第5章 Azure での Confidential Containers のデプロイ
OpenShift Sandboxed Containers をデプロイした後に、Microsoft Azure Cloud Computing Services に Confidential Containers をデプロイすることができます。
Azure の Confidential Containers はテクノロジープレビュー機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat は、実稼働環境でこれらを使用することを推奨していません。テクノロジープレビューの機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行いフィードバックを提供していただくことを目的としています。
Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。
クラスターの要件
- Confidential compute attestation Operator をインストールするクラスターに Red Hat OpenShift Container Platform 4.15 以降がインストールされている。
次の手順を実行して、Confidential Containers をデプロイします。
- Confidential compute attestation Operator をインストールします。
- Trustee のルートを作成します。
- Confidential Containers フィーチャーゲートを有効にします。
- ピア Pod config map を更新します。
-
KataConfig
カスタムリソース (CR) を削除します。 -
KataConfig
CR を再作成します。 - Trustee 認証シークレットを作成します。
- Trustee config map を作成します。
- Trustee の値、ポリシー、およびシークレットを設定します。
-
KbsConfig
CR を作成します。 - Trustee の設定を確認します。
- アテステーションプロセスを確認します。
5.1. Confidential compute attestation Operator のインストール
CLI を使用して、Confidential compute attestation Operator を Azure にインストールできます。
前提条件
-
OpenShift CLI (
oc
) がインストールされている。 -
cluster-admin
ロールを持つユーザーとしてクラスターにアクセスできる。
手順
trustee-namespace.yaml
マニフェストファイルを作成します。apiVersion: v1 kind: Namespace metadata: name: trustee-operator-system
次のコマンドを実行して、
trustee-operator-system
namespace を作成します。$ oc apply -f trustee-namespace.yaml
trustee-operatorgroup.yaml
マニフェストファイルを作成します。apiVersion: operators.coreos.com/v1 kind: OperatorGroup metadata: name: trustee-operator-group namespace: trustee-operator-system spec: targetNamespaces: - trustee-operator-system
以下のコマンドを実行して Operator グループを作成します。
$ oc apply -f trustee-operatorgroup.yaml
trustee-subscription.yaml
マニフェストファイルを作成します。apiVersion: operators.coreos.com/v1alpha1 kind: Subscription metadata: name: trustee-operator namespace: trustee-operator-system spec: channel: stable installPlanApproval: Automatic name: trustee-operator source: redhat-operators sourceNamespace: openshift-marketplace startingCSV: trustee-operator.v0.1.0
次のコマンドを実行して、サブスクリプションを作成します。
$ oc apply -f trustee-subscription.yaml
次のコマンドを実行して、Operator が正常にインストールされていることを確認します。
$ oc get csv -n trustee-operator-system
このコマンドが完了するまでに数分かかる場合があります。
次のコマンドを実行してプロセスを監視します。
$ watch oc get csv -n trustee-operator-system
出力例
NAME DISPLAY PHASE trustee-operator.v0.1.0 Trustee Operator 0.1.0 Succeeded