サポートコンソール開発者トライアルの開始お問い合わせ

12.13. Zero Trust Workload Identity Manager 用の SPIRE UpstreamAuthority プラグイン

SPIFFE Runtime Environment (SPIRE) を既存の証明書管理インフラストラクチャーと統合し、Secure Production Identity Framework for Everyone (SPIFFE) アイデンティティー標準を維持するには、UpstreamAuthority プラグインを使用して SPIRE Server を設定します。このプラグインは、外部の認証局から中間署名証明書を取得します。

SPIRE Server は、以下のいずれかの UpstreamAuthority プラグインを使用するように設定できます。

cert-manager UpstreamAuthority プラグイン
SPIRE を Kubernetes または OpenShift Container Platform クラスター上で動作する cert-manager Operator for Red Hat OpenShift と統合します。cert-manager Operator for Red Hat OpenShift インスタンスは、さまざまな発行者タイプを使用して、SPIRE 中間 CA に署名証明書を提供できます。
Vault UpstreamAuthority プラグイン
SPIRE を HashiCorp Vault 公開鍵基盤 (PKI) シークレットエンジンと統合します。このプラグインは多くの Vault 認証方式をサポートしており、SPIRE が Vault のセキュリティー機能を使用して証明書を管理できるようにします。

ご使用の証明書管理インフラストラクチャーに合ったプラグインを選択してください。UpstreamAuthority プラグインは一度に 1 つしか設定できません。SpireServer CR は、certManager と vault の両方を同時に指定する設定を拒否します。

12.13.1. cert-manager アップストリーム認証局プラグインについて
リンクのコピー

cert-manager Operator for Red Hat OpenShift 用のアップストリーム認証局プラグインは、SPIRE Server を cert-manager Operator for Red Hat OpenShift に接続し、中間証明書の自動プロビジョニングを実現します。

このプラグインを設定すると、SPIRE Server によりクラスター内に CertificateRequest リソースが作成されます。設定された Issuer または ClusterIssuer が、要求と証明書に署名します。SPIRE Server は、署名済みの中間証明書を使用してワークロードアイデンティティーを発行します。

12.13.1.1. cert-manager プラグインの仕組み
リンクのコピー

  1. SPIRE Server が、中間署名証明書の証明書署名要求を生成します。
  2. プラグインが、設定された namespace 内に CertificateRequest を作成します。
  3. CertificateRequest が、設定済みの Issuer または ClusterIssuer を参照します。
  4. cert-manager Operator for Red Hat OpenShift が、要求に署名します。
  5. SPIRE Server が、CertificateRequest から署名済み証明書と CA バンドルを取得します。

12.13.1.2. 要件
リンクのコピー

cert-manager Operator for Red Hat OpenShift
クラスターに cert-manager Operator for Red Hat OpenShift がインストールされ、実行されている必要があります。
Issuer
中間 CA 証明書に署名できる Issuer または ClusterIssuer を設定する必要があります。
権限
OpenShift Container Platform では、spec.upstreamAuthority.certManager が設定されている場合に、Zero Trust Workload Identity Manager が、SPIRE Server の ServiceAccount に CertificateRequest リソースを管理する権限を付与します。SpireServer CR を設定する前に、Issuer と namespace を準備してください。
サポートされている Issuer
Issuer は、中間 CA 用の証明書署名要求をサポートしている必要があります。
Red Hat logoGithubRedditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

Legal Notice

Theme

© 2026 Red Hatトップに戻る