Red Hat Training

A Red Hat training course is available for OpenShift Container Platform

34.7. 復号化キーのローテーション

複数の API サーバーが実行されている高可用デプロイメントがある場合などに、ダウンタイムを発生させずにシークレットを変更するには、複数の手順からなる操作が必要になります。

  1. 新規キーを生成し、これをすべてのサーバーで同時プロバイダーの 2 つ目のキーエントリーとして追加します。
  2. すべての API サーバーを再起動し、各サーバーが新規キーを使用して復号化できるようにします。

    注記

    単一 API サーバーを使用している場合は、この手順を省略できます。

    # master-restart api
    # master-restart controllers
  3. 新規キーを keys 配列の最初のエントリーにし、これが設定で暗号化に使用されるようにします。
  4. すべての API サーバーを再起動し、各サーバーが新規キーを使用して暗号化できるようにします。

    # master-restart api
    # master-restart controllers
  5. 以下を実行し、新規キーですべての既存シークレットを暗号化します。

    $ oc adm migrate storage --include=secrets --confirm
  6. 新規キーを使用して etcd をバックアップし、すべてのシークレットを更新した後に、古い復号化キーを設定から削除します。