23장. 경로 구성

프로세스

1. 다음 명령을 실행하여 hello-openshift 라는 프로젝트를 생성합니다.

   $ oc new-project hello-openshift

2. 다음 명령을 실행하여 프로젝트에 Pod를 생성합니다.

   $ oc create -f https://raw.githubusercontent.com/openshift/origin/master/examples/hello-openshift/hello-pod.json

3. 다음 명령을 실행하여 hello-openshift 라는 서비스를 생성합니다.

   $ oc expose pod/hello-openshift

4. 다음 명령을 실행하여 hello-openshift 애플리케이션에 대한 비보안 경로를 생성합니다.

   $ oc expose svc hello-openshift

프로세스

1. 다음 명령을 실행하여 hello-openshift 라는 프로젝트를 생성합니다.

   $ oc new-project hello-openshift

2. 다음 명령을 실행하여 프로젝트에 Pod를 생성합니다.

   $ oc create -f https://raw.githubusercontent.com/openshift/origin/master/examples/hello-openshift/hello-pod.json

3. 다음 명령을 실행하여 hello-openshift 라는 서비스를 생성합니다.

   $ oc expose pod/hello-openshift

4. hello-openshift-route.yaml 이라는 경로 정의를 생성합니다.

   분할을 위해 생성된 경로의 YAML 정의:

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     labels:
       type: sharded 1
     name: hello-openshift-edge
     namespace: hello-openshift
   spec:
     subdomain: hello-openshift 2
     tls:
       termination: edge
     to:
       kind: Service
       name: hello-openshift

   1

   레이블 키와 해당 레이블 값은 Ingress 컨트롤러에 지정된 라벨과 일치해야 합니다. 이 예제에서 Ingress 컨트롤러에는 레이블 키와 값 type: sharded 가 있습니다.

   2

   경로는 subdomain 필드의 값을 사용하여 노출됩니다. 하위 도메인 필드를 지정할 때 호스트 이름을 설정되지 않은 상태로 두어야 합니다. host 및 subdomain 필드를 모두 지정하면 경로는 호스트 필드의 값을 사용하고 subdomain 필드를 무시합니다.

5. 다음 명령을 실행하여 hello-openshift-route.yaml 을 사용하여 hello-openshift 애플리케이션에 대한 경로를 생성합니다.

   $ oc -n hello-openshift create -f hello-openshift-route.yaml

프로세스

1. oc annotate 명령을 사용하여 경로에 시간 초과를 추가합니다.

   $ oc annotate route <route_name> \
       --overwrite haproxy.router.openshift.io/timeout=<timeout><time_unit> 1

   1

   지원되는 시간 단위는 마이크로초(us), 밀리초(ms), 초(s), 분(m), 시간(h) 또는 일(d)입니다.

   다음 예제는 이름이 myroute인 경로에서 2초의 시간 초과를 설정합니다.

   $ oc annotate route myroute --overwrite haproxy.router.openshift.io/timeout=2s

절차

1. OpenShift Container Platform 콘솔에서 또는 oc create 명령을 입력하여 Ingress 오브젝트를 정의합니다.

   Ingress의 YAML 정의

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: "reencrypt" 1
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert 2
   spec:
     rules:
     - host: www.example.com 3
       http:
         paths:
         - backend:
             service:
               name: frontend
               port:
                 number: 443
           path: /
           pathType: Prefix
     tls:
     - hosts:
       - www.example.com
       secretName: example-com-tls-certificate

   1

   Ingress에는 Route에 대한 필드가 없으므로 route.openshift.io/termination 주석을 사용하여 spec.tls.termination 필드를 구성할 수 있습니다. 허용되는 값은 edge, passthrough, reencrypt입니다. 다른 모든 값은 자동으로 무시됩니다. 주석 값이 설정되지 않으면 edge 는 기본 경로입니다. 기본 엣지 경로를 구현하려면 템플릿 파일에 TLS 인증서 세부 정보를 정의해야 합니다.

   3

   Ingress 오브젝트로 작업할 때는 경로를 사용할 때와 달리 명시적 호스트 이름을 지정해야 합니다. < host_name>.<cluster_ingress_domain > 구문(예: apps.openshiftdemos.com ) 구문을 사용하여 *.<cluster_ingress_domain > 와일드카드 DNS 레코드와 클러스터의 제공 인증서를 활용할 수 있습니다. 그렇지 않으면 선택한 호스트 이름에 대한 DNS 레코드가 있는지 확인해야 합니다.

   1. route.openshift.io/termination 주석에 passthrough 값을 지정하는 경우 path를 ''로 설정하고 spec에서 pathType을 ImplementationSpecific으로 설정합니다.

        spec:
          rules:
          - host: www.example.com
            http:
              paths:
              - path: ''
                pathType: ImplementationSpecific
                backend:
                  service:
                    name: frontend
                    port:
                      number: 443

      $ oc apply -f ingress.yaml

   2

   Ingress 오브젝트에서 route.openshift.io/destination-ca-certificate-secret 을 사용하여 사용자 정의 대상 인증서(CA)로 경로를 정의할 수 있습니다. 주석은 생성된 경로에 삽입할 kubernetes 시크릿 secret-ca-cert 를 참조합니다.

