Red Hat Quay のセキュリティー保護

手順

1. 証明書ファイルとプライマリーキーファイルを設定ディレクトリーにコピーして、それぞれ ssl.cert と ssl.key という名前が付けられていることを確認します。

   cp ~/ssl.cert ~/ssl.key /path/to/configuration_directory

2. 次のコマンドを入力して、設定ディレクトリーに移動します。

   $ cd /path/to/configuration_directory

3. config.yaml ファイルを編集し、Red Hat Quay で SSL/TLS を処理するように指定します。

   config.yaml ファイルの例

   # ...
   SERVER_HOSTNAME: <quay-server.example.com>
   ...
   PREFERRED_URL_SCHEME: https
   # ...

4. オプション: 次のコマンドを入力して、rootCA.pem ファイルの内容を ssl.cert ファイルの末尾に追加します。

   $ cat rootCA.pem >> ssl.cert

5. 次のコマンドを入力して、Quay コンテナーを停止します。

   $ sudo podman stop <quay_container_name>

6. 次のコマンドを入力してレジストリーを再起動します。

   $ sudo podman run -d --rm -p 80:8080 -p 443:8443 \
     --name=quay \
     -v $QUAY/config:/conf/stack:Z \
     -v $QUAY/storage:/datastorage:Z \
     registry.redhat.io/quay/quay-rhel8:v3.14.5

手順

1. ルート CA ファイルを /etc/containers/certs.d/ または /etc/docker/certs.d/ のいずれかにコピーします。サーバーのホスト名によって決定される正確なパスを使用し、ファイルに ca.crt という名前を付けます。

   $ sudo cp rootCA.pem /etc/containers/certs.d/quay-server.example.com/ca.crt

2. Red Hat Quay レジストリーにログインするときに --tls-verify=false オプションを使用する必要がなくなったことを確認します。

   $ sudo podman login quay-server.example.com

   出力例

   Login Succeeded!

手順

1. 次のコマンドを入力して、rootCA.pem ファイルをシステム全体の統合トラストストアにコピーします。

   $ sudo cp rootCA.pem /etc/pki/ca-trust/source/anchors/

2. 次のコマンドを入力して、システム全体のトラストストア設定を更新します。

   $ sudo update-ca-trust extract

3. オプション: trust list コマンドを使用して、Quay サーバーが設定されていることを確認できます。

   $ trust list | grep quay
       label: quay-server.example.com

   https://quay-server.example.com でレジストリーを参照すると、接続が安全であることを示すロックアイコンが表示されます。

   

4. rootCA.pem ファイルをシステム全体の信頼から削除するには、ファイルを削除して設定を更新します。

   $ sudo rm /etc/pki/ca-trust/source/anchors/rootCA.pem

   $ sudo update-ca-trust extract

   $ trust list | grep quay

手順

1. 新しい YAML ファイル (例: custom-ssl-config-bundle-secret.yaml) を作成します。

   $ touch custom-ssl-config-bundle-secret.yaml

2. custom-ssl-config-bundle-secret リソースを作成します。

   1. 次のコマンドを入力してリソースを作成します。

      $ oc -n <namespace> create secret generic custom-ssl-config-bundle-secret \
        --from-file=config.yaml=</path/to/config.yaml> \ 

      1

      
        --from-file=ssl.cert=</path/to/ssl.cert> \ 

      2

      
        --from-file=extra_ca_cert_<name-of-certificate>.crt=ca-certificate-bundle.crt
       \ 

      3

      
        --from-file=ssl.key=</path/to/ssl.key> \ 

      4

      
        --dry-run=client -o yaml > custom-ssl-config-bundle-secret.yaml

      1

      <config.yaml> は base64 でデコード された config.yaml ファイルです。

      2

      <ssl.cert> は ssl.cert ファイルです。

      3

      オプション: --from-file=extra_ca_cert_<name-of-certificate>.crt=ca-certificate-bundle.crt フィールドにより、Red Hat Quay はカスタム認証局 (CA) ファイルを認識できるようになります。LDAP、OIDC、またはカスタム CA を使用する別のサービスを使用している場合は、extra_ca_cert パスを介してそれらを追加する必要があります。詳細は、「Red Hat Quay on OpenShift Container Platform への認証局のさらなる追加」を参照してください。

