このドキュメント ページでは、Horizon Cloud Connector で使用される Kubernetes 証明書の有効期限チェックについて説明します。有効期限の 2 か月前に有効期限の警告が表示され、システムが証明書を自動的に更新される仕組みを確認できます。
概要
ナレッジベースの記事 KB90505 で説明されているように、デプロイされた Horizon Cloud Connector には、Horizon 制御プレーンとの安全な通信と接続に使用されるシステム生成の証明書を備えた内部 Kubernetes クラスタがあります。これらのシステム生成の証明書の有効期間は 1 年です。
システム生成の証明書が更新前に有効期限に達して、制御プレーンとのアプライアンスの通信が中断されないようにするために、バージョン 2.4 以降では、Horizon Cloud Connector アプライアンスは次の機能を提供します。
- アプライアンスの Kubernetes 証明書の有効性の週単位の自動チェック
- 有効期限までの現在の日数を画面上に表示。
- 有効性チェックにより証明書の有効期間が 60 日未満と判断された場合、証明書を自動更新。更新プロセス中はアプライアンスのサービスに短いダウンタイムが発生するため、システムの自動更新プロセスは、アプライアンスのローカル時間に従って週末の深夜にのみ実行されます。更新された証明書は、1 年間有効です。
システムの有効性チェック
アプライアンスは、アプライアンスのローカル時間に従って、毎週土曜日と日曜日の深夜に有効性をチェックします。
有効性チェックでは、Kubernetes クラスタの証明書の有効期限が切れるまでの残り日数を評価します。証明書の有効期間が 60 日未満になると、システムは自動的に証明書を更新し、有効期間が 1 年間の新しい証明書を発行します。
画面上の情報を表示すると、ステータスがリアルタイムで計算されます。たとえば、情報を水曜日などの平日に表示すると、その水曜日から有効期限までの残り日数がユーザー インターフェイスに表示されます。
画面の情報は、有効期限までの残り日数に応じたパターンに従います。
- 残り 120 日以上 - 緑（良好）
- 画面の情報には、証明書が有効な日数が表示されます。例： 364 日間有効。
- 残り 120 ～ 60 日 - オレンジ（警告）
-
8 か月が経過すると、画面の情報には、有効期限までの日数と、システムの自動更新より前に証明書を更新するために実行できる更新手順が記載された
ナレッジベースの記事 KB90505 へのリンクが表示されます。
更新プロセスによりアプライアンスとそのサービスに短いダウンタイムが発生する可能性があるため、有効期間が 60 日未満になるまで待つのではなく、ナレッジベースの記事の手順に従って証明書を自分で更新することを選択できます。証明書を自分で更新すると、この短いダウンタイムが発生する日時を決めることができます。ナレッジベースの記事に記載されているように、手順にはアプライアンスの再起動が含まれており、すべてのサービスが再初期化されるまでに数分かかる場合があります。
- 残り 60 日未満 - 赤（エラー）
-
有効期間が 60 日未満になると、画面の情報には、有効期限までの日数と、システムの自動更新より前に証明書を更新するために実行できる更新手順が記載された
ナレッジベースの記事 KB90505 へのリンクが表示されます。
次回システムの有効性チェックが実行され、証明書の有効期間が 60 日未満であると判断されると、システムは自動的に証明書を更新し、新しい証明書を発行します。自動更新では、新しい証明書の有効期間は 1 年間です。
画面上の情報の位置
画面上の有効性情報は、次の場所で表示できます。
- Horizon Cloud Connector 構成ポータルの [Cloud Connector の健全性] リストで、[Kubernetes 証明書] の行の横にあるアイコンにカーソルを合わせると、画面上のメッセージが表示されます。
- 第 1 世代のテナント環境で Active Directory ドメインの登録手順が完了している場合は、Horizon Universal Console の [キャパシティ] ページを使用してポッドの詳細ページに移動し、そのユーザー インターフェイス ページのアイコンにカーソルを合わせることができます。
