オリジンエンドポイントからサポート対象のエンドポイントへの移行

クラシッククラスター

以下のいずれかの条件に該当する場合は、必ず対応を行ってください：

• パブリックサービスエンドポイントが有効になっているクラシッククラスターが1つ以上あり、許可リストやファイアウォールを使用してアウトバウンドアクセスを制限しています。
• origin.<region>.containers.cloud.ibm.com のエンドポイントを直接呼び出すカスタムスクリプトやツールをお持ちの場合。

どちらの条件にも該当しない場合は、何もする必要はありません。

ワーカーノードと Red Hat OpenShift on IBM Cloud との接続を維持するには、2026年7月31日までに以下の手順を完了してください。

• IP ベースのファイアウォールルールを使用する場合は、「 ワーカーノードがクラスタマスターと通信できるようにする」 のセクションに記載されている IP アドレスが、ファイアウォールルールに含まれていることを確認してください。

• ドメインベースのファイアウォールルールを使用している場合は、以下のブートストラップドメインを許可リストに追加してください。

• オリジンエンドポイントを直接呼び出すカスタムスクリプトがある場合は、サポートされているAPIエンドポイントに切り替えてください。 詳細については、 「APIについて」 をご覧ください。

始める前に、クラスター内の各ワーカー・ノードのパブリック IP アドレスをメモします。

ibmcloud oc worker ls --cluster <cluster_name_or_ID>

ワーカー・ノードがクラスター・マスターと通信できるようにする

ワーカー・ノードがパブリック・クラウド・サービス・エンドポイントを介してクラスター・マスターと通信できるようにするには、ソース <each_worker_node_publicIP> から宛先 TCP/UDP ポート範囲 30000 から 32767 および ポート 443、および以下の IP アドレスとネットワーク・グループへの発信ネットワーク・トラフィックを許可します。 さらに、Ingress または経路を使用してクラスター内のアプリを公開する場合は、Red Hat OpenShift コントロール・プレーンがルーターの正常性を検査できるように、これらのポートを介するワーカー・ノードの IP アドレスへの着信ネットワーク・トラフィックも許可してください。

この表は変化します。 最新の IP リストおよび継続的な更新については、 IBM/kube-samples リポジトリー内のパブリック・ネットワーク分離フォルダーを参照してください。 リポジトリのプルリクエストを監視して、更新情報を確認できます。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_publicIP> TO <public_IPs>
• <public_IPs> を、クラスターが配置されているリージョンのパブリック IP アドレスで置き換えます。

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにする

ワーカーノードから IBM Cloud Container Registry へのネットワーク送信トラフィックを許可してください。 詳しくは、 ファイアウォールを介した IBM Cloud Container Registry へのアクセス を参照してください。

ワーカー・ノードから IAM への発信ネットワーク・トラフィックを許可する

ワーカー・ノードから IBM Cloud ID およびアクセス管理 (IAM) への発信ネットワーク・トラフィックを許可します。 IAMドメイン名を許可するには、許可リストをレイヤー7に設定する必要があります。 IAM には、許可できる特定の IP アドレスがありません。 許可リストがレイヤー7に対応していない場合は、ポート443における HTTPS のすべてのネットワークトラフィックを許可することができます。

• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.bluemix.net
• TCP port 443 FROM <each_worker_node_publicIP> TO https://iam.cloud.ibm.com

オプション: ワーカー・ノードから Monitoring サービスと IBM Cloud Logs サービスへの発信ネットワーク・トラフィックを許可する

• IBM Cloud Monitoring:

  • TCP port 443, port 6443 FROM <each_worker_node_public_IP> TO <monitoring_public_IP>
  • <monitoring_public_IP> を Monitoring IP アドレスで置き換えます。

• IBM Cloud Logs:

  • TCP port 443, port 80 FROM <each_worker_node_public_IP> TO <logging_public_IP>
  • <logging_public_IP> を IBM Cloud Logs のIPアドレスに 置き換える。

