5.2. デプロイメントの概要

以下の手順を実行して、IBM Z® および IBM® LinuxONE ベアメタルサーバーに機密コンテナーをデプロイします。

OpenShift sandboxed containers Operator をインストールします。
TEE の自動検出を設定します。
機密コンテナーのフィーチャーゲートを有効にします。
実行時に機密データまたはワークロード固有のデータを使用してピア Pod を初期化するための initdata を作成します。
Secure Execution イメージをコンテナーレジストリーにアップロードします。
kata-addon-artifacts config map を作成します。
実行時に機密データまたはワークロード固有のデータを使用して Pod を初期化するための initdata を作成します。
重要
実稼働環境では、デフォルトの permissive の Kata エージェントポリシーを使用しないでください。できれば initdata を作成して、制限的なポリシーを設定する必要があります。
最低限の要件として、クラスター管理者が機密コンテナー Pod で oc exec コマンドを実行して機密データにアクセスするのを防ぐには、ExecProcessRequest を無効にする必要があります。
Pod に initdata を適用します。
KataConfig CR を作成します。
アテステーションプロセスを確認します。

トップに戻る