Ingress 및 로드 밸런싱

프로세스

1. 다음 명령을 실행하여 hello-openshift 라는 프로젝트를 생성합니다.

   $ oc new-project hello-openshift

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 프로젝트에 Pod를 생성합니다.

   $ oc create -f https://raw.githubusercontent.com/openshift/origin/master/examples/hello-openshift/hello-pod.json

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 hello-openshift 라는 서비스를 생성합니다.

   $ oc expose pod/hello-openshift

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 hello-openshift 애플리케이션에 대한 비보안 경로를 생성합니다.

   $ oc expose svc hello-openshift

   Copy to Clipboard Toggle word wrap

프로세스

1. 경로 정의를 생성하고 app-example-route.yaml 이라는 파일에 저장합니다.

   HTTP 헤더 지시문을 사용하여 생성된 경로의 YAML 정의

   apiVersion: route.openshift.io/v1
   kind: Route
   # ...
   spec:
     host: app.example.com
     tls:
       termination: edge
     to:
       kind: Service
       name: app-example
     httpHeaders:
       actions: 

   1

   
         response: 

   2

   
         - name: Content-Location 

   3

   
           action:
             type: Set 

   4

   
             set:
               value: /lang/en-us 

   5

   Copy to Clipboard Toggle word wrap

   1

   HTTP 헤더에서 수행할 작업 목록입니다.

   2

   변경할 헤더 유형입니다. 이 경우 응답 헤더입니다.

   3

   변경할 헤더의 이름입니다. 설정하거나 삭제할 수 있는 사용 가능한 헤더 목록은 HTTP 헤더 구성 을 참조하십시오.

   4

   헤더에서 수행되는 작업 유형입니다. 이 필드에는 Set 또는 Delete 값이 있을 수 있습니다.

   5

   HTTP 헤더를 설정할 때 값을 제공해야 합니다. 값은 해당 헤더에 사용 가능한 지시문 목록(예: DENY )의 문자열이거나 HAProxy의 동적 값 구문을 사용하여 해석되는 동적 값이 될 수 있습니다. 이 경우 값은 콘텐츠의 상대 위치로 설정됩니다.

2. 새로 생성된 경로 정의를 사용하여 기존 웹 애플리케이션에 대한 경로를 생성합니다.

   $ oc -n app-example create -f app-example-route.yaml

   Copy to Clipboard Toggle word wrap

1. 기본적으로 라우터는 5s마다 다시 로드되어 처음부터 포드 간에 분산 연결을 재설정합니다. 결과적으로 roundrobin 상태는 다시 로드해도 유지되지 않습니다. 이 알고리즘은 Pod에 거의 동일한 컴퓨팅 용량 및 스토리지 용량이 있는 경우 가장 잘 작동합니다. 예를 들어 CI/CD 파이프라인을 사용하므로 애플리케이션 또는 서비스에서 끝점을 지속적으로 변경한 경우 분산이 일관되지 않을 수 있습니다. 이 경우 다른 알고리즘을 사용하십시오.

2. 허용 목록의 IP 주소 및 CIDR 범위가 61를 초과하면 haproxy.config 파일에서 참조되는 별도의 파일에 작성됩니다. 이 파일은 /var/lib/haproxy/router/allowlists 폴더에 저장됩니다.

   참고

   주소가 허용 목록에 작성되도록 하려면 전체 CIDR 범위가 Ingress 컨트롤러 구성 파일에 나열되어 있는지 확인합니다. etcd 오브젝트 크기 제한은 경로 주석의 크기를 제한합니다. 이로 인해 허용 목록에 포함할 수 있는 최대 IP 주소 및 CIDR 범위에 대한 임계값이 생성됩니다.

프로세스

1. Ingress 오브젝트에 대한 YAML 파일을 생성합니다. 이 예제에서는 파일을 example-ingress.yaml 이라고 합니다.

   Ingress 오브젝트의 YAML 정의

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     ...
   spec:
     rules:
       ...
     tls:
     - {} 

   1

   Copy to Clipboard Toggle word wrap

   1

   사용자 정의 인증서를 지정하지 않고 TLS를 지정하려면 이 정확한 구문을 사용합니다.

2. 다음 명령을 실행하여 Ingress 오브젝트를 생성합니다.

   $ oc create -f example-ingress.yaml

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 입력하여 대상 CA 인증서에 대한 보안을 생성합니다.

   $ oc create secret generic dest-ca-cert --from-file=tls.crt=<file_path>

   Copy to Clipboard Toggle word wrap

   예를 들면 다음과 같습니다.

   $ oc -n test-ns create secret generic dest-ca-cert --from-file=tls.crt=tls.crt

   Copy to Clipboard Toggle word wrap

   출력 예

   secret/dest-ca-cert created

   Copy to Clipboard Toggle word wrap

2. Ingress 주석에 route.openshift.io/destination-ca-certificate-secret 을 추가합니다.

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: "reencrypt"
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert 

   1

   
   ...

   Copy to Clipboard Toggle word wrap

   1

   이 주석은 kubernetes 시크릿을 참조합니다.

3. 이 주석에서 참조된 시크릿은 생성된 경로에 삽입됩니다.

   출력 예

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: reencrypt
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert
   spec:
   ...
     tls:
       insecureEdgeTerminationPolicy: Redirect
       termination: reencrypt
       destinationCACertificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
   ...

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 라우터 서비스 계정을 읽을 수 있도록 시크릿과 동일한 네임스페이스에 역할을 생성합니다.

   $ oc create role secret-reader --verb=get,list,watch --resource=secrets --resource-name=<secret-name> \ 

   1

   
   --namespace=<current-namespace> 

   2

   Copy to Clipboard Toggle word wrap

   1

   시크릿의 실제 이름을 지정합니다.

   2

   시크릿과 경로가 모두 있는 네임스페이스를 지정합니다.

2. 보안과 동일한 네임스페이스에 rolebinding 을 생성하고 다음 명령을 실행하여 라우터 서비스 계정을 새로 생성된 역할에 바인딩합니다.

   $ oc create rolebinding secret-reader-binding --role=secret-reader --serviceaccount=openshift-ingress:router --namespace=<current-namespace> 

   1

   Copy to Clipboard Toggle word wrap

   1

   시크릿과 경로가 모두 있는 네임스페이스를 지정합니다.

3. 경로를 정의하는 YAML 파일을 생성하고 다음 예제를 사용하여 인증서가 포함된 보안을 지정합니다.

   보안 경로에 대한 YAML 정의

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: myedge
     namespace: test
   spec:
     host: myedge-test.apps.example.com
     tls:
       externalCertificate:
         name: <secret-name> 

   1

   
       termination: edge
       [...]
   [...]

   Copy to Clipboard Toggle word wrap

   1

   시크릿의 실제 이름을 지정합니다.

4. 다음 명령을 실행하여 경로 리소스를 생성합니다.

   $ oc apply -f <route.yaml> 

   1

   Copy to Clipboard Toggle word wrap

   1

   생성된 YAML 파일 이름을 지정합니다.

   보안이 존재하고 인증서/키 쌍이 있는 경우 라우터는 모든 사전 요구 사항을 충족하는 경우 생성된 인증서를 제공합니다.

   참고

   .spec.tls.externalCertificate 를 제공하지 않으면 라우터에서 기본 생성된 인증서를 사용합니다.

   .spec.tls.externalCertificate 필드를 사용하는 경우 .spec.tls.certificate 필드 또는 .spec.tls.key 필드를 지정할 수 없습니다.