   1. Ingress 오브젝트에서 대상 CA를 사용하여 경로 오브젝트를 지정하려면 시크릿의 data.tls.crt 구성 요소에 PEM 인코딩 형식의 인증서가 있는 kubernetes.io/tls 또는 Opaque 유형 시크릿을 생성해야 합니다.

2. 노드를 나열합니다.

   $ oc get routes

   결과에는 이름이 frontend-로 시작하는 자동 생성 경로가 포함됩니다.

   NAME             HOST/PORT         PATH    SERVICES    PORT    TERMINATION          WILDCARD
   frontend-gnztq   www.example.com           frontend    443     reencrypt/Redirect   None

   이 경로를 살펴보면 다음과 같습니다.

   자동 생성 경로의 YAML 정의

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: frontend-gnztq
     ownerReferences:
     - apiVersion: networking.k8s.io/v1
       controller: true
       kind: Ingress
       name: frontend
       uid: 4e6c59cc-704d-4f44-b390-617d879033b6
   spec:
     host: www.example.com
     path: /
     port:
       targetPort: https
     tls:
       certificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
       insecureEdgeTerminationPolicy: Redirect
       key: |
         -----BEGIN RSA PRIVATE KEY-----
         [...]
         -----END RSA PRIVATE KEY-----
       termination: reencrypt
       destinationCACertificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
     to:
       kind: Service
       name: frontend

프로세스

1. Ingress 오브젝트에 대한 YAML 파일을 생성합니다. 이 예제에서는 파일을 example-ingress.yaml 이라고 합니다.

   Ingress 오브젝트의 YAML 정의

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     ...
   spec:
     rules:
       ...
     tls:
     - {} 1

   1

   이 정확한 구문을 사용하여 사용자 정의 인증서를 지정하지 않고 TLS를 지정합니다.

2. 다음 명령을 실행하여 Ingress 오브젝트를 생성합니다.

   $ oc create -f example-ingress.yaml

프로세스

1. Ingress 주석에 route.openshift.io/destination-ca-certificate-secret 을 추가합니다.

   apiVersion: networking.k8s.io/v1
   kind: Ingress
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: "reencrypt"
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert 1
   ...

   1

   주석은 kubernetes 보안을 참조합니다.

2. 이 주석에서 참조하는 보안이 생성된 경로에 삽입됩니다.

   출력 예

   apiVersion: route.openshift.io/v1
   kind: Route
   metadata:
     name: frontend
     annotations:
       route.openshift.io/termination: reencrypt
       route.openshift.io/destination-ca-certificate-secret: secret-ca-cert
   spec:
   ...
     tls:
       insecureEdgeTerminationPolicy: Redirect
       termination: reencrypt
       destinationCACertificate: |
         -----BEGIN CERTIFICATE-----
         [...]
         -----END CERTIFICATE-----
   ...

프로세스

1. Ingress 컨트롤러가 워크로드로 IPv4/IPv6을 통해 트래픽을 제공하도록 하려면 ipFamilies 및 ipFamilyPolicy 필드를 설정하여 서비스 YAML 파일을 생성하거나 기존 서비스 YAML 파일을 수정할 수 있습니다. 예를 들면 다음과 같습니다.

   샘플 서비스 YAML 파일

   apiVersion: v1
   kind: Service
   metadata:
     creationTimestamp: yyyy-mm-ddT00:00:00Z
     labels:
       name: <service_name>
       manager: kubectl-create
       operation: Update
       time: yyyy-mm-ddT00:00:00Z
     name: <service_name>
     namespace: <namespace_name>
     resourceVersion: "<resource_version_number>"
     selfLink: "/api/v1/namespaces/<namespace_name>/services/<service_name>"
     uid: <uid_number>
   spec:
     clusterIP: 172.30.0.0/16
     clusterIPs: 1
     - 172.30.0.0/16
     - <second_IP_address>
     ipFamilies: 2
     - IPv4
     - IPv6
     ipFamilyPolicy: RequireDualStack 3
     ports:
     - port: 8080
       protocol: TCP
       targetport: 8080
     selector:
       name: <namespace_name>
     sessionAffinity: None
     type: ClusterIP
   status:
     loadbalancer: {}

   1

   듀얼 스택 인스턴스에는 두 개의 서로 다른 clusterIPs가 제공됩니다.

   2

   단일 스택 인스턴스의 경우 IPv4 또는 IPv6을 입력합니다. 듀얼 스택 인스턴스의 경우 IPv4 및 IPv6 모두를 입력합니다.

   3

   단일 스택 인스턴스의 경우 SingleStack을 입력합니다. 듀얼 스택 인스턴스의 경우 RequireDualStack을 입력합니다.

   이러한 리소스는 해당 endpoints를 생성합니다. Ingress 컨트롤러는 이제 endpointslices를 감시합니다.

2. endpoints를 확인하려면 다음 명령을 입력합니다:

   $ oc get endpoints

3. endpointslices를 확인하려면 다음 명령을 입력합니다.

   $ oc get endpointslices