3.5. ファイアウォールの設定

手順

1. 以下のレジストリー URL を許可リストに指定します。

   URL	関数
   registry.redhat.io	コアコンテナーイメージを指定します。
   quay.io	コアコンテナーイメージを指定します。
   sso.redhat.com	https://cloud.redhat.com/openshift サイトでは、 sso.redhat.com からの認証を使用します。
   openshift.org	Red Hat Enterprise Linux CoreOS (RHCOS) イメージを提供します。

   quay.io などのサイトを許可リストに追加するには、*.quay.io などのワイルドカードエントリーを拒否リストに加えないでください。ほとんどの場合、イメージレジストリーはコンテンツ配信ネットワーク (CDN) を使用してイメージを提供します。ファイアウォールがアクセスをブロックすると、初回のダウンロード要求が cdn01.quay.io などのホスト名にリダイレクトされると、イメージのダウンロードが拒否されます。

2. ビルドに必要な言語またはフレームワークのリソースを提供するサイトを許可リストに指定します。

3. Telemetry を無効にしていない場合は、以下の URL へのアクセスを許可して Red Hat Insights にアクセスできるようにする必要があります。

   URL	関数
   cert-api.access.redhat.com	Telemetry で必須
   api.access.redhat.com	Telemetry で必須
   infogw.api.openshift.com	Telemetry で必須
   https://cloud.redhat.com/api/ingress	Telemetry および insights-operator で必須

4. Amazon Web Services (AWS) 、Microsoft Azure、または Google Cloud Platform (GCP) を使用してクラスターをホストする場合、クラウドプロバイダー API およびそのクラウドの DNS を提供する URL へのアクセスを付与する必要があります。

   クラウド	URL	関数
   AWS	*.amazonaws.com	AWS サービスおよびリソースへのアクセスに必要です。AWS ドキュメントの AWS Service Endpoints を参照し、使用するリージョンを許可するエンドポイントを判別します。
   	oso-rhc4tp-docker-registry.s3-us-west-2.amazonaws.com	厳密なセキュリティー要件を適用する際に AWS サービスおよびリソースにアクセスするために必要です。AWS ドキュメントの AWS Service Endpoints を参照し、使用するリージョンを許可するエンドポイントを判別します。
   GCP	*.googleapis.com	GCP サービスおよびリソースへのアクセスに必要です。GCP ドキュメントの Cloud Endpoints を参照し、API を許可するエンドポイントを判別します。
   	accounts.google.com	GCP アカウントへのアクセスに必要です。
   Azure	management.azure.com	Azure サービスおよびリソースへのアクセスに必要です。Azure ドキュメントで Azure REST API Reference を参照し、API を許可するエンドポイントを判別します。

5. 以下の URL を許可リストに指定します。

   URL	関数
   mirror.openshift.com	ミラーリングされたインストールのコンテンツおよびイメージへのアクセスに必要です。Cluster Version Operator には単一の機能ソースのみが必要ですが、このサイトはリリースイメージ署名のソースでもあります。
   storage.googleapis.com/openshift-release	リリースイメージ署名のソース (ただし、Cluster Version Operator には単一の機能ソースのみが必要)。
   *.apps.<cluster_name>.<base_domain>	Ingress ワイルドカードをインストール時に設定しない限り、デフォルトのクラスタールートへのアクセスに必要。
   quay-registry.s3.amazonaws.com	AWS で Quay イメージコンテンツにアクセスするために必要。
   api.openshift.com	クラスターに更新が利用可能かどうかを確認するために必要。
   art-rhcos-ci.s3.amazonaws.com	Red Hat Enterprise Linux CoreOS (RHCOS) イメージをダウンロードするために必要。
   api.openshift.com	クラスタートークンに必須
   cloud.redhat.com/openshift	クラスタートークンに必須

   Operator にはヘルスチェックを実行するためのルートアクセスが必要です。具体的には、認証および Web コンソール Operator は 2 つのルートに接続し、ルートが機能することを確認します。クラスター管理者として操作を実行しており、*.apps.<cluster_name>.<base_domain> を許可しない場合は、これらのルートを許可します。

   • oauth-openshift.apps.<cluster_name>.<base_domain>
   • console-openshift-console.apps.<cluster_name>.<base_domain>、またはフィールドが空でない場合に consoles.operator/cluster オブジェクトの spec.route.hostname フィールドに指定されるホスト名。