仮想プライベートエンドポイントゲートウェイを介したVPCクラスターへのアクセス
各VPCクラスターに対して、 仮想プライベートエンドポイント（VPE）ゲートウェイが 自動的に作成されます。 認証済みのユーザーが、 VPC VPNなどを 通じて同じVPCネットワークに接続している場合、このエンドポイント経由でクラスターマスターにアクセスできます。
バージョン 4.13: クラスタの作成時にプライベートクラウドサービスのエンドポイントのみを有効にした場合、Webコンソールや OperatorHub などの Red Hat OpenShift コンポーネントへのアクセスには、デフォルトで VPC の VPE が使用されます。 これらのコンポーネントにアクセスするには、プライベートVPCネットワークに接続されている必要があります。
開始前に
- 必要なCLIツールをインストールしてください。
- VPC への クライアント間 または サイト間 VPN を設定し、接続してください。
VPEゲートウェイを経由してVPCクラスターにアクセスする
-
VPEエンドポイントを使用して、クラスタコンテキストを設定します。
ibmcloud oc cluster config -c CLUSTER_NAME_OR_ID --endpoint vpe -
以下のいずれかの方法でクラスタにログインしてください。
- 管理者として ：
ibmcloud oc cluster config -c CLUSTER_NAME_OR_ID --admin --endpoint vpe - API キーを使用する場合 ：「 自動化ツールからのクラスターへのアクセス 」を参照してください。
- パスコードを設定する場合 ：
oc login -u passcode -p <iam_passcode> --server=https://<VPE_URL>:<port>
- 管理者として ：
-
アクセス権限を確認してください。
oc version
他のVPCやアカウントにVPEゲートウェイを追加で作成する
VPC 内のクラスター用に作成される VPE ゲートウェイに加え、そのクラスターに対して追加の VPE ゲートウェイを作成することで、他の VPC、リージョン、 アカウントプライベートネットワーク経由でアクセスできるようにすることができます。
-
追加のVPEゲートウェイは、CLIまたはAPIを使用して作成する必要があります。 作成後は、Web UI で管理することができます。
-
アカウント ゲートウェイを利用するには、まず対象アカウントで承認を作成する必要があります。 詳細については、 コンソールでのアカウント VPEのサービス認証の作成 をご覧ください。
-
Transit Gatewayや特別なルーティング設定は必要ありません。 VPEゲートウェイは、ターゲットクラスターへのルーティングを処理します。
以下の手順では、 アカウント VPEゲートウェイを作成する方法について説明します。
-
対象クラスターから必要な情報を取得します。
-
ibmcloud targetを、対象のアカウント、リージョン、およびリソースグループに設定します。 -
既存のVPEゲートウェイ情報を取得します。
ibmcloud is endpoint-gateway iks-TARGET_CLUSTER_ID ``` 1. **宛先CRN** （形式： `crn:v1:bluemix:public:containers-kubernetes:REGION:a/TARGET_ACCOUNT:TARGET_CLUSTER_ID::` ）に注意してください。 1. **サービスエンドポイント**のホスト名に注意してください。 -
-
ソースアカウントに新しいVPEゲートウェイを作成します。
-
ibmcloud targetに、ソースアカウント、リージョン、およびリソースグループを設定します。 -
このアカウントにVPCが存在することを確認してください。
ibmcloud is vpcs ``` 1. VPEゲートウェイを作成します。 ```sh {: pre} ibmcloud is endpoint-gateway-create --vpc SOURCE_VPC_NAME --target TARGET_CRN --name new-iks-TARGET_CLUSTER_ID --resource-group-name SOURCE_ACCOUNT_RESOURCE_GROUP ``` `SOURCE_VPC_NAME` : 前の手順で指定したVPC名。 `TARGET_CRN` : ターゲットクラスタのVPEゲートウェイからのCRN。 `--name` : VPEゲートウェイの名前。 `SOURCE_ACCOUNT_RESOURCE_GROUP` : ソースアカウントにおけるリソースグループ名。 1. 「 `Could not find service` 」というエラーが表示された場合は、ターゲットのCRNが正しいか確認してください。 それが正しい場合は、対象アカウントで承認設定を行う必要があります。 [コンソールでのアカウント VPEのサービス認証の作成](/docs/vpc?topic=vpc-ordering-cross-account-endpoint-gateway&interface=ui#cross-account-vpe-prerequisite-console) を参照してください。 -
-
VPEゲートウェイに予約済みIPアドレスを追加してください。
少なくとも1つの予約済みIPアドレスを追加する必要があります。 予約済みIPアドレスは、ソースVPCのサブネットから割り当てられ（ゾーンごとに最大1つ）、ソースVPCのプライベートDNSエントリに追加されます。
- 各ゾーンごとに予約済みIPアドレスを作成します。
ibmcloud is subnet-reserved-ip-create SOURCE_VPC_SUBNET_NAME --vpc SOURCE_VPC_NAME --name ANY_NAME_YOU_CHOOSE --auto-delete true --target VPE_GATEWAY_NAME ``` 1. オプション：セキュリティグループを追加または変更します。 デフォルトでは、ソースVPCのデフォルトのセキュリティグループのみがアタッチされます。 VPEゲートウェイの場合、セキュリティグループはインバウンドトラフィックのみを保護します。 セキュリティグループが、クライアントからの必要なすべての着信トラフィックを許可するように設定してください。 -
接続をテストします。
-
ソースVPC内のVSIからは、元のVPEゲートウェイと同じホスト名を使用してください。 これは、「 サービスエンドポイント 」リスト、または
ibmcloud ks cluster get -c CLUSTER_NAMEの「 VPEゲートウェイ 」プロパティで確認できます。 -
接続が正常に機能していることを確認してください。
