1.8.10. ハブクラスターの KubeAPIServer 証明書のカスタマイズ

手順

1. 次の例のような APIServer カスタムリソースを見つけます。

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     audit:
       profile: Default
     servingCerts:
       namedCertificates:
       - names:
         - api.mycluster.example.com
         servingCertificate:
           name: old-cert-secret

2. 既存および新しい証明書の内容を含む openshift-config namespace に新しいシークレットを作成します。

   1. 次のコマンドを実行して、古い証明書を新しい証明書にコピーします。

      cp old.crt combined.crt

   2. 次のコマンドを実行して、新しい証明書の内容を古い証明書のコピーに追加します。

      cat new.crt >> combined.crt

   3. 次のコマンドを実行して、結合された証明書を適用して、シークレットを作成します。

   oc create secret tls combined-certs-secret --cert=combined.crt --key=old.key -n openshift-config

3. APIServer リソースを更新して、結合された証明書を servingCertificate として参照します。APIServer リソースは次のファイルのようになります。

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     audit:
       profile: Default
     servingCerts:
       namedCertificates:
       - names:
         - api.mycluster.example.com
         servingCertificate:
           name: combined-cert-secret

4. 約 15 分後、新しい証明書と古い証明書の両方を含む CA バンドルがマネージドクラスターに伝播されます。

5. 次のコマンドを入力して、新しい証明書情報のみを含む new-cert-secret という名前の別のシークレットを openshift-config namespace に作成します。

   oc create secret tls new-cert-secret --cert=new.crt --key=new.key -n openshift-config {code}

6. new-cert-secret を参照するように servingCertificate の名前を変更して、APIServer リソースを更新します。リソースは以下の例のようになります。

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     audit:
       profile: Default
     servingCerts:
       namedCertificates:
       - names:
         - api.mycluster.example.com
         servingCertificate:
           name: new-cert-secret