11.7. シームレスな CA ローテーションの確保

サービスのダウンタイムを回避したり、緊急事態に対処したりするには、シームレスな CA ローテーションを確保することが不可欠です。

前提条件

OpenShift Container Platform に対するクラスター管理者権限があるか、Red Hat OpenShift Service on AWS または OpenShift Dedicated に対するクラスターまたは専用管理者権限がある。
OpenShift Serverless Operator がインストールされている。
cert-manager Operator for Red Hat OpenShift がインストールされている。
OpenShift (oc) CLI がインストールされている。

手順

CA 証明書を作成します。
新しい CA 証明書の公開鍵を CA トラストバンドルに追加します。
既存の CA の公開鍵も必ず保持してください。
すべてのクライアントが最新の CA トラストバンドルを使用するようにします。
Knative Eventing コンポーネントは、更新された CA トラストバンドルを自動的に再読み込みします。トラストバンドルを使用するカスタムワークロードの場合は、必要に応じてリロードまたは再起動します。
ステップ 1 で作成した CA 証明書を含むシークレットを参照するように knative-eventing-ca-issuer ClusterIssuer を更新します。
cert-manager にknative-eventing namespace 内の証明書を強制的に更新します。
cert-manager の詳細は、Reissuance triggered by user actions を参照してください。
CA ローテーションが完全に完了したらすぐに、トラストバンドル config map から古い CA の公開鍵を削除します。