内部ネットワーク アクセスのコンプライアンスを管理する

デバイスのブートストラップが正常に完了したら、管理者はデバイスのコンプライアンスとセキュリティを確保するために、3 か月ごとにシークレットをローテーションする必要があります。

始める前に

次の手順を行います。

  1. ノートパソコンの前提条件を満たしていることを確認します。
  2. gdcloud コマンドライン インターフェース（CLI）ツールに関して、次の操作を行います。
    1. gdcloud CLI ツールをダウンロードします。
    2. gdcloud CLI ツールをインストールします。
    3. 必要に応じて gdcloud CLI ツールをアップグレードします。

ネットワーク アクセス シークレットをローテーションする

ネットワーク アクセス シークレットをローテーションするには、ブートストラップ マシンで次の操作を行います。

  1. ブートストラップ マシンをスイッチのポート 12 に接続します。

  2. ブートストラップ IP を設定します。

    gdcloud appliance system network init \
  --config CELLCONFIG\
  --data-interface DATA_INTERFACE

    次のように置き換えます。

    • CELLCONFIG: アプライアンスの構成後に生成された cellconfig のパス。
    • DATA_INTERFACE: スイッチのポート 12 に接続されたブートストラップのネットワーク インターフェース名。

  3. スイッチで TLS 証明書をローテーションします。

    gdcloud appliance rotate switch-certificate \
  --kubeconfig KUBECONFIG

    KUBECONFIG は、緊急用認証情報のセットアップ時に保存された組織インフラストラクチャ クラスタの kubeconfig ファイルのパスに置き換えます。

    生成した証明書は 3 か月間有効です。上記のプロセスを使用して証明書を手動でローテーションするまで更新されません。TLS 証明書をローテーションした日付を記録しておくと、このプロセスを繰り返すタイミングを把握できます。証明書を 3 か月ごとに生成します。3 か月ごとに TLS 証明書をローテーションしないと、ネットワーク シークレットのローテーションとアップグレードが失敗します。

  4. スイッチのすべてのログイン パスワードを変更します。

    gdcloud appliance rotate switch-credentials \
  --kubeconfig KUBECONFIG