curl -k https://CLUSTERID...:XXXXX/version ``` 1. 接続に失敗した場合は、以下の点を確認してください： * VSI および VPE ゲートウェイのセキュリティグループは、必要なトラフィックを通過させます * VPC ACL はトラフィックを許可します * ターゲットクラスタ上のコンテキストベース制限（CBR）ルールにより、送信元VPCからのプライベートトラフィックが許可されます（送信元VPCの3つの `Cloud Service Endpoint source addresses` をプライベートCBRルールに追加してください） -
対象アカウントの例
以下の例は、クラスタおよびそのVPEゲートウェイに関する情報を収集するために、 アカウントで実行するコマンドを示しています。
-
対象とするアカウントが正しいことを確認してください。
ibmcloud target出力例
API endpoint: https://cloud.ibm.com Region: us-east User: user2@example.com Account: Target Account (9f8e7d6c5b4a321fedcba98765432222) <-> 2222222 Resource group: default -
クラスタを列挙してください。
ibmcloud ks clusters出力例
OK Name ID State Created Workers Location Version Resource Group Name Provider vpe-cross-account-test c8m5n3p2q4x6z1w7y077 normal 1 day ago 2 Washington DC 4.19.25_1572_openshift default vpc-gen2 -
VPEゲートウェイの詳細を取得します。 対象のCRN およびサービスエンドポイントをメモしておいてください。
ibmcloud is endpoint-gateway iks-c8m5n3p2q4x6z1w7y077出力例
Getting endpoint gateway iks-c8m5n3p2q4x6z1w7y077 under account Target Account as user user2@example.com... ID r014-7a228b24-4bc4-416c-aede-7fda14e88d98 Name iks-c8m5n3p2q4x6z1w7y077 CRN crn:v1:bluemix:public:is:us-east:a/9f8e7d6c5b4a321fedcba98765432222::endpoint-gateway:r014-7a228b24-4bc4-416c-aede-7fda14e88d98 Target CRN crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077:: DNS resolution binding mode primary Target Type provider_cloud_service Target Remote ID Name Resource type No target remote found. VPC ID Name r014-464b4e54-48a8-4f6c-b10a-68edc6fd2be4 new-vpcgen2-default-sec-grp-wdc Private IPs ID Name Address Subnet ID 0757-3bd457cb-af5a-4ab6-b9bb-6e78d3eaf752 iks-useast1-c8m5n3p2q4x6z1w7y077-2e8 172.22.0.11 0757-0c981aa5-cb47-41d9-ab29-edee98b416f8 Service Endpoints c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com Lifecycle State stable Health State ok Security groups ID Name r014-3873358e-3180-482b-927e-abcc300ecbf8 kube-vpegw-c8m5n3p2q4x6z1w7y077 Created 2026-04-03T12:14:59-05:00 Resource Group default -
（任意）：クラスタの詳細を取得して、VPEゲートウェイを確認してください。 URL。
ibmcloud ks cluster get -c c8m5n3p2q4x6z1w7y077出力例
Retrieving cluster c8m5n3p2q4x6z1w7y077... OK Name: vpe-cross-account-test ID: c8m5n3p2q4x6z1w7y077 State: normal Status: All Workers Normal Created: 2026-04-03 11:56:38 -0500 (1 day ago) Resource Group ID: 950cec30388441ce809ca0d18b5ca3bc Resource Group Name: default Pod Subnet: 172.17.0.0/18 Service Subnet: 172.21.0.0/16 Workers: 2 Worker Zones: us-east-1 Ingress Subdomain: vpe-cross-account-test-354226545946e7ee0a2c700f061c1661-0000.us-east.containers.appdomain.cloud Ingress Secret: vpe-cross-account-test-354226545946e7ee0a2c700f061c1661-0000 Ingress Status: healthy Ingress Message: All Ingress components are healthy. Trusted Profile ID: - Public Service Endpoint URL: https://c111-e.us-east.containers.cloud.ibm.com:31100 Private Service Endpoint URL: https://c111.private.us-east.containers.cloud.ibm.com:31100 Pull Secrets: enabled in the default namespace VPCs: r014-464b4e54-48a8-4f6c-b10a-68edc6fd2be4 VPE Gateway: https://c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com:31100 OAuth Server URL: https://c111-e.us-east.containers.cloud.ibm.com:31264 Konnectivity Server URL: https://c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com:30996 Secure By Default Networking: enabled Outbound Traffic Protection: enabled Master Status: Ready (1 day ago) State: deployed Health: normal Version: 4.19.25_1572_openshift Location: Washington DC URL: https://c111-e.us-east.containers.cloud.ibm.com:31100
