8.5. OpenShift AI コンポーネントでの自己署名証明書の使用

手順

1. ターミナルウィンドウで、次の例に示すように OpenShift CLI にログインします。

   oc login api.<cluster_name>.<cluster_domain>:6443 --web

   Copy to Clipboard Toggle word wrap

2. 現在の OpenShift AI の信頼済み CA 設定を取得し、新しいファイルに保存します。

   oc get dscinitializations.dscinitialization.opendatahub.io default-dsci -o json | jq -r '.spec.trustedCABundle.customCABundle' > /tmp/my-custom-ca-bundles.crt

   Copy to Clipboard Toggle word wrap

3. クラスターの kube-root-ca.crt ConfigMap を、OpenShift AI の信頼された CA 設定に追加します。

   oc get configmap kube-root-ca.crt -o jsonpath="{['data']['ca\.crt']}" >> /tmp/my-custom-ca-bundles.crt

   Copy to Clipboard Toggle word wrap

4. kube-root-ca.crt 内の認証局が発行した証明書を信頼するように、OpenShift AI の信頼された CA 設定を更新します。

   oc patch dscinitialization default-dsci --type='json' -p='[{"op":"replace","path":"/spec/trustedCABundle/customCABundle","value":"'"$(awk '{printf "%s\\n", $0}' /tmp/my-custom-ca-bundles.crt)"'"}]'

   Copy to Clipboard Toggle word wrap

手順

1. OpenShift コンソールにログインします。

2. Workloads ConfigMaps から、ターゲットデータサイエンスパイプラインと同じデータサイエンスプロジェクトに必要なバンドルを含む ConfigMap を作成します。

   kind: ConfigMap
   apiVersion: v1
   metadata:
       name: custom-ca-bundle
   data:
       ca-bundle.crt: |
       # contents of ca-bundle.crt

   Copy to Clipboard Toggle word wrap

3. 次のスニペットを、基盤となるデータサイエンスパイプラインアプリケーション (DSPA) の .spec.apiserver.caBundle フィールドに追加します。

   apiVersion: datasciencepipelinesapplications.opendatahub.io/v1
   kind: DataSciencePipelinesApplication
   metadata:
       name: data-science-dspa
   spec:
       ...
       apiServer:
       ...
       cABundle:
           configMapName: custom-ca-bundle
           configMapKey: ca-bundle.crt

   Copy to Clipboard Toggle word wrap
4. ConfigMap を保存します。パイプラインサーバー Pod は、更新されたバンドルを使用して自動的に再デプロイされます。

1. OpenShift コンソールにログインします。
2. 対象のデータサイエンスパイプラインがあるデータサイエンスプロジェクトに移動します。
3. Pods タブをクリックします。
4. ds-pipeline-dspa-<hash> の接頭辞を持つパイプラインサーバー Pod をクリックします。
5. Terminal をクリックします。
6. cat/dsp-custom-certs/dsp-ca.crt と入力します。
7. CA バンドルがこのファイル内に存在することを確認します。

手順

1. OpenShift コンソールにログインします。
2. プロジェクトのリストから、openshift-ingress プロジェクトを開きます。
3. YAML をクリックします。
4. "cert" を検索して、名前に "cert" が含まれるシークレットを見つけます。たとえば、rhods-internal-primary-cert-bundle-secret などです。シークレットの内容には、すべての OpenShift ルートに使用される 2 つの項目、tls.cert (証明書) と tls.key (キー) が含まれている必要があります。
5. シークレットへの参照をコピーします。
6. プロジェクトリストから、istio-system プロジェクトを開きます。
7. YAML ファイルを作成し、openshift-ingress YAML ファイルからコピーしたシークレットへの参照を貼り付けます。

8. 次の例に示すように、関連する内容のみを保持するように YAML コードを編集します。rhods-internal-primary-cert-bundle-secret は、シークレットの名前に置き換えます。

   kind: Secret
   apiVersion: v1
   metadata:
   name: rhods-internal-primary-cert-bundle-secret
   data:
   tls.crt: >-
       LS0tLS1CRUd...
   tls.key: >-
       LS0tLS1CRUd...
   type: kubernetes.io/tls

   Copy to Clipboard Toggle word wrap
9. YAML ファイルを istio-system プロジェクトに保存します。
10. Operators Installed Operators Red Hat OpenShift AI に移動します。
11. Data Science Cluster* をクリックし、default-dsc YAML をクリックします。

12. 次の例に示すように、シークレットを参照するように kserve 設定セクションを編集します。rhods-internal-primary-cert-bundle-secret は、手順 8 で作成したシークレットの名前に置き換えます。

    kserve:
    devFlags: {}
    managementState: Managed
    serving:
        ingressGateway:
        certificate:
            secretName: rhods-internal-primary-cert-bundle-secret
            type: Provided
        managementState: Managed
        name: knative-serving

    Copy to Clipboard Toggle word wrap