      4

      <ssl.key> は ssl.key ファイルです。

3. オプション: 次のコマンドを入力して、custom-ssl-config-bundle-secret.yaml ファイルの内容を確認できます。

   $ cat custom-ssl-config-bundle-secret.yaml

   出力例

   apiVersion: v1
   data:
     config.yaml: QUxMT1dfUFVMTFNfV0lUSE9VVF9TVFJJQ1RfTE9HR0lORzogZmFsc2UKQVVUSEVOVElDQVRJT05fVFlQRTogRGF0YWJhc2UKREVGQVVMVF9UQUdfRVhQSVJBVElPTjogMncKRElTVFJJQlVURURfU1R...
     ssl.cert: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUVYakNDQTBhZ0F3SUJBZ0lVTUFBRk1YVWlWVHNoMGxNTWI3U1l0eFV5eTJjd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2dZZ3hDekFKQmdOVkJBWVR...
     extra_ca_cert_<name-of-certificate>:LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUVYakNDQTBhZ0F3SUJBZ0lVTUFBRk1YVWlWVHNoMGxNTWI3U1l0eFV5eTJjd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2dZZ3hDe...
     ssl.key: LS0tLS1CRUdJTiBQUklWQVRFIEtFWS0tLS0tCk1JSUV2UUlCQURBTkJna3Foa2lHOXcwQkFRRUZBQVNDQktjd2dnU2pBZ0VBQW9JQkFRQ2c0VWxZOVV1SVJPY1oKcFhpZk9MVEdqaS9neUxQMlpiMXQ...
   kind: Secret
   metadata:
     creationTimestamp: null
     name: custom-ssl-config-bundle-secret
     namespace: <namespace>

4. 次のコマンドを入力して、configBundleSecret リソースを作成します。

   $ oc create -n <namespace> -f custom-ssl-config-bundle-secret.yaml

   出力例

   secret/custom-ssl-config-bundle-secret created

5. 次のコマンドを入力して、QuayRegistry YAML ファイルを更新して、custom-ssl-config-bundle-secret オブジェクトを参照します。

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"custom-ssl-config-bundle-secret"}}'

   出力例

   quayregistry.quay.redhat.com/example-registry patched

6. 次のコマンドを入力して、QuayRegistry YAML の tls コンポーネントを False に設定します。

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"components":[{"kind":"tls","managed":false}]}}'

   出力例

   quayregistry.quay.redhat.com/example-registry patched

7. 次のコマンドを入力して、QuayRegistry YAML ファイルが更新されてカスタム SSL configBundleSecret リソースが使用されるようになり、および tls リソースが False に設定されていることを確認します。

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml

   出力例

   # ...
     configBundleSecret: custom-ssl-config-bundle-secret
   # ...
   spec:
     components:
     - kind: tls
       managed: false
   # ...

手順

1. 次のコマンドを入力して、QuayRegistry リソースを記述します。

   $ oc describe quayregistry -n <quay_namespace>

   # ...
     Config Bundle Secret:  example-registry-config-bundle-v123x
   # ...

2. 次のコマンドを入力してシークレットデータを取得します。

   $ oc get secret -n <quay_namespace> <example-registry-config-bundle-v123x> -o jsonpath='{.data}'

   出力例

   {
       "config.yaml": "RkVBVFVSRV9VU0 ... MDAwMAo="
   }

3. >> config.yaml フラグを渡して、データをカレントディレクトリーの YAML ファイルにデコードします。以下に例を示します。

   $ echo 'RkVBVFVSRV9VU0 ... MDAwMAo=' | base64 --decode >> config.yaml

4. config.yaml ファイルに必要な変更を加え、ファイルを config.yaml として保存します。

5. 次のコマンドを入力して、新しい configBundleSecret YAML を作成します。

   $ touch <new_configBundleSecret_name>.yaml

6. 次のコマンドを入力し、config.yaml ファイルを渡して新しい configBundleSecret リソースを作成します。

   $ oc -n <namespace> create secret generic <secret_name> \
     --from-file=config.yaml=</path/to/config.yaml> \ 

   1

   
     --dry-run=client -o yaml > <new_configBundleSecret_name>.yaml

   1

   <config.yaml> は base64 でデコード された config.yaml ファイルです。

7. 次のコマンドを入力して、configBundleSecret リソースを作成します。

   $ oc create -n <namespace> -f <new_configBundleSecret_name>.yaml

   出力例

   secret/config-bundle created

8. 次のコマンドを入力して、新しい configBundleSecret オブジェクトを参照するように QuayRegistry YAML ファイルを更新します。

