オリジンエンドポイントからサポート対象のエンドポイントへの移行

クラシッククラスター

以下のいずれかの条件に該当する場合は、必ず対応を行ってください：

• パブリックサービスエンドポイントが有効になっているクラシッククラスターが1つ以上あり、許可リストやファイアウォールを使用してアウトバウンドアクセスを制限しています。
• origin.<region>.containers.cloud.ibm.com のエンドポイントを直接呼び出すカスタムスクリプトやツールをお持ちの場合。

どちらの条件にも該当しない場合は、何もする必要はありません。

ワーカーノードと IBM Cloud Kubernetes Service との接続を維持するには、2026年7月31日までに以下の手順を完了してください。

• IP ベースのファイアウォールルールを使用する場合は、「 ワーカーノードがクラスタマスターと通信できるようにする」 のセクションに記載されている IP アドレスが、ファイアウォールルールに含まれていることを確認してください。

• ドメインベースのファイアウォールルールを使用している場合は、以下のブートストラップドメインを許可リストに追加してください。

• オリジンエンドポイントを直接呼び出すカスタムスクリプトがある場合は、サポートされているAPIエンドポイントに切り替えてください。 詳細については、 「APIについて」 をご覧ください。

始める前に、クラスター内の各ワーカー・ノードのパブリック IP アドレスをメモします。

ibmcloud ks worker ls --cluster <cluster_name_or_ID>

ワーカー・ノードがクラスター・マスターと通信できるようにする

ワーカー・ノードがパブリック・クラウド・サービス・エンドポイントを介してクラスター・マスターと通信できるようにするには、ソース <each_worker_node_publicIP> から宛先 TCP/UDP ポート範囲 30000 から 32767 および ポート 443、および以下の IP アドレスとネットワーク・グループへの発信ネットワーク・トラフィックを許可します。

この表は変化します。 最新の IP リストおよび継続的な更新については、 IBM/kube-samples リポジトリー内のパブリック・ネットワーク分離フォルダーを参照してください。 リポジトリのプルリクエストを監視して、更新情報を確認できます。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• <public_IPs> を、クラスターが配置されているリージョンのパブリック IP アドレスで置き換えます。

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにする

ワーカーノードから IBM Cloud Container Registry へのネットワーク送信トラフィックを許可してください。 詳しくは、 ファイアウォールを介した IBM Cloud Container Registry へのアクセス を参照してください。

ワーカー・ノードから IAM への発信ネットワーク・トラフィックを許可する

ワーカー・ノードから IBM Cloud ID およびアクセス管理 (IAM) への発信ネットワーク・トラフィックを許可します。 IAMドメイン名を許可するには、許可リストをレイヤー7に設定する必要があります。 IAM には、許可できる特定の IP アドレスがありません。 許可リストがレイヤー7に対応していない場合は、ポート443における HTTPS のすべてのネットワークトラフィックを許可することができます。

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

オプション: ワーカー・ノードから Monitoring サービスと IBM Cloud Logs サービスへの発信ネットワーク・トラフィックを許可する

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • <monitoring_public_IP> を Monitoring IP アドレスで置き換えます。

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • <logging_public_IP> を IBM Cloud Logs のIPアドレスに 置き換える。

オプション: マネージド Istio アドオンの着信ネットワーク・トラフィックと発信ネットワーク・トラフィックを許可する

• istio-egressgateway ロード・バランサーからの発信ネットワーク・トラフィックを、次のポートを介して許可します: TCP port 80, port 15443 FROM <each_worker_node_publicIP>
• istiod コントロール・プレーンおよび istio-ingressgateway ロード・バランサーへの着信ネットワーク・トラフィックを、次のポートを介して許可します: TCP port 443, port 853, port 15010, port 15012, port 15014 FROM <each_worker_node_publicIP>

オプション：Ingressサブドメイン監視のための受信ネットワークトラフィックを許可する

Ingressドメインの健全性監視を 使用してサービスエンドポイントの健全性を監視する場合は、監視サービスからのインバウンドアクセスを許可する必要があります。

デフォルトでは、モニタリングヘルスリクエストは HTTPS、ポート443に送信されます。したがって、ポート443をターゲットとする以下のIP範囲からのトラフィックを許可する必要があります。 ヘルスモニターが代わりに HTTP を使用するように設定されている場合、allowlistトラフィックはポート80をターゲットにする必要があります。 さらに、カスタム・ポート（ TCP ）を使用する場合は、そのポートへの着信トラフィックを許可するようにしてください。

詳細については、 IBM NS1 Connect ドキュメントを 参照のこと。

次のステップ

ロード・バランサー・サービスを使用する場合、VRRP プロトコルを使用するすべてのトラフィックが、パブリック・インターフェースおよびプライベート・インターフェースのワーカー・ノード間で許可されていることを確認してください。IBM Cloud Kubernetes Service は、VRRP プロトコルを使用して、パブリック・ロード・バランサーおよびプライベート・ロード・バランサーの IP アドレスを管理します。

ワーカー・ノードがクラスター・マスターと通信できるようにする

ワーカー・ノードがプライベート・クラウド・サービス・エンドポイントを介してクラスター・マスターと通信できるようにするには、ソース <each_worker_node_privateIP> から宛先 TCP/UDP ポート範囲 30000 から 32767 および ポート 443、および以下の IP アドレスとネットワーク・グループへの発信ネットワーク・トラフィックを許可します。

この表は変化します。 最新の IP リストおよび継続的な更新については、 IBM/kube-samples リポジトリー内のプライベート・ネットワーク分離フォルダーを参照してください。 リポジトリのプルリクエストを監視して、更新情報を確認できます。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• <private_IPs> を、クラスターが配置されているリージョンのプライベート IP アドレスで置き換えます。

