7.2. TLS セキュリティープロファイルの設定

手順

1. 指定されている config.yaml.default ファイルのコピーを /etc/microshift/ ディレクトリーに作成し、名前を config.yaml に変更します。

2. 新しい MicroShift の config.yaml を /etc/microshift/ ディレクトリーに保持します。config.yaml ファイルは、MicroShift サービスが起動するたびに読み取られます。

   注記

   これを作成すると、config.yaml ファイルは組み込み設定よりも優先されます。

3. オプション: 既存の MicroShift YAML を使用している場合は、設定スニペットを使用します。詳細は、関連情報セクションの「設定スニペットの使用」を参照してください。

4. MicroShift YAML の tls セクションのデフォルト値を、有効な値に置き換えます。

   TLS 1.2 設定の例

   apiServer:
   # ...
     tls:
       cipherSuites: 

   1

   
       - <cipher_suite_1> 

   2

   
       - ...
       minVersion: VersionTLS12 

   3

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   設定された minVersion のスイートがデフォルトになります。minVersion が設定されていない場合、デフォルト値は TLS 1.2 になります。

   2

   サポートされている暗号スイートのリストから、使用する暗号スイートを指定します。このリストを設定しない場合は、サポートされているすべての暗号スイートが使用されます。API サーバーに接続するすべてのクライアントは、設定された暗号スイートをサポートする必要があります。そうしないと、TLS ハンドシェイクフェーズ中に接続が失敗します。CA 証明書バンドルを、TLS クライアントまたはサーバーが信頼する CA 証明書のリストに必ず追加してください。

   3

   VersionTLS12 または VersionTLS13 を指定します。

   重要

   最小 TLS バージョンとして TLS 1.3 を選択した場合、デフォルトの MicroShift 暗号スイートのみを使用できます。追加の暗号スイートは設定できません。TLS 1.3 で使用する他の暗号スイートが設定されている場合、それらのスイートは無視され、MicroShift のデフォルトによって上書きされます。

5. 必要なその他の追加設定を完了したら、次のコマンドを実行して MicroShift を再起動します。

   $ sudo systemctl restart microshift

   Copy to Clipboard Toggle word wrap