1.13. 보안

절차

1. 웹 콘솔에 로그인합니다.
2. 프로젝트 메뉴를 클릭하고 Service Mesh Control Plane을 설치한 프로젝트(예: istio-system )를 선택합니다.
3. Operators 설치된 Operators를 클릭합니다.
4. 제공된 API에서 Service Mesh Control Plane을 클릭합니다.
5. ServiceMeshControlPlane 리소스의 이름(예: production)을 클릭합니다.
6. 세부 정보 페이지에서 데이터 플레인 보안의 보안 섹션에서 토글을 클릭합니다.

1. Maistra 리포지토리에서 로컬로 예제 인증서를 저장하고 &lt ;path& gt;를 인증서 경로로 바꿉니다.

2. 입력 파일 ca-cert.pem,ca-key.pem,root-cert.pem 및 cert-chain.pem 을 포함하는 cacert 라는 시크릿을 생성합니다.

   $ oc create secret generic cacerts -n istio-system --from-file=<path>/ca-cert.pem \
       --from-file=<path>/ca-key.pem --from-file=<path>/root-cert.pem \
       --from-file=<path>/cert-chain.pem

3. ServiceMeshControlPlane 리소스에서 spec.security.dataPlane.mtls true 를 true 로 설정하고 다음 예와 같이 certificateAuthority 필드를 구성합니다. 기본 rootCADir는 /etc/cacerts입니다. 키와 인증서가 기본 위치에 마운트된 경우 privateKey를 설정할 필요가 없습니다. 서비스 메시는 secret-mount 파일에서 인증서와 키를 읽습니다.

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true
       certificateAuthority:
         type: Istiod
         istiod:
           type: PrivateKey
           privateKey:
             rootCADir: /etc/cacerts

4. cacert 시크릿을 생성/변경/삭제한 후 Service Mesh Control Plane istiod 및 게이트웨이 pod를 다시 시작해야 변경 사항이 적용됩니다. 다음 명령을 사용하여 Pod를 재시작합니다.

   $ oc -n istio-system delete pods -l 'app in (istiod,istio-ingressgateway, istio-egressgateway)'

   Operator는 삭제된 후 Pod를 자동으로 다시 생성합니다.

5. 사이드카 프록시가 시크릿 변경 사항을 선택하도록 info 애플리케이션 pod를 다시 시작합니다. 다음 명령을 사용하여 Pod를 재시작합니다.

   $ oc -n info delete pods --all

   출력은 다음과 유사합니다.

   pod "details-v1-6cd699df8c-j54nh" deleted
   pod "productpage-v1-5ddcb4b84f-mtmf2" deleted
   pod "ratings-v1-bdbcc68bc-kmng4" deleted
   pod "reviews-v1-754ddd7b6f-lqhsv" deleted
   pod "reviews-v2-675679877f-q67r2" deleted
   pod "reviews-v3-79d7549c7-c2gjs" deleted

6. Pod가 생성되고 다음 명령을 사용하여 준비되었는지 확인합니다.

   $ oc get pods -n info

1. 정보 워크로드에서 인증서를 추출하려면 다음 명령을 사용합니다.

   $ sleep 60
   $ oc -n info exec "$(oc -n bookinfo get pod -l app=productpage -o jsonpath={.items..metadata.name})" -c istio-proxy -- openssl s_client -showcerts -connect details:9080 > bookinfo-proxy-cert.txt
   $ sed -n '/-----BEGIN CERTIFICATE-----/{:start /-----END CERTIFICATE-----/!{N;b start};/.*/p}' info-proxy-cert.txt > certs.pem
   $ awk 'BEGIN {counter=0;} /BEGIN CERT/{counter++} { print > "proxy-cert-" counter ".pem"}' < certs.pem

   명령을 실행한 후 작업 디렉터리에 proxy-cert-1.pem,proxy-cert-2.pem 및 proxy-cert-3.pem 의 3개의 파일이 있어야 합니다.

2. 루트 인증서가 관리자가 지정한 것과 동일한지 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl x509 -in <path>/root-cert.pem -text -noout > /tmp/root-cert.crt.txt

   터미널 창에서 다음 구문을 실행합니다.

   $ openssl x509 -in ./proxy-cert-3.pem -text -noout > /tmp/pod-root-cert.crt.txt

   터미널 창에서 다음 구문을 실행하여 인증서를 비교합니다.

   $ diff -s /tmp/root-cert.crt.txt /tmp/pod-root-cert.crt.txt

   다음 결과가 표시됩니다. Files /tmp/root-cert.crt.txt 및 /tmp/pod-root-cert.crt.txt는 동일합니다.

3. CA 인증서가 관리자가 지정한 것과 동일한지 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl x509 -in <path>/ca-cert.pem -text -noout > /tmp/ca-cert.crt.txt

   터미널 창에서 다음 구문을 실행합니다.

   $ openssl x509 -in ./proxy-cert-2.pem -text -noout > /tmp/pod-cert-chain-ca.crt.txt

   터미널 창에서 다음 구문을 실행하여 인증서를 비교합니다.

   $ diff -s /tmp/ca-cert.crt.txt /tmp/pod-cert-chain-ca.crt.txt

   다음 결과가 표시됩니다. Files /tmp/ca-cert.crt.txt 및 /tmp/pod-cert-chain-ca.crt.txt는 동일합니다.

