13.5. External Secrets Operator for Red Hat OpenShift の Egress プロキシーについて

手順

1. ExternalSecretsConfig リソースでプロキシーを設定するには、次の手順を実行します。

   1. 次のコマンドを実行して、ExternalSecretsConfig リソースを編集します。

      $ oc edit externalsecretsconfigs.operator.openshift.io cluster

   2. spec.appConfig.proxy セクションを編集して、プロキシー値を次のように設定します。

      apiVersion: operator.openshift.io/v1alpha1
      kind: ExternalSecretsConfig
      ...
      spec:
        appConfig:
          proxy:
            httpProxy: <http_proxy>
            httpsProxy: <https_proxy>
            noProxy: <no_proxy>
            networkPolicyProvisioning: Managed

      各項目の説明:

      spec.appConfig.proxy.httpProxy

      HTTP リクエストのプロキシー URL を指定します。

      spec.appConfig.proxy.httpsProxy

      HTTPS リクエストのプロキシー URL を指定します。

      spec.appConfig.proxy.noProxy

      プロキシーを使用してはならないホスト名、CIDR、IP、またはこれらを組み合わせたもののコンマ区切りリストを指定します。

      spec.appConfig.proxy.networkPolicyProvisioning

      Operator が eso-sys-allow-proxy-egress NetworkPolicy を自動的に作成および管理するかどうかを指定します。設定できる値は、Managed (デフォルト) と Unmanaged です。Managed に設定されている場合、Operator はプロキシーの URL ポートに基づいてポリシーを作成し、プロキシーが削除されるとポリシーを削除します。Unmanaged に設定されている場合、Operator はポリシーを作成または削除せず、プロキシーの Egress トラフィックの管理はユーザーの責任となります。

2. ExternalSecretsManager CR でプロキシーを設定するには、次の手順を実行します。

   1. 次のコマンドを実行して、ExternalSecretsManager CR を編集します。

      $ oc edit externalsecretsmanagers.operator.openshift.io cluster

   2. spec.globalConfig.proxy セクションを編集して、プロキシー値を次のように設定します。

      apiVersion: operator.openshift.io/v1alpha1
      kind: ExternalSecretsManager
      ...
      spec:
        globalConfig:
          proxy:
            httpProxy: <http_proxy>
            httpsProxy: <https_proxy>
            noProxy: <no_proxy>
            networkPolicyProvisioning: Managed

      各項目の説明:

      spec.appConfig.proxy.httpProxy

      HTTP リクエストのプロキシー URL を指定します。

      spec.appConfig.proxy.httpsProxy

      HTTPS リクエストのプロキシー URL を指定します。

      spec.appConfig.proxy.noProxy

      プロキシーを使用してはならないホスト名、CIDR、IP、またはこれらを組み合わせたもののコンマ区切りリストを指定します。

      spec.appConfig.proxy.networkPolicyProvisioning

      Operator が eso-sys-allow-proxy-egress NetworkPolicy を自動的に作成および管理するかどうかを指定します。値は `Managed` (デフォルト) と Unmanaged です。

      注記

      ExternalSecretsConfig CR と ExternalSecretsManager CR の両方で networkPolicyProvisioning が設定されている場合は、ExternalSecretsConfig CR の値が優先されます。

3. プロキシーが OLM 環境変数によってクラスターレベルで設定されており、CR でプロキシー URL を指定せずに NetworkPolicy のプロビジョニングのみを制御する場合は、いずれかの CR で networkPolicyProvisioning フィールドのみを次のように設定します。

   apiVersion: operator.openshift.io/v1alpha1
   kind: ExternalSecretsConfig
   ...
   spec:
     applicationConfig:
       proxy:
         networkPolicyProvisioning: Unmanaged

検証

1. 以下のコマンドを実行して、プロキシーの Egress NetworkPolicy が作成されたことを確認します。

   $ oc get networkpolicy eso-sys-allow-proxy-egress -n external-secrets -o yaml

   ポリシーには、設定したプロキシー URL から導出されるポートでの Transmission Control Protocol (TCP) トラフィックを許可する Egress ルールが表示されるはずです。

2. 以下のコマンドを実行して、プロキシー設定が external-secrets のデプロイメントに適用されていることを確認します。

   $ oc set env deployment/external-secrets -n external-secrets --list | grep -i proxy