オプション：Ingressサブドメイン監視のための受信ネットワークトラフィックを許可する

Ingressドメインの健全性監視を 使用してサービスエンドポイントの健全性を監視する場合は、監視サービスからのインバウンドアクセスを許可する必要があります。

デフォルトでは、モニタリングヘルスリクエストは HTTPS、ポート443に送信されます。したがって、ポート443をターゲットとする以下のIP範囲からのトラフィックを許可する必要があります。 ヘルスモニターが代わりに HTTP を使用するように設定されている場合、allowlistトラフィックはポート80をターゲットにする必要があります。 さらに、カスタム・ポート（ TCP ）を使用する場合は、そのポートへの着信トラフィックを許可するようにしてください。

詳細については、 IBM NS1 Connect ドキュメントを 参照のこと。

次のステップ

ロード・バランサー・サービスを使用している場合は、VRRP プロトコルを使用するすべてのトラフィックが、パブリック・インターフェースおよびプライベート・インターフェースでのワーカー・ノード間で許可されることを確認します。Red Hat OpenShift on IBM Cloud では、パブリック・ロード・バランサーおよびプライベート・ロード・バランサーの IP アドレスを管理するために VRRP プロトコルが使用されます。

Ingress やルートを使用してクラスター内のアプリを公開する場合は、 Red Hat OpenShift コントロールプレーンがルーターのヘルス状態を確認できるよう、 IBM NS1 の送信元 IP アドレスからの ポート 80 への着信ネットワークトラフィックを、ルーターサービスの IP アドレス宛てに許可してください。

ワーカー・ノードがクラスター・マスターと通信できるようにする

ワーカー・ノードがプライベート・クラウド・サービス・エンドポイントを介してクラスター・マスターと通信できるようにするには、ソース <each_worker_node_privateIP> から宛先 TCP/UDP ポート範囲 30000 から 32767 および ポート 443、および以下の IP アドレスとネットワーク・グループへの発信ネットワーク・トラフィックを許可します。

この表は変化します。 最新の IP リストおよび継続的な更新については、 IBM/kube-samples リポジトリー内のプライベート・ネットワーク分離フォルダーを参照してください。 リポジトリのプルリクエストを監視して、更新情報を確認できます。

• TCP/UDP port range 30000-32767, port 443 FROM <each_worker_node_privateIP> TO <private_IPs>
• <private_IPs> を、クラスターが配置されているリージョンのプライベート IP アドレスで置き換えます。

開いているポート

ワーカー・ノードが正しく機能するように、許可リスト内の以下のポートを開きます。 すべての宛先IPに対して、以下のポートを開いておく必要がある。

• ワーカー・ノードの更新および再ロードを許可するために、ワーカーからポート 80 および 443 へのアウトバウンド TCP および UDP 接続を許可します。
• ボリュームとしてファイル・ストレージのマウントを許可するために、ポート 2049 へのアウトバウンド TCP および UDP を許可します。
• ブロック・ストレージに対する通信用に、ポート 3260 へのアウトバウンド TCP と UDP を許可します。
• Red Hat OpenShift ダッシュボード、および oc logs や oc exec などのコマンドのために、ポート 10250 へのインバウンド TCP および UDP 接続を許可します。
• DNS アクセスのために、TCP および UDP のポート 53 およびポート 5353 へのインバウンドおよびアウトバウンドの接続を許可します。

ワーカー間の通信を有効にする

プライベートインターフェース上のワーカーノード間で、 TCP、 UDP、VRRP、およびIPEncapのすべてのトラフィックを許可し、さらにパブリックインターフェース上でもVRRPを許可することで、ワーカー間の通信を有効にします。 Red Hat OpenShift on IBM Cloud は、VRRPプロトコルを使用してロードバランサーのIPアドレスを管理し、IPEncapプロトコルを使用してサブネットをまたぐポッド間のトラフィックを許可します。

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにする

ワーカー・ノードが IBM Cloud Container Registry と通信できるようにするには、ワーカー・ノードから IBM Cloud Container Registry リージョンへの発信ネットワーク・トラフィックを許可します。

• TCP port 443 FROM <each_worker_node_privateIP> TO <registry_ip>
• <registry_ip> を、トラフィックを許可するレジストリー IP アドレスに置き換えます。 グローバル・レジストリーには IBM 提供のパブリック・イメージが保管され、リージョン・レジストリーにはユーザー独自のプライベート・イメージまたはパブリック・イメージが保管されます。

