7.5.3. SSL ルートの作成

OpenShift クラスター外のクライアントアプリケーションがブローカーに送信できるようにするには、ブローカー Pod の SSL ルートを作成する必要があります。OpenShift ルーターには、トラフィックを正しいサービスに送信するために Server Name Indication(SNI)が必要なため、SSL 対応のルートのみを外部クライアントに公開できます。

アプリケーションテンプレートを使用して OpenShift Container Platform にブローカーをデプロイする場合に、AMQ_PROTOCOL テンプレートパラメーターを使用して、ブローカーが使用するメッセージングプロトコルをコンマ区切りの一覧で指定します。使用可能なオプションは、 amqp、mqtt、openwire、stomp、およびhornetqです。プロトコルを指定しない場合には、全プロトコルが利用できます。

ブローカーが使用するメッセージングプロトコルごとに、OpenShift はブローカー Pod の専用ポートを公開します。さらに、OpenShift は すべてのプロトコル の多重化ポートを自動的に作成します。OpenShift 外のクライアントアプリケーションは、使用するプロトコルでどのプロトコルがサポート対象であるかに拘らず、全プロトコル対応の多重化ポートを常に使用して、ブローカーに接続します。

すべてのプロトコルポートへの接続は、OpenShift が自動作成するサービスおよび作成する SSL ルートを介して行われます。ブローカー Pod 内のヘッドレスサービスは、クライアントが直接アクセスできる、独自のサービスやルートがない、他のプロトコル固有のポートにアクセスできるようにします。

各種 AMQ Broker トランスポートプロトコルに対して OpenShift が公開するポートを以下の表に示します。ブローカーは、OpenShift クラスター内のトラフィックに対する SSL 以外のポートをリッスンします。SSL ベース (*.-ssl.yaml) テンプレートを使用してデプロイメントを作成した場合に、ブローカーは、OpenShift 外部のクライアントからトラフィックを SSL 対応のポートでリッスンします。

以下は、ブローカー Pod での SSL ルート作成時に注意する必要がある点です。