5.3. 他のプラットフォームで RHACS 用のクラスター登録シークレットまたは init バンドルを生成および適用する

RHACS Central とセキュアクラスターの間でセキュアな通信チャネルを確立するには、認証用アーティファクトを生成して適用する必要があります。RHACS ポータルまたは CLI を使用して、クラスター登録シークレット (CRS) または init バンドルを生成できます。

init バンドルも引き続きサポートされていますが、CRS を使用して Central とセキュアクラスター間の接続を確立する方法が推奨されます。CRS は、複数のクラスターの登録に使用できる再利用可能で有効期限付きのトークンを提供するためです。

CRS または init バンドルを作成したら、helm install コマンドを実行する際に、その CRS または init バンドルを指定します。

クラスター登録シークレット (CRS) は、認証シークレットの一種であり、init バンドルよりもセキュリティーが高く、使い方も簡単です。CRS には、Operator および Helm インストール方法を使用して RHACS をインストールする際に使用できるトークンが 1 つ含まれています。

CRS は新しいセキュアクラスターの登録にのみ使用されるため、より強力なセキュリティーを提供します。漏洩した場合、init バンドル内の証明書とキーは、セキュアクラスターで実行されているサービスになりすますために使用される可能性があります。対照的に、CRS 内の証明書とキーは、新しいクラスターを 登録 するためにのみ使用できます。

CRS を使用してクラスターがセットアップされると、Central によってサービス固有の証明書が発行され、新しいセキュアクラスターに送信されます。これらのサービス証明書は、Central とセキュアクラスター間の通信に使用されます。したがって、クラスターの登録後、セキュアクラスターを切断せずに CRS を取り消すことができます。

init バンドルであれば、セキュアクラスター上のシークレットの手動更新が必要になった際に、既存のセキュアクラスターに再適用することができます。それとは異なり、新しい CRS をクラスターに適用して Central とセキュアクラスター間の通信を再確立することはできません。セキュアクラスターの CRS に問題が発生した場合、たとえば証明書と鍵が削除された場合は、Central で元の CRS を失効させ、セキュアクラスターから削除する必要があります。その後、Central で新しい CRS を作成し、その新しい CRS をセキュアクラスターに適用します。