4.8. ネットワークの設定

手順

1. OpenShift Dev Spaces のプロジェクトを作成します。

   $ oc create project openshift-devspaces

   Copy to Clipboard Toggle word wrap

2. TLS Secret を作成します。

   $ oc create secret tls <tls_secret_name> \ 

   1

   
   --key <key_file> \ 

   2

   
   --cert <cert_file> \ 

   3

   
   -n openshift-devspaces

   Copy to Clipboard Toggle word wrap

   1

   TLS Secret 名

   2

   プライベートキーを含むファイル

   3

   証明書を含むファイル

3. シークレットに必要なラベルを追加します。

   $ oc label secret <tls_secret_name> \ 

   1

   
   app.kubernetes.io/part-of=che.eclipse.org -n openshift-devspaces

   Copy to Clipboard Toggle word wrap

   1

   TLS Secret 名

4. CheCluster カスタムリソースを設定します。「CLI を使用して CheCluster カスタムリソースの設定」 を参照してください。

   spec:
     networking:
       hostname: <hostname>     

   1

   
       tlsSecretName: <secret>  

   2

   Copy to Clipboard Toggle word wrap

   1

   カスタム Red Hat OpenShift Dev Spaces サーバーのホスト名

   2

   TLS Secret 名

5. OpenShift Dev Spaces がすでにデプロイされている場合は、すべての OpenShift Dev Spaces コンポーネントのロールアウトが完了するまで待ちます。

手順

1. インポートするすべての CA チェーン PEM ファイルを custom-ca-certificates.pem ファイルに連結し、Java トラストストアと互換性のない戻り文字を削除します。

   $ cat ca-cert-for-devspaces-*.pem | tr -d '\r' > custom-ca-certificates.pem

   Copy to Clipboard Toggle word wrap

2. 必要な TLS 証明書を使用して custom-ca-certificates ConfigMap を作成します。

   $ oc create configmap custom-ca-certificates \
       --from-file=custom-ca-certificates.pem \
       --namespace=openshift-devspaces

   Copy to Clipboard Toggle word wrap

3. custom-ca-certificates ConfigMap にラベルを付けます。

   $ oc label configmap custom-ca-certificates \
       app.kubernetes.io/component=ca-bundle \
       app.kubernetes.io/part-of=che.eclipse.org \
       --namespace=openshift-devspaces

   Copy to Clipboard Toggle word wrap
4. 以前にデプロイされていない場合は、OpenShift Dev Spaces をデプロイします。それ以外の場合は、OpenShift Dev Spaces コンポーネントのロールアウトが完了するまで待ちます。
5. 変更を有効にするには、実行中のワークスペースを再起動します。

検証手順

1. ConfigMap にカスタム CA 証明書が含まれていることを確認します。このコマンドは、CA バンドル証明書を PEM 形式で返します。

   oc get configmap \
       --namespace=openshift-devspaces \
       --output='jsonpath={.items[0:].data.custom-ca-certificates\.pem}' \
       --selector=app.kubernetes.io/component=ca-bundle,app.kubernetes.io/part-of=che.eclipse.org

   Copy to Clipboard Toggle word wrap

2. OpenShift Dev Spaces サーバーログで、インポートされた証明書の数が null でないことを確認します。

   oc logs deploy/devspaces --namespace=openshift-devspaces \
       | grep tls-ca-bundle.pem

   Copy to Clipboard Toggle word wrap
3. ワークスペースを起動し、ワークスペースが作成されたプロジェクト名 (<workspace_namespace>) を取得し、ワークスペースが起動するまで待機します。

4. ca-certs-merged ConfigMap にカスタム CA 証明書が含まれていることを確認します。このコマンドは、OpenShift Dev Spaces CA バンドル証明書を PEM 形式で返します。

   oc get configmap che-trusted-ca-certs \
       --namespace=<workspace_namespace> \
       --output='jsonpath={.data.tls-ca-bundle\.pem}'

