12.3. 인증서 재배포
재배포 플레이북은 컨트롤 플레인 서비스를 다시 시작하여 클러스터 다운 타임을 일으킬 수 있습니다. 하나의 서비스에 오류가 발생하면 플레이북이 실패하고 클러스터 상태에 영향을 줄 수 있습니다. 플레이북이 실패하는 경우 문제를 수동으로 해결하고 플레이북을 다시 시작해야 할 수 있습니다. 플레이북은 성공하려면 모든 작업을 순차적으로 완료해야 합니다.
다음 플레이북을 사용하여 모든 관련 호스트에 마스터, etcd, 노드, 레지스트리 및 라우터 인증서를 재배포합니다. 현재 CA를 사용하여 모든 인증서를 한 번에 다시 배포하거나, 특정 구성 요소에 대해서만 인증서를 재배포하거나, 새로 생성된 또는 사용자 지정 CA를 자체적으로 재배포할 수 있습니다.
인증서 만료 플레이북과 마찬가지로 이러한 플레이북은 클러스터를 나타내는 인벤토리 파일을 사용하여 실행해야 합니다.
특히 인벤토리는 현재 클러스터 구성과 일치하도록 다음 변수를 통해 설정된 모든 호스트 이름 및 IP 주소를 지정하거나 재정의해야 합니다.
-
openshift_public_hostname -
openshift_public_ip -
openshift_master_cluster_hostname -
openshift_master_cluster_public_hostname
필요한 플레이북은 다음을 통해 제공됩니다.
# yum install openshift-ansible
다시 배포하는 동안 자동으로 생성된 인증서의 유효 기간(제한 기간)도 Ansible을 통해 구성할 수 있습니다. 인증서 유효성성 구성을 참조하십시오.
OpenShift Container Platform CA 및 etcd 인증서는 5년 후에 만료됩니다. 서명된 OpenShift Container Platform 인증서는 2년 후에 만료됩니다.
12.3.1. 현재 OpenShift Container Platform 및 etcd CA를 사용하여 모든 인증서 재배포
redeploy-certificates.yml 플레이북은 OpenShift Container Platform CA 인증서를 다시 생성하지 않습니다. 새 마스터, etcd, 노드, 레지스트리 및 라우터 인증서는 새 인증서에 서명하기 위해 현재 CA 인증서를 사용하여 생성됩니다.
여기에는 다음의 직렬 재시작도 포함됩니다.
- etcd
- 마스터 서비스
- 노드 서비스
현재 OpenShift Container Platform CA를 사용하여 마스터, etcd 및 노드 인증서를 재배포하려면 플레이북 디렉터리로 변경하고 인벤토리 파일을 지정하여 이 플레이북을 실행합니다.
$ cd /usr/share/ansible/openshift-ansible
$ ansible-playbook -i <inventory_file> \
playbooks/redeploy-certificates.yml
OpenShift Container Platform CA가 openshift-master/redeploy-openshift-ca.yml 플레이북 으로 재배포된 경우 이 명령에 -e openshift_redeploy_openshift_ca=true 를 추가해야 합니다.
