3.5. ファイアウォールの設定

ファイアウォールを使用する場合、OpenShift Container Platform が機能するために必要なサイトにアクセスできるように設定する必要があります。一部のサイトにはアクセスを常に付与し、クラスターをホストするために Red Hat Insights、Telemetry サービス、クラウドを使用したり、特定のビルドストラテジーをホストする場合に追加のアクセスを付与する必要があります。

3.5.1. OpenShift Container Platform のファイアウォールの設定

OpenShift Container Platform をインストールする前に、ファイアウォールを、OpenShift Container Platform が必要とするサイトへのアクセスを付与するように設定する必要があります。

コントローラーノードのみで実行されるサービスとワーカーノードで実行されるサービスの設定に関する特別な考慮事項はありません。

手順

  1. 以下のレジストリー URL を許可リストに指定します。

    URL関数

    registry.redhat.io

    コアコンテナーイメージを指定します。

    quay.io

    コアコンテナーイメージを指定します。

    sso.redhat.com

    https://cloud.redhat.com/openshift サイトでは、 sso.redhat.com からの認証を使用します。

    openshift.org

    Red Hat Enterprise Linux CoreOS (RHCOS) イメージを提供します。

  2. ビルドに必要な言語またはフレームワークのリソースを提供するサイトを許可リストに指定します。

  3. Telemetry を無効にしていない場合は、以下の URL へのアクセスを許可して Red Hat Insights にアクセスできるようにする必要があります。

    URL関数

    cert-api.access.redhat.com

    Telemetry で必須

    api.access.redhat.com

    Telemetry で必須

    infogw.api.openshift.com

    Telemetry で必須

    https://cloud.redhat.com/api/ingress

    Telemetry および insights-operator で必須

  4. Amazon Web Services (AWS) 、Microsoft Azure、または Google Cloud Platform (GCP) を使用してクラスターをホストする場合、クラウドプロバイダー API およびそのクラウドの DNS を提供する URL へのアクセスを付与する必要があります。

    クラウドURL関数

    AWS

    *.amazonaws.com

    AWS サービスおよびリソースへのアクセスに必要です。AWS ドキュメントの「AWS Service Endpoints」を参照し、使用するリージョンを許可するエンドポイントを判別します。

    GCP

    *.googleapis.com

    GCP サービスおよびリソースへのアクセスに必要です。GCP ドキュメントの「 Cloud Endpoints」を参照し、API を許可するエンドポイントを判別します。

    accounts.google.com

    GCP アカウントへのアクセスに必要です。

    Azure

    management.azure.com

    Azure サービスおよびリソースへのアクセスに必要です。Azure ドキュメントで「Azure REST API Reference」を参照し、API を許可するエンドポイントを判別します。

  5. 以下の URL を許可リストに指定します。

    URL関数

    mirror.openshift.com

    ミラーリングされたインストールのコンテンツおよびイメージへのアクセスに必要。Cluster Version Operator には単一の機能ソースのみが必要ですが、このサイトはリリースイメージ署名のソースでもあります。

    storage.googleapis.com/openshift-release

    リリースイメージ署名のソース (ただし、Cluster Version Operator には単一の機能ソースのみが必要)。

    *.apps.<cluster_name>.<base_domain>

    Ingress ワイルドカードをインストール時に設定しない限り、デフォルトのクラスタールートへのアクセスに必要。

    quay-registry.s3.amazonaws.com

    AWS で Quay イメージコンテンツにアクセスするために必要。

    api.openshift.com

    クラスターに更新が利用可能かどうかを確認するために必要。

    art-rhcos-ci.s3.amazonaws.com

    Red Hat Enterprise Linux CoreOS (RHCOS) イメージをダウンロードするために必要。

    api.openshift.com

    クラスタートークンに必須

    cloud.redhat.com/openshift

    クラスタートークンに必須

    Operator にはヘルスチェックを実行するためのルートアクセスが必要です。具体的には、認証および Web コンソール Operator は 2 つのルートに接続し、ルートが機能することを確認します。クラスター管理者として操作を実行しており、*.apps.<cluster_name>.<base_domain> を許可しない場合は、これらのルートを許可します。

    • oauth-openshift.apps.<cluster_name>.<base_domain>
    • console-openshift-console.apps.<cluster_name>.<base_domain>、またはフィールドが空でない場合に consoles.operator/cluster オブジェクトの spec.route.hostname フィールドに指定されるホスト名。