開いているポート

ワーカー・ノードが正しく機能するように、許可リスト内の以下のポートを開きます。 すべての宛先IPに対して、以下のポートを開いておく必要がある。

• ワーカー・ノードの更新および再ロードを許可するために、ワーカーからポート 80 および 443 へのアウトバウンド TCP および UDP 接続を許可します。
• ボリュームとしてファイル・ストレージのマウントを許可するために、ポート 2049 へのアウトバウンド TCP および UDP を許可します。
• ブロック・ストレージに対する通信用に、ポート 3260 へのアウトバウンド TCP と UDP を許可します。
• Kubernetes ダッシュボードおよび kubectl logs や kubectl exec などのコマンドのために、ポート 10250 へのインバウンド TCP および UDP 接続を許可します。
• DNS アクセスのために、TCP および UDP のポート 53 へのインバウンドおよびアウトバウンドの接続を許可します。

ワーカー間の通信を有効にする

プライベートインターフェース上のワーカーノード間で、 TCP、 UDP、VRRP、およびIPEncapのすべてのトラフィックを許可し、さらにパブリックインターフェース上でもVRRPを許可することで、ワーカー間の通信を有効にします。 IBM Cloud Kubernetes Service は、VRRPプロトコルを使用してロードバランサーのIPアドレスを管理し、IPEncapプロトコルを使用してサブネット間のポッド間トラフィックを許可します。

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにする

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにするには、ワーカー・ノードから IBM Cloud Container Registry リージョンへの発信ネットワーク・トラフィックを許可します。

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• <registry_ip> を、トラフィックを許可するレジストリー IP アドレスに置き換えます。 グローバル・レジストリーには IBM 提供のパブリック・イメージが保管され、リージョン・レジストリーにはユーザー独自のプライベート・イメージまたはパブリック・イメージが保管されます。

永続ボリューム請求を作成する

ワーカー・ノードをプライベート VLAN にしか接続していないクラスターで永続ボリュームの請求を作成するには、そのクラスターが以下のバージョンの Kubernetes または IBM Cloud ストレージ・プラグインを使用してセットアップされたものであることを確認します。 これらのバージョンは、クラスターから永続ストレージ・インスタンスへのプライベート・ネットワークによる通信が可能です。

プライベートネットワーク経由のネットワーク通信に対応していない Kubernetes 版または IBM Cloud ストレージプラグイン版を使用せざるを得ない場合、あるいはHMAC認証なしで IBM Cloud Object Storage を使用したい場合は、 IBM Cloud インフラストラクチャおよび IBM Cloud Identity and Access Management へのアウトバウンドアクセスを、許可リストを通じて許可してください：

• TCP ポート 443 のすべての発信ネットワーク・トラフィックを許可します。
• フロントエンド (パブリック) ネットワークとバックエンド (プライベート) ネットワークの両方について、クラスターがあるゾーンの IBM Cloud インフラストラクチャー IP 範囲へのアクセスを許可します。 クラスターのゾーンを確認するには、ibmcloud ks cluster ls を実行します。

オプション： IBM Cloud Logs、 IBM Cloud Monitoring サービスのallowlistルールを設定する

ロギングデータやメトリクスデータを送信するには、 IBM Cloud Logs および IBM Cloud Monitoring サービスに対して許可リストルールを設定してください。

• IBM Cloud Logs プライベートエンドポイント
• Monitoring プライベート・エンドポイント

コンソールでのサブネット IP アドレスの取得

1. IBM Cloud コンソールリソースリスト から、クラスタをクリックします。
2. 「 ワーカーノード 」をクリックします。
3. クラスター内のワーカー・ノードによって使用される各 パブリック VLAN をメモします。 複数のワーカー・ノードが同じパブリック VLAN を使用する可能性があります。
4. IBM Cloud から をクリックし、 インフラストラクチャ > クラシックインフラストラクチャ > IP管理 > VLAN の順にクリックします。
5. 各パブリックVLANをクリックして、クラスタ内のワーカーノードで使用されているかどうかを確認します。
6. クラスター内のワーカー・ノードによって使用されるパブリック VLAN ごとに、 「サブネット」 セクションを見つけ、表に含まれている各 IP アドレスをメモします。 これらは、許可リストに含める必要がある IP アドレスです。

CLI でのサブネット IP アドレスの取得

1. ワーカー・ノードが使用するパブリック VLAN をリストします。 出力は publicVLAN=<vlan_id> のようにフォーマット設定されます。

   kubectl describe nodes | grep publicVLAN | sort | uniq
   

2. パブリック VLAN ごとに、関連付けられたパブリック・サブネットを見つけます。 出力で、 identifier 列のサブネット IP アドレスをメモします。

   ibmcloud sl subnet list | grep <vlan-id>
   

   ID 2761690 のパブリック VLAN に関連付けられたサブネットの出力例。

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. ワーカー・ノードをリストし、それらのパブリック IP を取得します。 出力では、パブリック IP が 「外部 IP (External-IP)」 列にリストされます。 これらの IP アドレスのうち、前にリストしたサブネットに含まれているものをメモし、それらのサブネット ID をメモします。

4. サブネット ID ごとに、コマンドを実行してサブネットの詳細を取得します。 各出力で、 identifier 列の IP アドレスをメモします。 これは、IAM 許可リストに追加する必要がある IP アドレスです。

   ibmcloud sl subnet detail <subnet_id>
   

   出力例

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107