ソースアカウントの例
次の例は、ソースアカウントで実行するコマンドを示しており、これにより、ターゲットアカウント内のクラスターに接続するVPEゲートウェイが作成されます。
-
対象とするソースアカウントが正しいことを確認してください。
ibmcloud target出力例
API endpoint: https://cloud.ibm.com Region: us-south User: user1@example.com Account: Source Account (a1b2c3d4e5f6789abcdef01234561111) <-> 1111111 Resource group: Default -
VPCを一覧表示してください。
ibmcloud is vpcs出力例
Listing vpcs in resource group Default and region us-south under account Source Account as user user1@example.com... ID Name Status Classic access Default network ACL Default security group Resource group Health state DNS Hub DNS Resolver Type r006-6f450c4b-c808-40e7-9de6-c61c262a2ae9 dev-ansiblepr-vpc available false vendor-paradox-ravioli-tank harmonica-hypnoses-tranquil-alkalize Default ok false system r006-bd06a98a-1183-42d2-810d-1c564eeb5f39 fvt-vpc-sdnlb-server-40 available false sloppy-program-venue-subsiding prattle-pension-wilt-recycled Default ok false system r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8 network-fvt-us-south available false doorknob-baffle-quintet-poem spotted-sandpaper-auction-unluckily Default ok false system r006-4ff93772-cee9-4d64-9d87-d8b1b781e201 network-fvt-vpc-gen2 available false stegosaur-reach-boxlike-alone-stranger-uncork earplugs-preface-county-juicy-sensitize-babied Default ok false system -
ターゲットアカウントのターゲットCRNを使用して、VPEゲートウェイを作成します。
ibmcloud is endpoint-gateway-create --vpc network-fvt-us-south --target crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077:: --name new-iks-c8m5n3p2q4x6z1w7y077 --resource-group-name Default出力例
Creating endpoint gateway new-iks-c8m5n3p2q4x6z1w7y077 in resource group Default under account Source Account as user user1@example.com... ID r006-2009f147-768a-4f6a-b8fa-75f20456cec2 Name new-iks-c8m5n3p2q4x6z1w7y077 CRN crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2 Target CRN crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077:: DNS resolution binding mode primary Target Type provider_cloud_service Target Remote ID Name Resource type No target remote found. VPC ID Name r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8 network-fvt-us-south Private IPs - Service Endpoints c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com Lifecycle State pending Health State ok Security groups ID Name r006-7ae081e2-743d-4046-b755-5ca9997ae077 spotted-sandpaper-auction-unluckily Created 2026-04-04T18:17:12-05:00 Resource Group Default -
予約済みIPアドレスに使用するサブネットを特定するために、サブネットの一覧を作成してください。
ibmcloud is subnets --vpc network-fvt-us-south出力例
