1.2. ルートのセキュリティー保護

前提条件

• プロジェクトの管理者権限があるユーザーで、クラスターにログインしている。
• OpenShift CLI (oc) がインストールされている。

手順

• ルートで HSTS を有効にするには、haproxy.router.openshift.io/hsts_header 値を edge-terminated または re-encrypt ルートに追加します。次のコマンドを実行すると、oc annotate ツールを使用してこれを実行できます。コマンドを適切に実行するには、haproxy.router.openshift.io/ hsts_header ルートアノテーション内のセミコロン (;) も二重引用符 ("") で囲まれていることを確認してください。

  最大経過時間を 31536000 ミリ秒 (約 8.5 時間) に設定する annotate コマンドの例

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header=max-age=31536000;\
  includeSubDomains;preload"

  アノテーションで設定されたルートの例

  apiVersion: route.openshift.io/v1
  kind: Route
  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=31536000;includeSubDomains;preload 

  1

  2

  3

  
  # ...
  spec:
    host: def.abc.com
    tls:
      termination: "reencrypt"
      ...
    wildcardPolicy: "Subdomain"
  # ...

  1

  必須。max-age は、HSTS ポリシーが有効な期間 (秒単位) を測定します。0 に設定すると、これはポリシーを無効にします。

  2

  オプション: includeSubDomains は、クライアントに対し、ホストのすべてのサブドメインにホストと同じ HSTS ポリシーを持つ必要があることを指示します。

  3

  オプション: max-age が 0 より大きい場合、preload を haproxy.router.openshift.io/hsts_header に追加し、外部サービスがこのサイトをそれぞれの HSTS プリロードリストに含めることができます。たとえば、Google などのサイトは preload が設定されているサイトの一覧を作成します。ブラウザーはこれらのリストを使用し、サイトと対話する前でも HTTPS 経由で通信できるサイトを判別できます。preload を設定していない場合、ブラウザーはヘッダーを取得するために、HTTPS を介してサイトと少なくとも 1 回対話している必要があります。

前提条件

• プロジェクトの管理者権限があるユーザーで、クラスターにログインしている。
• OpenShift CLI (oc) がインストールされている。

手順

• HSTS を無効にするには、以下のコマンドを入力してルートアノテーションの max-age の値を 0 に設定します。

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

  ヒント

  または、以下の YAML を適用して config map を作成できます。

  ルートごとに HSTS を無効にする例

  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=0

• namespace のすべてのルートで HSTS を無効にするには、following コマンドを入力します。

  $ oc annotate route --all -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

検証

• すべてのルートのアノテーションをクエリーするには、以下のコマンドを入力します。

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  出力例

  Name: routename HSTS: max-age=0

前提条件

• プロジェクトの管理者権限があるユーザーで、クラスターにログインしている。
• OpenShift CLI (oc) がインストールされている。

• 必要な HSTS ポリシーの maxAge セットを確認するには、以下のコマンドを入力します。

  $ oc get clusteroperator/ingress -n openshift-ingress-operator -o jsonpath='{range .spec.requiredHSTSPolicies[*]}{.spec.requiredHSTSPolicies.maxAgePolicy.largestMaxAge}{"\n"}{end}'

• すべてのルートで HSTS アノテーションを確認するには、以下のコマンドを入力します。

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  出力例

  Name: <_routename_> HSTS: max-age=31536000;preload;includeSubDomains