FIPS 140-3の有効化

使用されているGoコンパイラは、 こちらで見つけることができます。システムの各コンポーネントは、通常使用される標準のGoコンパイラバージョンと一致するこのコンパイラのバージョンで構築されています。

このGoのバージョンは、標準のGo暗号ライブラリをFIPS検証済みのBoringCryptoモジュールに置き換えます。詳細については、 GoBoring READMEを参照してください。このモジュールは、広範なシステムにおける BoringCryptoモジュールとしてNISTによって検証されています。

全体のアーキテクチャがFIPS 140-3準拠のアルゴリズムを利用することを保証するために、RKE2ランタイムユーティリティはFIPS対応のGoコンパイラで静的にコンパイルされています。これにより、Kubernetesデーモンからコンテナオーケストレーションメカニズムまで、スタックのすべてのレベルでの準拠が保証されます。

RKE2は、`--cni`フラグを使用して代替CNIを選択することをサポートしています。それには、Canal（デフォルト）、Calico、Cilium、Multusなど、いくつかのオプションがバンドルされています。ただし、FIPS準拠のために再構築されているのはCanalのみです。

RKE2には、ingress-nginxとTraefikの2つのイングレスコントローラーが付属しています。どちらもFIPS準拠です。

ingress-nginxコントローラーと完全なTraefikスタック（コントローラーとプロキシサーバー）はGoで記述され、FIPS互換のGoコンパイラを使用してコンパイルされています。

Ingress-nginxは、Cで記述され、適切に機能するためにOpenSSLに依存するnginxプロキシサーバーを使用しています。その結果、FIPS準拠を達成するためにFIPS検証済みのOpenSSLバージョンを活用しています。