クラスターでの CA 証明書のローテーション

クラスター内の既存の認証局 (CA) 証明書を取り消して、新しい CA 証明書を発行します。

安全なセットアップを維持するために、CA証明書を定期的にローテーションすることを推奨する。 証明書のローテーションの最も長いステップには、ワーカーノードの再ロードまたは交換が含まれるため、ワーカーノードを更新するたびに CA証明書をローテーションする ことは良い習慣です。

デフォルトでは、認証局 (CA) 証明書は、マスター API サーバーなど、クラスターのさまざまなコンポーネントへのアクセスを保護するために管理されます。 クラスターを使用していると、既存の CA によって発行された証明書を取り消す必要が生じる可能性があります。 例えば、チームの管理者は、証明書署名要求 (CSR) を使用して、クラスター内のワーカー・ノードに対してクラスターの CA によって署名された証明書を手動で生成できます。 管理者が組織を退職した場合は、その管理者によるクラスターへの管理アクセスを確実に排除するために、クラスターの CA と証明書を新規作成し、古い CA と証明書を削除することができます。

1. クラスター用の CA を作成します。 この新しい CA によって署名される証明書がクラスターのマスター・コンポーネントのために発行され、API サーバーがリフレッシュされます。

   ibmcloud ks cluster ca create -c CLUSTER
   

2. クラスターのマスター・ヘルスが正常であること、API サーバーのリフレッシュが完了したこと、およびマスターの更新が完了したことを確認します。 マスター API サーバーのリフレッシュに数分かかる場合があります。

   ibmcloud ks cluster get --cluster CLUSTER
   

3. CA 作成の状況を確認します。 出力の**「Action Completed」**フィールドのタイム・スタンプをメモします。 各ステータスの説明については、 証明書のステータスとタイムスタンプを 参照のこと。

   ibmcloud ks cluster ca status -c CLUSTER
   

   出力例

   Status:             CA certificate created. Reload your worker nodes then begin the CA certificate rotation.
   Action Started:     2024-08-30T16:17:56+0000
   Action Completed:   2024-08-30T16:21:13+0000
   

4. クラスターの kubeconfig ファイルに入っている、更新された Kubernetes 構成データおよび証明書をダウンロードします。

   ibmcloud ks cluster config -c CLUSTER --admin --network
   

5. 新しい証明書のタイムスタンプが、手順 3 で確認したタイムスタンプよりも新しいことを確認してください。 証明書の日付を確認するには、次のようなツールを使用できます。 KeyCDN などのツールを使用できます。

6. 以前の証明書に依存しているツールや Webhook を更新する。 例えば、以下の1つ以上を更新する必要があるかもしれない。

   • クラスタの kubeconfig ファイルにある証明書を、 Jenkins のような独自のサービスで使用する場合。
   • Calico ネットワーク・ポリシーの管理に calicoctl を使用している場合は、新しい証明書を使用するようにサービスと自動化を更新する。
   • 監査ログを IBM Cloud Logs に転送する場合は、 マスター監査ウェブフックの 証明書を更新してください。
   • 監査ログをプライベートネットワーク経由で転送する場合は、 マスター監査Webhookの 証明書を更新します。

7. 新しい CA の署名が付いた証明書を反映するために、クラシック・ワーカー・ノードの再ロードまたは VPC ワーカー・ノードの置換を実行します。

8. 古い証明書から新しい証明書にローテーションします。 クラスターの古い CA 証明書は削除されます。

   ibmcloud ks cluster ca rotate -c CLUSTER
   

9. CA 証明書のローテーションの状況を確認します。

   ibmcloud ks cluster ca status -c CLUSTER
   

   出力例

   Status:             CA certificate rotation complete.
   Action Started:     2024-08-30T16:37:56+0000
   Action Completed:   2024-08-30T16:41:13+0000
   

10. クライアントによっては、証明書バンドル内の期限切れCA証明書を許可しない場合があるため、クラスタの kubeconfig ファイルに更新された Kubernetes 構成と証明書をダウンロードしてください。

    ibmcloud ks cluster config -c CLUSTER --admin --network
    

11. 前の証明書に依存している、すべてのツールを更新します。 Travis や Jenkins といった独自のサービスでクラスターの kubeconfig ファイルからの証明書を使用している場合や、Calico ネットワーク・ポリシーを管理するために calicoctl を使用している場合は、新しい証明書が使用されるように、ご使用のサービスおよび自動化機能を更新してください。