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"<new_configBundleSecret_name>"}}'

   出力例

   quayregistry.quay.redhat.com/example-registry patched

検証

1. QuayRegistry CR が新しい configBundleSecret で更新されていることを確認します。

   $ oc describe quayregistry -n <quay_namespace>

   出力例

   # ...
     Config Bundle Secret: <new_configBundleSecret_name>
   # ...

   レジストリーにパッチを適用すると、Red Hat Quay Operator が自動的に変更を調整します。

手順

1. 新しい YAML ファイル (例: extra-ca-certificate-config-bundle-secret.yaml) を作成します。

   $ touch extra-ca-certificate-config-bundle-secret.yaml

2. extra-ca-certificate-config-bundle-secret リソースを作成します。

   1. 次のコマンドを入力してリソースを作成します。

      $ oc -n <namespace> create secret generic extra-ca-certificate-config-bundle-secret \
        --from-file=config.yaml=</path/to/config.yaml> \ 

      1

      
        --from-file=extra_ca_cert_<name-of-certificate-one>=<path/to/certificate_one> \ 

      2

      
        --from-file=extra_ca_cert_<name-of-certificate-two>=<path/to/certificate_two> \ 

      3

      
        --from-file=extra_ca_cert_<name-of-certificate-three>=<path/to/certificate_three> \ 

      4

      
        --dry-run=client -o yaml > extra-ca-certificate-config-bundle-secret.yaml

      1

      <config.yaml> は base64 でデコード された config.yaml ファイルです。

      2

      システムトラストバンドルに余分に追加される CA ファイル。

      3

      オプション: システムトラストバンドルに追加される 2 番目の CA ファイル。

      4

      オプション: システムトラストバンドルに追加される 3 番目の CA ファイル。

3. オプション: 次のコマンドを入力すると、extra-ca-certificate-config-bundle-secret.yaml ファイルの内容を確認できます。

   $ cat extra-ca-certificate-config-bundle-secret.yaml

   出力例

   apiVersion: v1
   data:
     config.yaml: QUxMT1dfUFVMTFNfV0lUSE9VVF9TVFJJQ1RfTE9HR0lORzogZmFsc2UKQVVUSEVOVElDQVRJT05fVFlQRTogRGF0YWJhc2UKREVGQVVMVF9UQUdfRVhQSVJBVElPTjogMncKUFJFRkVSU...
     extra_ca_cert_certificate-one: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUQyVENDQXNHZ0F3SUJBZ0lVS2xOai90VUJBZHBkNURjYkdRQUo4anRuKzd3d0RRWUpLb1pJaHZjTkFRRUwKQlFBd2ZERUxNQWtHQ...
     extra_ca_cert_certificate-three: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUQ0ekNDQXN1Z0F3SUJBZ0lVQmJpTXNUeExjM0s4ODNWby9GTThsWXlOS2lFd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2ZERUxNQWtHQ...
     extra_ca_cert_certificate-two: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0tLS0tCk1JSUQ0ekNDQXN1Z0F3SUJBZ0lVVFVPTXZ2YVdFOFRYV3djYTNoWlBCTnV2QjYwd0RRWUpLb1pJaHZjTkFRRUwKQlFBd2ZERUxNQWtHQ...
   kind: Secret
   metadata:
     creationTimestamp: null
     name: custom-ssl-config-bundle-secret
     namespace: <namespace>

4. 次のコマンドを入力して、configBundleSecret リソースを作成します。

   $ oc create -n <namespace> -f extra-ca-certificate-config-bundle-secret.yaml

   出力例

   secret/extra-ca-certificate-config-bundle-secret created

5. 次のコマンドを入力して、QuayRegistry YAML ファイルを更新し、extra-ca-certificate-config-bundle-secret オブジェクトを参照します。

   $ oc patch quayregistry <registry_name> -n <namespace> --type=merge -p '{"spec":{"configBundleSecret":"extra-ca-certificate-config-bundle-secret"}}'

   出力例

   quayregistry.quay.redhat.com/example-registry patched

6. 次のコマンドを入力して、QuayRegistry YAML ファイルが更新され、追加の CA 証明書 configBundleSecret リソースが使用されるようにします。

   $ oc get quayregistry <registry_name> -n <namespace> -o yaml

   出力例

   # ...
     configBundleSecret: extra-ca-certificate-config-bundle-secret
   # ...