   Copy to Clipboard Toggle word wrap

5. ワークスペース Pod が ca-certs-merged ConfigMap をマウントすることを確認します。

   oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].spec.volumes[0:].configMap.name}' \
       | grep ca-certs-merged

   Copy to Clipboard Toggle word wrap

6. ワークスペース Pod 名 <workspace_pod_name> を取得します。

   oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].metadata.name}' \

   Copy to Clipboard Toggle word wrap

7. ワークスペースコンテナーにカスタム CA 証明書があることを確認します。このコマンドは、OpenShift Dev Spaces CA バンドル証明書を PEM 形式で返します。

   oc exec <workspace_pod_name> \
       --namespace=<workspace_namespace> \
       -- cat /etc/pki/ca-trust/extracted/pem/tls-ca-bundle.pem

   Copy to Clipboard Toggle word wrap

手順

1. ワークスペースエンドポイントのベースドメインを設定します。

   oc patch checluster/devspaces \
       --namespace openshift-devspaces \
       --type='merge' -p \
   '{"spec":
       {"components":
           {"cheServer":
               {"extraProperties":
                   {"CHE_INFRA_OPENSHIFT_ROUTE_HOST_DOMAIN__SUFFIX": "my-devspaces.example.com"}}}}}'

   Copy to Clipboard Toggle word wrap

手順

1. (オプション) プロキシーサーバーのユーザー名とパスワードを含むシークレットを openshift-devspaces namespace に作成します。シークレットには app.kubernetes.io/part-of=che.eclipse.org ラベルが必要です。プロキシーサーバーが認証を要求しない場合は、このステップをスキップします。

   oc apply -f - <<EOF
   kind: Secret
   apiVersion: v1
   metadata:
     name: devspaces-proxy-credentials
     namespace: openshift-devspaces
     labels:
       app.kubernetes.io/part-of: che.eclipse.org
   type: Opaque
   stringData:
     user: <user>          

   1

   
     password: <password>  

   2

   
   EOF

   Copy to Clipboard Toggle word wrap

   1

   プロキシーサーバーのユーザー名。

   2

   プロキシーサーバーのパスワード。

2. CheCluster カスタムリソースで次のプロパティーを設定して、プロキシーを設定するか、OpenShift クラスターのクラスター全体のプロキシー設定をオーバーライドします。

   oc patch checluster/devspaces \
       --namespace openshift-devspaces \
       --type='merge' -p \
   '{"spec":
       {"components":
           {"cheServer":
               {"proxy":
                   {"credentialsSecretName" : "<secretName>",                      

   1

   
                    "nonProxyHosts"         : ["<host_1>"],                        

   2

   
                    "port"                  : "<port>",                            

   3

   
                    "url"                   : "<protocol>://<domain>"}}}}}'    

   4

   Copy to Clipboard Toggle word wrap

   1

   前のステップで作成した認証情報シークレットの名前。

   2

   プロキシーを使用せずに直接アクセスできるホストのリスト。ワイルドカードドメインを指定するには、.<DOMAIN> という形式を使用します。OpenShift Dev Spaces Operator により、.svc および Kubernetes サービスのホストが、非プロキシーホストのリストに自動的に追加されます。OpenShift では、OpenShift Dev Spaces Operator がクラスター全体のプロキシー設定の非プロキシーホストリストをカスタムリソースと組み合わせます。

   重要

   プロキシー設定によっては、localhost が 127.0.0.1 に変換されないことがあります。その場合、localhost と 127.0.0.1 の両方を指定する必要があります。

   プロキシーサーバーのポート。

   プロキシーサーバーのプロトコルとドメイン。

検証手順

1. ワークスペースを起動します。
2. ワークスペース Pod に HTTP_PROXY、HTTPS_PROXY、http_proxy、および https_proxy 環境変数が含まれており、それぞれに <protocol>://<user>:<password@<domain>:<port> が設定されていることを確認します。
3. ワークスペース Pod に NO_PROXY および no_proxy 環境変数が含まれており、それぞれに非プロキシーホストのコンマ区切りリストが設定されていることを確認します。