2.6. TDX ワークロード用の TDX リモートアテステーションインフラストラクチャーの設定

手順

1. 次のコマンドを実行して、intel-dcap namespace を作成します。

   $ oc create namespace intel-dcap

   Copy to Clipboard Toggle word wrap

2. 次のコマンドを実行して、intel-dcap プロジェクトに切り替えます。

   $ oc project intel-dcap

   Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、Security Context Constraint を更新します。

   $ oc adm policy add-scc-to-user privileged -z default

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、デフォルトのプロジェクトに切り替えます。

   $ oc project default

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを実行して PCCS_API_KEY 変数を設定します。

   $ export PCCS_API_KEY="${PCCS_API_KEY:-}"

   Copy to Clipboard Toggle word wrap

   PCCS_API_KEY

   Intel® SGX および Intel® TDX Provisioning Certification Service の API キー。Intel Trusted Services API ポータル に移動してサインインし、Intel® SGX および Intel® TDX Provisioning Certification Service にサブスクライブします。API キーは Manage Subscriptions ページに表示されます。

6. 次のコマンドを実行して、PCCS_USER_TOKEN 変数を設定します。

   $ export PCCS_USER_TOKEN="${PCCS_USER_TOKEN:-mytoken}"

   Copy to Clipboard Toggle word wrap

   PCCS_USER_TOKEN

   PCCS ユーザートークンを指定します。詳細は、Design Guide for Intel® SGX Provisioning Certificate Caching Service (Intel® SGX PCCS) を参照してください。

7. 次のコマンドを実行して、PCCS_ADMIN_TOKEN 変数を設定します。

   $ export PCCS_ADMIN_TOKEN="${PCCS_ADMIN_TOKEN:-mytoken}"

   Copy to Clipboard Toggle word wrap

   PCCS_ADMIN_TOKEN

   PCCS 管理トークンを指定します。詳細は、Design Guide for Intel® SGX Provisioning Certificate Caching Service (Intel® SGX PCCS) を参照してください。

8. 次のコマンドを実行して、PCCS_NODE 変数の値をコントロールプレーンノードの名前に設定します。

   $ export PCCS_NODE=$(oc get nodes \
     -l 'node-role.kubernetes.io/control-plane=,node-role.kubernetes.io/master=' \
     -o jsonpath='{.items[0].metadata.name}')

   Copy to Clipboard Toggle word wrap

9. クラスター全体のプロキシー変数を設定します。

   • クラスター全体のプロキシーを使用している場合は、次のコマンドを実行します。

     $ export CLUSTER_HTTPS_PROXY="$(oc get proxy/cluster \
       -o jsonpath={.spec.httpsProxy})"

     Copy to Clipboard Toggle word wrap

   • プロキシーを使用していない場合は、次のコマンドを実行します。

     $ export CLUSTER_NO_PROXY="$(oc get proxy/cluster \
       -o jsonpath={.spec.noProxy})"

     Copy to Clipboard Toggle word wrap

10. 次のコマンドを実行して、PCCS ユーザートークンの SHA-512 ハッシュを生成します。

    $ export PCCS_USER_TOKEN_HASH=$(echo -n "$PCCS_USER_TOKEN" | sha512sum | tr -d '[:space:]-')

    Copy to Clipboard Toggle word wrap

11. 次のコマンドを実行して、PCCS 管理トークンの SHA-512 ハッシュを生成します。

    $ export PCCS_ADMIN_TOKEN_HASH=$(echo -n "$PCCS_ADMIN_TOKEN" | sha512sum | tr -d '[:space:]-')

    Copy to Clipboard Toggle word wrap

12. 次のコマンドを実行して、PCCS 証明書とキー用の一時ディレクトリーを作成します。

    $ PCCS_PEM_CERT_PATH=$(mktemp -d)

    Copy to Clipboard Toggle word wrap

13. 次のコマンドを実行して、自己署名 PCCS 証明書と秘密鍵を生成します。

    $ openssl req -x509 -sha256 -nodes -days 365 -newkey rsa:2048 \
      -keyout $PCCS_PEM_CERT_PATH/private.pem \
      -out $PCCS_PEM_CERT_PATH/certificate.pem \
      -subj "/C=US/ST=Denial/L=Springfield/O=Dis/CN=www.example.com"

    Copy to Clipboard Toggle word wrap

14. 次のコマンドを実行して、PCCS_PEM の値を Base64 でエンコードされた PCCS 秘密鍵に設定します。

    $ export PCCS_PEM=$(cat "$PCCS_PEM_CERT_PATH"/private.pem | base64 | tr -d '\n')

    Copy to Clipboard Toggle word wrap

15. 次のコマンドを実行して、PCCS_CERT の値を Base64 でエンコードされた PCCS 証明書に設定します。

    $ export PCCS_CERT=$(cat "$PCCS_PEM_CERT_PATH"/certificate.pem | base64 | tr -d '\n')

    Copy to Clipboard Toggle word wrap

16. 次のコマンドを実行して、PCCS の汎用シークレットを作成します。

    $ oc create secret generic pccs-secrets \
        --namespace intel-dcap \
        --from-literal=PCCS_API_KEY="$PCCS_API_KEY" \
        --from-literal=PCCS_USER_TOKEN_HASH="$PCCS_USER_TOKEN_HASH" \
        --from-literal=USER_TOKEN="$PCCS_USER_TOKEN" \
        --from-literal=PCCS_ADMIN_TOKEN_HASH="$PCCS_ADMIN_TOKEN_HASH"

    Copy to Clipboard Toggle word wrap