7.5. シームレスな CA ローテーションの確保
サービスのダウンタイムを回避したり、緊急事態に対処したりするには、シームレスな CA ローテーションを確保することが不可欠です。
手順
- 新しい CA 証明書を作成します。
- 「OpenShift Serverless Operator Serving コンポーネントと Knative Service の信頼設定」セクションの説明に従って、新しい CA 証明書の公開鍵を CA トラストバンドルに追加します。既存の CA の公開鍵を保持します。
- すべてのクライアントが最新の CA トラストバンドルセットを使用したことを確認します。OpenShift Serverless Serving コンポーネントは、変更された CA トラストバンドルを自動的にリロードします。
- トラストバンドルを消費するカスタムワークロードがある場合は、それに応じてリロードまたは再起動します。
-
新しい CA 証明書を含むシークレットを参照するように、
knative-serving-ca-issuerクラスター発行者を更新します。 -
cert-managerがすべての証明書を更新するまで待つか、cert-manager がすべての証明書を更新するように強制します。詳細は、cert-managerのドキュメントを参照してください。 - CA ローテーションが完了したら、トラストバンドル configmap から古い CA の公開鍵を削除できます。すべてのコンポーネントに変更を適用するのに十分な時間を確保してください。
