1.13. セキュリティー

手順

1. Web コンソールにログインします。
2. Project メニューをクリックし、Service Mesh コントロールプレーンをインストールしたプロジェクト (例: istio-system) を選択します。
3. Operators → Installed Operators をクリックします。
4. Provided APIs の Service Mesh Control Plane をクリックします。
5. ServiceMeshControlPlane リソースの名前 (例: basic) をクリックします。
6. Details ページで、Data Plane Security の Security セクションでトグルをクリックします。

1. Maistra リポジトリー からサンプル証明書をローカルに保存し、<path> を証明書へのパスに置き換えます。

2. cacert という名前のシークレットを作成します。これには、入力ファイルの ca-cert.pem、ca-key.pem、root-cert.pem および cert-chain.pem が含まれます。

   $ oc create secret generic cacerts -n istio-system --from-file=<path>/ca-cert.pem \
       --from-file=<path>/ca-key.pem --from-file=<path>/root-cert.pem \
       --from-file=<path>/cert-chain.pem

3. ServiceMeshControlPlane リソースで、spec.security.dataPlane.mtls true を true に設定し、以下の例のように certificateAuthority フィールドを設定します。デフォルトの rootCADir は /etc/cacerts です。キーおよび証明書がデフォルトの場所にマウントされている場合は、privateKey を設定する必要はありません。Service Mesh は、secret-mount ファイルから証明書およびキーを読み取ります。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true
       certificateAuthority:
         type: Istiod
         istiod:
           type: PrivateKey
           privateKey:
             rootCADir: /etc/cacerts

4. cacert シークレットを作成/変更/削除した後に、変更を有効にするために、Service Mesh コントロールプレーンの istiod と gateway Pod を再起動する必要があります。以下のコマンドで Pod を再起動します。

   $ oc -n istio-system delete pods -l 'app in (istiod,istio-ingressgateway, istio-egressgateway)'

   Operator は、Pod を削除した後、自動的に再作成します。

5. bookinfo アプリケーションの Pod を再起動し、sidecar プロキシーがシークレットの変更を取り込むようにします。以下のコマンドで Pod を再起動します。

   $ oc -n info delete pods --all

   以下のような出力が表示されるはずです。

   pod "details-v1-6cd699df8c-j54nh" deleted
   pod "productpage-v1-5ddcb4b84f-mtmf2" deleted
   pod "ratings-v1-bdbcc68bc-kmng4" deleted
   pod "reviews-v1-754ddd7b6f-lqhsv" deleted
   pod "reviews-v2-675679877f-q67r2" deleted
   pod "reviews-v3-79d7549c7-c2gjs" deleted

6. 以下のコマンドで、Pod が作成され、準備ができたことを確認します。

   $ oc get pods -n info

1. bookinfo ワークロードから証明書を抽出するには、以下のコマンドを使用します。

   $ sleep 60
   $ oc -n info exec "$(oc -n bookinfo get pod -l app=productpage -o jsonpath={.items..metadata.name})" -c istio-proxy -- openssl s_client -showcerts -connect details:9080 > bookinfo-proxy-cert.txt
   $ sed -n '/-----BEGIN CERTIFICATE-----/{:start /-----END CERTIFICATE-----/!{N;b start};/.*/p}' info-proxy-cert.txt > certs.pem
   $ awk 'BEGIN {counter=0;} /BEGIN CERT/{counter++} { print > "proxy-cert-" counter ".pem"}' < certs.pem

   コマンドを実行すると、作業ディレクトリーに proxy-cert-1.pem、proxy-cert-2.pem、proxy-cert-3.pem の 3 つのファイルが作成されるはずです。

2. ルート証明書が管理者が指定したものと同じであることを確認します。<path> を証明書へのパスに置き換えます。

   $ openssl x509 -in <path>/root-cert.pem -text -noout > /tmp/root-cert.crt.txt

   ターミナルウィンドウで次の構文を実行します。

   $ openssl x509 -in ./proxy-cert-3.pem -text -noout > /tmp/pod-root-cert.crt.txt

   ターミナルウィンドウで以下の構文を実行して、証明書を比較します。

   $ diff -s /tmp/root-cert.crt.txt /tmp/pod-root-cert.crt.txt

   以下のような結果が表示されるはずです: Files /tmp/root-cert.crt.txt and /tmp/pod-root-cert.crt.txt are identical

3. CA 証明書が管理者が指定したものと同じであることを確認します。<path> を証明書へのパスに置き換えます。

   $ openssl x509 -in <path>/ca-cert.pem -text -noout > /tmp/ca-cert.crt.txt

   ターミナルウィンドウで次の構文を実行します。

   $ openssl x509 -in ./proxy-cert-2.pem -text -noout > /tmp/pod-cert-chain-ca.crt.txt

   ターミナルウィンドウで以下の構文を実行して、証明書を比較します。

   $ diff -s /tmp/ca-cert.crt.txt /tmp/pod-cert-chain-ca.crt.txt

   以下のような結果が表示されるはずです: Files /tmp/ca-cert.crt.txt and /tmp/pod-cert-chain-ca.crt.txt are identical.

4. ルート証明書からワークロード証明書への証明書チェーンを確認します。<path> を証明書へのパスに置き換えます。

   $ openssl verify -CAfile <(cat <path>/ca-cert.pem <path>/root-cert.pem) ./proxy-cert-1.pem

   以下のような出力が表示されるはずです: ./proxy-cert-1.pem: OK

1. シークレット cacerts を削除します。この例では、istio-system が Service Mesh コントロールプレーンプロジェクトの名前です。

   $ oc delete secret cacerts -n istio-system

2. ServiceMeshControlPlane リソースで自己署名ルート証明書を使用して Service Mesh を再デプロイします。

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true