7.2. エンドポイントトラフィック暗号化のカスタム証明書
Data Virtualization は TLS 証明書を使用して、JDBC と ODBC データベースクライアントと仮想データベースサービス間のネットワークトラフィックを暗号化します。独自のカスタム証明書を指定するか、OpenShift 認証局が生成するサービス証明書を使用できます。カスタム TLS 証明書を指定しない場合、Data Virtualization Operator はサービス証明書を自動的に生成します。
サービス証明書は、内部および外部クライアントの暗号化された通信によく似ています。ただし、内部クライアント（つまり、同じ OpenShift クラスターにデプロイされるクライアント）のみがサービス証明書の信頼性を検証できます。
OpenShift サービス証明書には以下の特徴があります。
-
PEM base-64 でエンコードされた形式のパブリックキー証明書(
tls.crt)およびプライベートキー(tls.key)で構成されます。 - OpenShift Pod の暗号化シークレットに保存されます。
- OpenShift CA によって署名されます。
- 1 年間有効です。
- 有効期限前に自動的に置換されます。
- 内部クライアントのみが検証できます。
外部クライアントは、OpenShift 認証局が生成する証明書の有効性を認識しません。外部クライアントが証明書を検証できるようにするには、信頼できるサードパーティーの認証局(CA)からのカスタム証明書を指定する必要があります。このような証明書は汎用的に認識され、どのクライアントでも検証できます。カスタム証明書を仮想データベースに追加するには、Data Virtualization Operator を実行してサービスを作成する前に、OpenShift にデプロイする暗号化シークレットに証明書に関する情報を指定します。
暗号化シークレットを OpenShift にデプロイすると、仮想データベースの作成時に Data Virtualization Operator で利用可能になります。Operator は CR の仮想データベースの名前に一致する名前でシークレットを検出し、指定された証明書を使用してデータベースクライアントとの接続を暗号化するようにサービスを自動的に設定します。
