3.2. API サーバー証明書の追加

手順

1. kubeadmin ユーザーとして CLI にログインします。

   $ oc login -u kubeadmin -p <password> https://<fqdn>:6443

   各項目の説明:

   <password>

   クラスター管理者パスワードを指定します。

   <fqdn>

   内部クラスター API エンドポイントの完全修飾ドメイン名を指定します。

2. openshift-config namespace に証明書およびプライベートキーが含まれるシークレットを作成します。

   $ oc create secret tls <secret_name> \
        --cert=<path_to_certificate_file> \
        --key=<path_to_private_key_file> \
        -n openshift-config

   各項目の説明:

   <secret_name>

   暗号鍵ペアを格納する新しいシークレットリソースの名前を指定します。

   <path_to_certificate_file>

   カスタム証明書チェーンファイルへの絶対ローカルパスを指定します。

   <path_to_private_key_file>

   証明書に関連付けられた暗号化されていない秘密鍵ファイルへの絶対ローカルパスを指定します。

3. API サーバーを作成されたシークレットリソースを参照するように更新します。

   $ oc patch apiserver cluster --type=merge -p '
   {
     "spec": {
       "servingCerts": {
         "namedCertificates": [
           {
             "names": ["<fqdn>"],
             "servingCertificate": {
               "name": "<secret_name>"
             }
           }
         ]
       }
     }
   }'

   各項目の説明:

   <fqdn>

   API サーバーがこのカスタム証明書を提供する、完全修飾ドメイン名を指定します。ポート番号は含めないでください。

   <secret_name>

   前のステップで作成したシークレットの名前を指定します。

4. Operator のステータスを確認して、Kubernetes API サーバーの新しいリビジョンがロールアウトされたことを確認します。

   $ oc get clusteroperators kube-apiserver

   注記

   API サーバー Operator がカスタム証明書で設定された新しい Pod リビジョンをデプロイしている間、PROGRESSING ステータス列は True に変わります。ロールアウト作業中は、プロセスを中断したり、追加の設定更新を適用したりしないでください。ステータスが False に戻り、AVAILABLE が True と表示されてから、作業を続行してください。