Listing subnets in resource group Default and region us-south under account Source Account as user user1@example.com... ID Name Status Subnet CIDR Addresses ACL Public Gateway VPC Zone Resource group 0717-04288f84-4aef-4938-9fa7-5544a40ba258 network-fvt-us-south-1-priv available 10.240.0.0/24 251/256 doorknob-baffle-quintet-poem - network-fvt-us-south us-south-1 Default 0717-cdd4b20c-b48f-454b-b092-ad7aa14b39c8 network-fvt-us-south-1-pubgw available 10.240.1.0/24 246/256 doorknob-baffle-quintet-poem pgw-33eb53d0-74e4-11ee-a747-33927b3ab784 network-fvt-us-south us-south-1 Default 0727-8813de08-fffa-45e3-ae67-2ba70703866e network-fvt-us-south-2-priv available 10.240.64.0/24 250/256 doorknob-baffle-quintet-poem - network-fvt-us-south us-south-2 Default 0727-50b14707-c9f6-4f93-9f49-99de13c66161 network-fvt-us-south-2-pubgw available 10.240.65.0/24 251/256 doorknob-baffle-quintet-poem pgw-34fe4a70-74e4-11ee-a747-33927b3ab784 network-fvt-us-south us-south-2 Default 0737-7a644374-f121-44c1-b216-5fd94c0362b2 network-fvt-us-south-3-priv available 10.240.128.0/24 251/256 doorknob-baffle-quintet-poem - network-fvt-us-south us-south-3 Default 0737-71a34942-304c-4419-9205-3714a3574962 network-fvt-us-south-3-pubgw available 10.240.129.0/24 251/256 doorknob-baffle-quintet-poem pgw-36088e80-74e4-11ee-a747-33927b3ab784 network-fvt-us-south us-south-3 Default -
最初のゾーンに予約済みIPを作成し、それをVPEゲートウェイに割り当てます。
ibmcloud is subnet-reserved-ip-create network-fvt-us-south-1-pubgw --vpc network-fvt-us-south --name reserved-ip-for-us-south-1 --auto-delete true --target new-iks-c8m5n3p2q4x6z1w7y077出力例
Creating reserved IP in subnet network-fvt-us-south-1-pubgw under account Source Account as user user1@example.com... ID 0717-685e1410-2fa1-4e7a-a4e5-27a097ec7a7a Name reserved-ip-for-us-south-1 Address 0.0.0.0 Auto delete true Owner user Created 2026-04-04T18:18:51-05:00 Lifecycle state pending Target ID Name Resource type CRN r006-2009f147-768a-4f6a-b8fa-75f20456cec2 new-iks-c8m5n3p2q4x6z1w7y077 endpoint_gateway crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2 -
予約済みのIPアドレスが追加されたことを確認してください。
ibmcloud is eg new-iks-c8m5n3p2q4x6z1w7y077出力例
Getting endpoint gateway new-iks-c8m5n3p2q4x6z1w7y077 under account Source Account as user user1@example.com... ID r006-2009f147-768a-4f6a-b8fa-75f20456cec2 Name new-iks-c8m5n3p2q4x6z1w7y077 CRN crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2 Target CRN crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077:: DNS resolution binding mode primary Target Type provider_cloud_service Target Remote ID Name Resource type No target remote found. VPC ID Name r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8 network-fvt-us-south Private IPs ID Name Address Subnet ID 0717-685e1410-2fa1-4e7a-a4e5-27a097ec7a7a reserved-ip-for-us-south-1 10.240.1.5 0717-cdd4b20c-b48f-454b-b092-ad7aa14b39c8 Service Endpoints c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com Lifecycle State stable Health State ok Security groups ID Name r006-7ae081e2-743d-4046-b755-5ca9997ae077 spotted-sandpaper-auction-unluckily Created 2026-04-04T18:17:12-05:00 Resource Group Default -
2番目のゾーンに予約済みIPを作成し、それをVPEゲートウェイに割り当てます。
ibmcloud is subnet-reserved-ip-create network-fvt-us-south-2-pubgw --vpc network-fvt-us-south --name reserved-ip-for-us-south-2 --auto-delete true --target new-iks-c8m5n3p2q4x6z1w7y077出力例
