2.3. デバイスの登録
デバイスの管理を開始する前に、デバイスを Red Hat Edge Manager サービスに登録する必要があります。デバイス上で実行される Red Hat Edge Manager エージェントがデバイスの登録を処理します。
エージェントがデバイス上で起動すると、エージェントは /etc/flightctl/config.yaml ファイル内の設定を検索します。このファイルは、以下の設定を定義します。
- 登録エンドポイント。これは、エージェントが登録のために接続する Red Hat Edge Manager サービスです。
- 登録証明書。これは、エージェントが Red Hat Edge Manager サービスからセキュアに登録を要求するためだけに使用する X.509 クライアント証明書および鍵です。
- オプション: 追加のエージェント設定。
エージェントは、設定ファイルで定義されている登録エンドポイントである Red Hat Edge Manager サービスを検索して、登録プロセスを開始します。サービスとのセキュアな mTLS で保護されるネットワーク接続を確立した後、エージェントは登録要求をサービスに送信します。
要求には、デバイスのハードウェアおよびオペレーティングシステムの説明、X.509 証明書署名要求、およびデバイスの暗号化アイデンティティーが含まれます。登録要求は、認可されたユーザーによって承認される必要があります。要求が承認されると、デバイスは Red Hat Edge Manager サービスによって信頼され、管理されます。
2.3.1. 登録方法 リンクのコピーリンクがクリップボードにコピーされました!
以下の方法で、登録エンドポイントと証明書をデバイスにプロビジョニングできます。
- 早期バインディング
- 登録エンドポイントおよび証明書を含むオペレーティングシステムイメージをビルドできます。早期バインディングイメージを使用するデバイスは、プロビジョニングインフラストラクチャーに依存せずに、定義されたサービスに自動的に接続して登録を要求できます。デバイスは、同じ有効期間の長い X.509 クライアント証明書を共有します。ただし、この場合、デバイスは特定のサービスと所有者にバインドされます。
- 遅延バインディング
- 登録エンドポイントと証明書は、オペレーティングシステムイメージに含めるのではなく、プロビジョニング時に定義できます。遅延バインディングイメージを使用するデバイスは、単一の所有者またはサービスにバインドされず、デバイス固有の有効期限の短い X.509 クライアント証明書を持つことができます。ただし、遅延バインディングには、Red Hat Edge Manager サービスからデバイス固有の登録エンドポイントと証明書を要求し、cloud-init、Ignition、キックスタート などのメカニズムを使用してそれらをプロビジョニングされたシステムに注入できる仮想化またはベアメタルプロビジョニングインフラストラクチャーが必要です。
登録証明書は、登録要求を送信するネットワーク接続を保護するためにのみ使用されます。登録証明書は、登録要求の実際の検証または承認に関与しません。登録済みのデバイスでは、デバイス固有の管理証明書が使用されるため、登録証明書は使用されません。