます。OpenShift Container Platform の TLS セキュリティープロファイルは、Mozilla が推奨する設定に基づいています。

コンポーネントごとに、以下の TLS セキュリティープロファイルのいずれかを指定できます。

表6.1 TLS セキュリティープロファイル
プロファイル	説明
`Old`	このプロファイルは、レガシークライアントまたはライブラリーでの使用を目的としています。このプロファイルは、Old 後方互換性の推奨設定に基づいています。 `Old` プロファイルには、最小 TLS バージョン 1.0 が必要です。注記 Ingress コントローラーの場合、TLS の最小バージョンは 1.0 から 1.1 に変換されます。
`Intermediate`	このプロファイルは、大多数のクライアントに推奨される設定です。これは、Ingress コントローラーおよびコントロールプレーンのデフォルトの TLS セキュリティープロファイルです。このプロファイルは、Intermediate 互換性の推奨設定に基づいています。 `Intermediate` プロファイルには、最小 TLS バージョン 1.2 が必要です。
`Modern`	このプロファイルは、後方互換性を必要としない Modern のクライアントでの使用を目的としています。このプロファイルは、Modern 互換性の推奨設定に基づいています。 `Modern` プロファイルには、最小 TLS バージョン 1.3 が必要です。注記 OpenShift Container Platform 4.6、4.7、および 4.8 では、`Modern` プロファイルはサポートされていません。選択すると、`Intermediate` プロファイルが有効になります。重要 `Modern` プロファイルは現在サポートされていません。
`カスタム`	このプロファイルを使用すると、使用する TLS バージョンと暗号を定義できます。警告無効な設定により問題が発生する可能性があるため、`Custom` プロファイルを使用する際には注意してください。注記 OpenShift Container Platform ルーターは、Red Hat 分散の OpenSSL デフォルトセットの TLS `1.3` 暗号スイートを有効にします。OpenShift Container Platform 4.6、4.7、および 4.8 では TLS `1.3` がサポートされていなくても、クラスターは TLS `1.3` 接続と暗号スイートを受け入れる場合があります。

注記

事前定義されたプロファイルタイプのいずれかを使用する場合、有効なプロファイル設定はリリース間で変更される可能性があります。たとえば、リリース X.Y.Z にデプロイされた Intermediate プロファイルを使用する仕様がある場合、リリース X.Y.Z+1 へのアップグレードにより、新規のプロファイル設定が適用され、ロールアウトが生じる可能性があります。

6.3.1.2. Ingress コントローラーの TLS セキュリティープロファイルの設定

Ingress コントローラーの TLS セキュリティープロファイルを設定するには、IngressController カスタムリソース (CR) を編集して、事前定義済みまたはカスタムの TLS セキュリティープロファイルを指定します。TLS セキュリティープロファイルが設定されていない場合、デフォルト値は API サーバーに設定された TLS セキュリティープロファイルに基づいています。

Old TLS のセキュリティープロファイルを設定するサンプル IngressController CR

apiVersion: operator.openshift.io/v1
kind: IngressController
 ...
spec:
  tlsSecurityProfile:
    old: {}
    type: Old
 ...

TLS セキュリティープロファイルは、Ingress コントローラーの TLS 接続の最小 TLS バージョンと TLS 暗号を定義します。

設定された TLS セキュリティープロファイルの暗号と最小 TLS バージョンは、Status.Tls Profile 配下の IngressController カスタムリソース (CR) と Spec.Tls Security Profile 配下の設定された TLS セキュリティープロファイルで確認できます。Custom TLS セキュリティープロファイルの場合、特定の暗号と最小 TLS バージョンは両方のパラメーターの下に一覧表示されます。

重要

HAProxy Ingress コントローラーイメージは TLS 1.3 をサポートしません。Modern プロファイルには TLS 1.3 が必要であることから、これはサポートされません。Ingress Operator は Modern プロファイルを Intermediate に変換します。また、Ingress Operator は TLS 1.0 の Old または Custom プロファイルを 1.1 に変換し、TLS 1.3 の Custom プロファイルを 1.2 に変換します。

前提条件

cluster-admin ロールを持つユーザーとしてクラスターにアクセスできる。

手順

openshift-ingress-operator プロジェクトの IngressController CR を編集して、TLS セキュリティープロファイルを設定します。
```
$ oc edit IngressController default -n openshift-ingress-operator
```
spec.tlsSecurityProfile フィールドを追加します。
Custom プロファイルのサンプル IngressController CR
```
apiVersion: operator.openshift.io/v1
kind: IngressController
 ...
spec:
  tlsSecurityProfile:
    type: Custom 1
    custom: 2
      ciphers: 3
      - ECDHE-ECDSA-CHACHA20-POLY1305
      - ECDHE-RSA-CHACHA20-POLY1305
      - ECDHE-RSA-AES128-GCM-SHA256
      - ECDHE-ECDSA-AES128-GCM-SHA256
      minTLSVersion: VersionTLS11
 ...
```
1
TLS セキュリティープロファイルタイプ (Old、Intermediate、または Custom) を指定します。デフォルトは Intermediate です。
2
選択したタイプに適切なフィールドを指定します。
old: {}
intermediate: {}
custom:
3
custom タイプには、TLS 暗号の一覧と最小許容 TLS バージョンを指定します。
変更を適用するためにファイルを保存します。

検証

IngressController CR にプロファイルが設定されていることを確認します。

$ oc describe IngressController default -n openshift-ingress-operator

出力例

Name:         default
Namespace:    openshift-ingress-operator
Labels:       <none>
Annotations:  <none>
API Version:  operator.openshift.io/v1
Kind:         IngressController
 ...
Spec:
 ...
  Tls Security Profile:
    Custom:
      Ciphers:
        ECDHE-ECDSA-CHACHA20-POLY1305
        ECDHE-RSA-CHACHA20-POLY1305
        ECDHE-RSA-AES128-GCM-SHA256
        ECDHE-ECDSA-AES128-GCM-SHA256
      Min TLS Version:  VersionTLS11
    Type:               Custom
 ...

6.3. イメージコントローラー設定パラメーター

6.3.1. Ingress コントローラーの TLS セキュリティープロファイル

6.3.1.1. TLS セキュリティープロファイルについて

6.3.1.2. Ingress コントローラーの TLS セキュリティープロファイルの設定

詳細情報

試用、購入および販売

コミュニティー

Red Hat ドキュメントについて

多様性を受け入れるオープンソースの強化

会社概要

Red Hat legal and privacy links

Red Hat legal and privacy links