2.6. Pod への機密性の高いデータの提供

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   以下に例を示します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque 1
   data:
     username: dXNlci1uYW1l
     password: cGFzc3dvcmQ=

   1

   不透明なシークレットを指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. シークレットの作成方法についてセクションに示すように、Pod のサービスアカウントを更新してシークレットを参照します。
   2. シークレットの作成方法についてに示すように、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   secret オブジェクトの例:

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-sa-sample
     annotations:
       kubernetes.io/service-account.name: "sa-name" 1
   type: kubernetes.io/service-account-token 2

   1

   既存のサービスアカウント名を指定します。ServiceAccount と Secret オブジェクトの両方を作成する場合は、ServiceAccount オブジェクトを最初に作成します。

   2

   サービスアカウントトークンシークレットを指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. シークレットの作成方法についてセクションに示すように、Pod のサービスアカウントを更新してシークレットを参照します。
   2. シークレットの作成方法についてに示すように、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-basic-auth
   type: kubernetes.io/basic-auth 1
   data:
   stringData: 2
     username: admin
     password: t0p-Secret

   1

   Basic 認証のシークレットを指定します。

   2

   使用する Basic 認証値を指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. シークレットの作成方法についてセクションに示すように、Pod のサービスアカウントを更新してシークレットを参照します。
   2. シークレットの作成方法についてに示すように、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   secret オブジェクトの例:

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-ssh-auth
   type: kubernetes.io/ssh-auth 1
   data:
     ssh-privatekey: | 2
             MIIEpQIBAAKCAQEAulqb/Y ...

   1

   SSH 認証シークレットを指定します。

   2

   SSH のキー/値のペアを、使用する SSH 認証情報として指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. シークレットの作成方法についてセクションに示すように、Pod のサービスアカウントを更新してシークレットを参照します。
   2. シークレットの作成方法についてに示すように、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   Docker 設定の secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-cfg
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfig:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   シークレットが Docker 設定ファイルを使用することを指定します。

   2

   base64 でエンコードされた Docker 設定ファイルの出力

   Docker 設定の JSON secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-json
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfigjson:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   シークレットが Docker 設定の JSON ファイルを使用することを指定します。

   2

   base64 でエンコードされた Docker 設定 JSON ファイルの出力

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. シークレットの作成方法についてセクションに示すように、Pod のサービスアカウントを更新してシークレットを参照します。
   2. シークレットの作成方法についてに示すように、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

1. サービスの Pod 仕様を編集します。

2. シークレットに使用する名前に service.beta.openshift.io/serving-cert-secret-name アノテーションを追加します。

   kind: Service
   apiVersion: v1
   metadata:
     name: my-service
     annotations:
         service.beta.openshift.io/serving-cert-secret-name: my-cert 1
   spec:
     selector:
       app: MyApp
     ports:
     - protocol: TCP
       port: 80
       targetPort: 9376

   証明書およびキーは PEM 形式であり、それぞれ tls.crt および tls.key に保存されます。

3. サービスを作成します。

   $ oc create -f <file-name>.yaml

4. シークレットを表示して、作成されていることを確認します。

   1. すべてのシークレットの一覧を表示します。

      $ oc get secrets

      出力例

      NAME                     TYPE                                  DATA      AGE
      my-cert                  kubernetes.io/tls                     2         9m

   2. シークレットの詳細を表示します。

      $ oc describe secret my-cert

      出力例

      Name:         my-cert
      Namespace:    openshift-console
      Labels:       <none>
      Annotations:  service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
                    service.beta.openshift.io/originating-service-name: my-service
                    service.beta.openshift.io/originating-service-uid: 640f0ec3-afc2-4380-bf31-a8c784846a11
                    service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
      
      Type:  kubernetes.io/tls
      
      Data
      ====
      tls.key:  1679 bytes
      tls.crt:  2595 bytes

5. このシークレットを使って Pod 仕様を編集します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-service-pod
   spec:
     containers:
     - name: mypod
       image: redis
       volumeMounts:
       - name: foo
         mountPath: "/etc/foo"
     volumes:
     - name: foo
       secret:
         secretName: my-cert
         items:
         - key: username
           path: my-group/my-username
           mode: 511

   これが利用可能な場合、Pod が実行されます。この証明書は内部サービス DNS 名、 <service.name>.<service.namespace>.svc に適しています。

   証明書/キーのペアは有効期限に近づくと自動的に置換されます。シークレットの service.beta.openshift.io/expiry アノテーションで RFC3339 形式の有効期限の日付を確認します。

   注記

   ほとんどの場合、サービス DNS 名 <service.name>.<service.namespace>.svc は外部にルーティング可能ではありません。<service.name>.<service.namespace>.svc の主な使用方法として、クラスターまたはサービス間の通信用として、 re-encrypt ルートで使用されます。