Creating reserved IP in subnet network-fvt-us-south-2-pubgw under account Source Account as user user1@example.com... ID 0727-d315d943-c501-4f69-823d-bb82a2b13b29 Name reserved-ip-for-us-south-2 Address 0.0.0.0 Auto delete true Owner user Created 2026-04-04T18:19:24-05:00 Lifecycle state pending Target ID Name Resource type CRN r006-2009f147-768a-4f6a-b8fa-75f20456cec2 new-iks-c8m5n3p2q4x6z1w7y077 endpoint_gateway crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2 -
3番目のゾーンに予約済みIPを作成し、それをVPEゲートウェイに割り当てます。
ibmcloud is subnet-reserved-ip-create network-fvt-us-south-3-pubgw --vpc network-fvt-us-south --name reserved-ip-for-us-south-3 --auto-delete true --target new-iks-c8m5n3p2q4x6z1w7y077出力例
Creating reserved IP in subnet network-fvt-us-south-3-pubgw under account Source Account as user user1@example.com... ID 0737-afbebd9f-02bd-4b9a-be90-5bacf9836041 Name reserved-ip-for-us-south-3 Address 0.0.0.0 Auto delete true Owner user Created 2026-04-04T18:19:32-05:00 Lifecycle state pending Target ID Name Resource type CRN r006-2009f147-768a-4f6a-b8fa-75f20456cec2 new-iks-c8m5n3p2q4x6z1w7y077 endpoint_gateway crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2 -
予約済みのIPアドレスがすべて追加されていることを確認してください。
ibmcloud is eg new-iks-c8m5n3p2q4x6z1w7y077出力例
Getting endpoint gateway new-iks-c8m5n3p2q4x6z1w7y077 under account Source Account as user user1@example.com... ID r006-2009f147-768a-4f6a-b8fa-75f20456cec2 Name new-iks-c8m5n3p2q4x6z1w7y077 CRN crn:v1:bluemix:public:is:us-south:a/a1b2c3d4e5f6789abcdef01234561111::endpoint-gateway:r006-2009f147-768a-4f6a-b8fa-75f20456cec2 Target CRN crn:v1:bluemix:public:containers-kubernetes:us-east:a/9f8e7d6c5b4a321fedcba98765432222:c8m5n3p2q4x6z1w7y077:: DNS resolution binding mode primary Target Type provider_cloud_service Target Remote ID Name Resource type No target remote found. VPC ID Name r006-ecf65055-6868-4368-aa7c-48fc5ac29ff8 network-fvt-us-south Private IPs ID Name Address Subnet ID 0737-afbebd9f-02bd-4b9a-be90-5bacf9836041 reserved-ip-for-us-south-3 10.240.129.5 0737-71a34942-304c-4419-9205-3714a3574962 0717-685e1410-2fa1-4e7a-a4e5-27a097ec7a7a reserved-ip-for-us-south-1 10.240.1.5 0717-cdd4b20c-b48f-454b-b092-ad7aa14b39c8 0727-d315d943-c501-4f69-823d-bb82a2b13b29 reserved-ip-for-us-south-2 10.240.65.5 0727-50b14707-c9f6-4f93-9f49-99de13c66161 Service Endpoints c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com Lifecycle State stable Health State ok Security groups ID Name r006-7ae081e2-743d-4046-b755-5ca9997ae077 spotted-sandpaper-auction-unluckily Created 2026-04-04T18:17:12-05:00 Resource Group Default -
ソースVPC内のVSIから接続をテストしてください。
curl -k https://c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com:31100/version出力例
{ "major": "1", "minor": "32", "gitVersion": "v1.32.12", "gitCommit": "9b706b45b52a0c8bb05847295ee98ffccbabba32", "gitTreeState": "clean", "buildDate": "2026-02-19T13:30:47Z", "goVersion": "go1.23.10 (Red Hat 1.23.10-10.el9) X:strictfipsruntime", "compiler": "gc", "platform": "linux/amd64" } -
ホスト名が予約済みIPアドレスに解決されることを確認してください。
dig +short c8m5n3p2q4x6z1w7y077.vpe.private.us-east.containers.cloud.ibm.com出力例
10.240.65.5