オプション： IBM Cloud Logs、 IBM Cloud Monitoring サービスのallowlistルールを設定する

ロギングデータやメトリクスデータを送信するには、 IBM Cloud Logs および IBM Cloud Monitoring サービスに対して許可リストルールを設定してください。

• IBM Cloud Logs プライベートエンドポイント
• Monitoring プライベート・エンドポイント

コンソールでのサブネット IP アドレスの取得

1. IBM Cloud コンソールリソースリスト から、クラスタをクリックします。
2. 「 ワーカーノード 」をクリックします。
3. クラスター内のワーカー・ノードによって使用される各 パブリック VLAN をメモします。 複数のワーカー・ノードが同じパブリック VLAN を使用する可能性があります。
4. IBM Cloud から をクリックし、 インフラストラクチャ > クラシックインフラストラクチャ > IP管理 > VLAN の順にクリックします。
5. 各パブリックVLANをクリックして、クラスタ内のワーカーノードで使用されているかどうかを確認します。
6. クラスター内のワーカー・ノードによって使用されるパブリック VLAN ごとに、 「サブネット」 セクションを見つけ、表に含まれている各 IP アドレスをメモします。 これらは、許可リストに含める必要がある IP アドレスです。

CLI でのサブネット IP アドレスの取得

1. ワーカー・ノードが使用するパブリック VLAN をリストします。 出力は publicVLAN=<vlan_id> のようにフォーマット設定されます。

   oc describe nodes | grep publicVLAN | sort | uniq
   

2. パブリック VLAN ごとに、関連付けられたパブリック・サブネットを見つけます。 出力で、 identifier 列のサブネット IP アドレスをメモします。

   ibmcloud sl subnet list | grep <vlan-id>
   

   ID 2761690 のパブリック VLAN に関連付けられたサブネットの出力例。

   ID        identifier        type                 network_space   datacenter   vlan_id   IPs   hardware   virtual_servers  
   1962263   169.62.46.56      SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2008207   169.62.39.248     SECONDARY_ON_VLAN    PUBLIC          wdc07        2761690   8     0          0   
   2342562   169.62.2.128      ADDITIONAL_PRIMARY   PUBLIC          wdc07        2761690   16    0          5
   

3. ワーカー・ノードをリストし、それらのパブリック IP を取得します。 出力では、パブリック IP が 「外部 IP (External-IP)」 列にリストされます。 これらの IP アドレスのうち、前にリストしたサブネットに含まれているものをメモし、それらのサブネット ID をメモします。

4. サブネット ID ごとに、コマンドを実行してサブネットの詳細を取得します。 各出力で、 identifier 列の IP アドレスをメモします。 これは、IAM 許可リストに追加する必要がある IP アドレスです。

   ibmcloud sl subnet detail <subnet_id>
   

   出力例

   Name             Value   
   ID               2342562   
   identifier       169.62.2.128/28   
   subnet type      ADDITIONAL_PRIMARY   
   network space    PUBLIC   
   gateway          169.62.2.129   
   broadcast        169.62.2.143   
   datacenter       wdc07   
   usable ips       13   
   IP address       ID          IP address      
                   186531376   169.62.2.128      
                   186531378   169.62.2.129      
                   186531380   169.62.2.130      
                   186531382   169.62.2.131      
                   186531384   169.62.2.132      
                   186531386   169.62.2.133      
                   186531388   169.62.2.134      
                   186531390   169.62.2.135      
                   186531392   169.62.2.136      
                   186531394   169.62.2.137      
                   186531396   169.62.2.138      
                   186531398   169.62.2.139      
                   186531400   169.62.2.140      
                   186531402   169.62.2.141      
                   186531404   169.62.2.142      
                   186531406   169.62.2.143      
   virtual guests   hostname                                                 domain    public_ip      private_ip      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000187   iks.ibm   169.62.2.130   10.191.55.109      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-000002a2   iks.ibm   169.62.2.133   10.191.55.108      
                   kube-c8ofi5pw077drsbovf90-roks47class-default-00000372   iks.ibm   169.62.2.135   10.191.55.121      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-00000219   iks.ibm   169.62.2.132   10.191.55.105      
                   kube-c8ofh6kw0jj8l6jovf8g-iks22classi-default-0000012f   iks.ibm   169.62.2.134   10.191.55.107