4.2. 認証のためのコンポーネントスコーププロキシーの設定

手順

1. オプション: プロキシーがカスタム CA 証明書を必要とする場合は、openshift-config namespace に CA バンドルを含む config map を作成します。

   1. auth-proxy-ca-bundle.yaml という名前のファイルを作成し、以下の内容を記述してください。

      apiVersion: v1
      kind: ConfigMap
      metadata:
        name: auth-proxy-ca-bundle
        namespace: openshift-config
      data:
        ca-bundle.crt: |
          -----BEGIN CERTIFICATE-----
          <PEM_encoded_CA_certificate>
          -----END CERTIFICATE-----

      name

      config map 名を指定します。spec.proxy.trustedCA.name フィールドにこの名前を使用します。

      namespace

      namespace を指定します。openshift-config である必要があります。

      ca-bundle.crt

      Privacy-Enhanced Mail (PEM) 形式でエンコードされた CA 証明書バンドルを指定します。キーは ca-bundle.crt である必要があります。

   2. 以下のコマンドを実行して config map を作成します。

      $ oc create -f auth-proxy-ca-bundle.yaml

      または、すでに CA 証明書ファイルをお持ちの場合は、以下のコマンドを実行して config map を直接作成することもできます。

      $ oc create configmap auth-proxy-ca-bundle \
        --from-file=ca-bundle.crt=<path_to_ca_certificate> \
        -n openshift-config

      <path_to_ca_certificate>

      PEM 形式でエンコードされた CA 証明書ファイルへのパスを指定します。

2. Authentication Operator リソースを編集してプロキシー設定を追加するには、次のコマンドを実行します。

   $ oc edit authentication.operator.openshift.io cluster

3. spec.proxy フィールドにプロキシー設定を追加します。

   apiVersion: operator.openshift.io/v1
   kind: Authentication
   metadata:
     name: cluster
   spec:
     managementState: Managed
     proxy:
       httpProxy: "http://proxy.example.com:3128"
       httpsProxy: "http://proxy.example.com:3128"
       noProxy:
         - ".example.com"
         - "idp.internal.example.com"
       trustedCA:
         name: "auth-proxy-ca-bundle"

   httpProxy

   HTTP リクエストのプロキシー URL を指定します。httpProxy または httpsProxy の少なくとも一方が必要です。

   httpsProxy

   HTTPS リクエストのプロキシー URL を指定します。httpProxy または httpsProxy の少なくとも一方が必要です。

   noProxy

   プロキシーをバイパスするホスト名、ドメイン、CIDR 範囲、または IP アドレスを指定します。クラスター内部のデフォルト値 (.cluster.local、.svc、127.0.0.1、Kubernetes API サービスの IP、および localhost) は自動的に追加されます。最大 64 件のエントリーを指定できます。

   trustedCA

   openshift-config 内の、キー ca-bundle.crt の下にあるプロキシー CA バンドルを含む config map 名を指定します。プロキシーが TLS 傍受またはプライベート CA を使用する場合にのみ必要です。ステップ 1 で CA config map を作成しなかった場合は、このブロックを省略してください。

4. 変更を適用するためにファイルを保存します。