8.12. GCP에서 Red Hat OpenShift용 cert-manager Operator 인증

프로세스

1. 다음 yaml을 적용하여 sample-credential-request.yaml 과 같은 CredentialsRequest 리소스 YAML 파일을 생성합니다.

   apiVersion: cloudcredential.openshift.io/v1
   kind: CredentialsRequest
   metadata:
     name: cert-manager
     namespace: openshift-cloud-credential-operator
   spec:
     providerSpec:
       apiVersion: cloudcredential.openshift.io/v1
       kind: GCPProviderSpec
       predefinedRoles:
       - roles/dns.admin
     secretRef:
       name: gcp-credentials
       namespace: cert-manager
     serviceAccountNames:
     - cert-manager

   참고

   dns.admin 역할은 Google Cloud DNS 리소스를 관리하기 위해 서비스 계정에 대한 관리자 권한을 제공합니다. cert-manager가 최소 권한이 있는 서비스 계정으로 실행되도록 다음 권한을 사용하여 사용자 지정 역할을 생성할 수 있습니다.

   • dns.resourceRecordSets.*
   • dns.changes.*
   • dns.managedZones.list

2. 다음 명령을 실행하여 CredentialsRequest 리소스를 생성합니다.

   $ oc create -f sample-credential-request.yaml

3. 다음 명령을 실행하여 cert-manager Operator for Red Hat OpenShift의 서브스크립션 오브젝트를 업데이트합니다.

   $ oc -n cert-manager-operator patch subscription openshift-cert-manager-operator --type=merge -p '{"spec":{"config":{"env":[{"name":"CLOUD_CREDENTIALS_SECRET_NAME","value":"gcp-credentials"}]}}}'

검증

1. 다음 명령을 실행하여 재배포된 cert-manager 컨트롤러 Pod의 이름을 가져옵니다.

   $ oc get pods -l app.kubernetes.io/name=cert-manager -n cert-manager

   출력 예

   NAME                                       READY   STATUS    RESTARTS   AGE
   cert-manager-bd7fbb9fc-wvbbt               1/1     Running   0          15m39s

2. 다음 명령을 실행하여 cert-manager 컨트롤러 Pod가 mountPath 에 지정된 경로에 마운트된 GCP 인증 정보 볼륨으로 업데이트되었는지 확인합니다.

   $ oc get -n cert-manager pod/<cert-manager_controller_pod_name> -o yaml

   출력 예

   spec:
     containers:
     - args:
       ...
       volumeMounts:
       ...
       - mountPath: /.config/gcloud
         name: cloud-credentials
       ....
     volumes:
     ...
     - name: cloud-credentials
       secret:
         ...
         items:
         - key: service_account.json
           path: application_default_credentials.json
         secretName: gcp-credentials