2.6.4. シークレットで署名証明書を使用する方法

シークレットに使用する名前に service.beta.openshift.io/serving-cert-secret-name アノテーションを追加します。

kind: Service
apiVersion: v1
metadata:
  name: my-service
  annotations:
      service.beta.openshift.io/serving-cert-secret-name: my-cert 1
spec:
  selector:
    app: MyApp
  ports:
  - protocol: TCP
    port: 80
    targetPort: 9376

証明書およびキーは PEM 形式であり、それぞれ tls.crt および tls.key に保存されます。

サービスを作成します。

$ oc create -f <file-name>.yaml

シークレットを表示して、作成されていることを確認します。

このシークレットを使って Pod 仕様を編集します。

apiVersion: v1
kind: Pod
metadata:
  name: my-service-pod
spec:
  containers:
  - name: mypod
    image: redis
    volumeMounts:
    - name: foo
      mountPath: "/etc/foo"
  volumes:
  - name: foo
    secret:
      secretName: my-cert
      items:
      - key: username
        path: my-group/my-username
        mode: 511

これが利用可能な場合、Pod が実行されます。この証明書は内部サービス DNS 名、 <service.name>.<service.namespace>.svc に適しています。

証明書/キーのペアは有効期限に近づくと自動的に置換されます。シークレットの service.beta.openshift.io/expiry アノテーションで RFC3339 形式の有効期限の日付を確認します。