4. 루트 인증서에서 워크로드 인증서로의 인증서 체인을 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl verify -CAfile <(cat <path>/ca-cert.pem <path>/root-cert.pem) ./proxy-cert-1.pem

   다음과 같은 결과가 표시됩니다. ./proxy-cert-1.pem: OK

1. 시크릿 cacerts를 제거합니다. 이 예제에서 istio-system 은 Service Mesh Control Plane 프로젝트의 이름입니다.

   $ oc delete secret cacerts -n istio-system

2. ServiceMeshControlPlane 리소스에서 자체 서명된 루트 인증서로 서비스 메시를 재배포합니다.

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true

절차

1. 루트 클러스터 발행자를 생성합니다.

   $ oc apply -f cluster-issuer.yaml

   $ oc apply -n istio-system -f istio-ca.yaml

   예: cluster-issuer.yaml

   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: selfsigned-root-issuer
     namespace: cert-manager
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: root-ca
     namespace: cert-manager
   spec:
     isCA: true
     duration: 21600h # 900d
     secretName: root-ca
     commonName: root-ca.my-company.net
     subject:
       organizations:
       - my-company.net
     issuerRef:
       name: selfsigned-root-issuer
       kind: Issuer
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-ca
   spec:
     ca:
       secretName: root-ca

   예: istio-ca.yaml

   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: istio-system
   spec:
     isCA: true
     duration: 21600h
     secretName: istio-ca
     commonName: istio-ca.my-company.net
     subject:
       organizations:
       - my-company.net
     issuerRef:
       name: root-ca
       kind: ClusterIssuer
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: istio-ca
     namespace: istio-system
   spec:
     ca:
       secretName: istio-ca

   참고

   root-ca 는 클러스터 발행자이므로 selfsigned-root-issuer 발행자 및 root-ca 인증서의 네임스페이스가 cert-manager 이므로 cert-manager는 자체 네임스페이스에서 참조된 시크릿을 찾습니다. Red Hat OpenShift용 cert-manager Operator의 경우 자체 네임스페이스는 cert-manager입니다.

2. istio-csr 설치 :

   $ helm install istio-csr jetstack/cert-manager-istio-csr \
       -n istio-system \
       -f deploy/examples/cert-manager/istio-csr/istio-csr.yaml

   예: istio-csr.yaml

   replicaCount: 2
   
   image:
     repository: quay.io/jetstack/cert-manager-istio-csr
     tag: v0.6.0
     pullSecretName: ""
   
   app:
     certmanager:
       namespace: istio-system
       issuer:
         group: cert-manager.io
         kind: Issuer
         name: istio-ca
   
     controller:
       configmapNamespaceSelector: "maistra.io/member-of=istio-system"
       leaderElectionNamespace: istio-system
   
     istio:
       namespace: istio-system
       revisions: ["basic"]
   
     server:
       maxCertificateDuration: 5m
   
     tls:
       certificateDNSNames:
       # This DNS name must be set in the SMCP spec.security.certificateAuthority.cert-manager.address
       - cert-manager-istio-csr.istio-system.svc

3. SMCP를 배포합니다.

   $ oc apply -f mesh.yaml -n istio-system

   예: mesh.yaml

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   metadata:
     name: basic
   spec:
     addons:
       grafana:
         enabled: false
       kiali:
         enabled: false
       prometheus:
         enabled: false
     proxy:
       accessLogging:
         file:
           name: /dev/stdout
     security:
       certificateAuthority:
         cert-manager:
           address: cert-manager-istio-csr.istio-system.svc:443
         type: cert-manager
       dataPlane:
         mtls: true
       identity:
         type: ThirdParty
     tracing:
       type: None
   ---
   apiVersion: maistra.io/v1
   kind: ServiceMeshMemberRoll
   metadata:
     name: default
   spec:
     members:
     - httpbin
     - sleep

1. HTTP 및 절전 앱을 배포합니다.

   $ oc new-project <namespace>

   $ oc apply -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/httpbin/httpbin.yaml

   $ oc apply -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/sleep/sleep.yaml

2. sleep 에서 httpbin 서비스에 액세스할 수 있는지 확인합니다.

   $ oc exec "$(oc get pod -l app=sleep -n <namespace> \
      -o jsonpath={.items..metadata.name})" -c sleep -n <namespace> -- \
      curl http://httpbin.<namespace>:8000/ip -s -o /dev/null \
      -w "%{http_code}\n"

   출력 예:

   200

3. 수신 게이트웨이에서 httpbin 서비스로 mTLS 트래픽을 확인합니다.

   $ oc apply -n <namespace> -f https://raw.githubusercontent.com/maistra/istio/maistra-2.4/samples/httpbin/httpbin-gateway.yaml

4. istio-ingressgateway 경로를 가져옵니다.

   INGRESS_HOST=$(oc -n istio-system get routes istio-ingressgateway -o jsonpath='{.spec.host}')

5. 수신 게이트웨이에서 httpbin 서비스로의 mTLS 트래픽을 확인합니다.

   $ curl -s -I http://$INGRESS_HOST/headers -o /dev/null -w "%{http_code}" -s