8.4. ACME 발행자를 사용하여 인증서 관리

절차

1. ACME 클러스터 발행자를 생성합니다.

   1. ClusterIssuer 오브젝트를 정의하는 YAML 파일을 생성합니다.

      acme-cluster-issuer.yaml 파일 예

      apiVersion: cert-manager.io/v1
      kind: ClusterIssuer
      metadata:
        name: letsencrypt-staging                                        1
      spec:
        acme:
          preferredChain: ""
          privateKeySecretRef:
            name: <secret_for_private_key>                               2
          server: https://acme-staging-v02.api.letsencrypt.org/directory 3
          solvers:
          - http01:
              ingress:
                class: openshift-default                                 4

      1

      클러스터 발행자의 이름을 지정합니다.

      2

      & lt;secret_private_key >를 ACME 계정 개인 키를 저장할 secret 이름으로 교체합니다.

      3

      ACME 서버의 디렉터리 끝점에 액세스할 URL을 지정합니다. 이 예에서는 Let's Encrypt staging 환경을 사용합니다.

      4

      Ingress 클래스를 지정합니다.

   2. 다음 명령을 실행하여 ClusterIssuer 오브젝트를 생성합니다.

      $ oc create -f acme-cluster-issuer.yaml

2. 사용자 워크로드의 서비스를 노출하는 Ingress를 생성합니다.

   1. Namespace 오브젝트를 정의하는 YAML 파일을 생성합니다.

      namespace.yaml 파일 예

      apiVersion: v1
      kind: Namespace
      metadata:
        name: my-ingress-namespace 1

      1

      Ingress의 네임스페이스를 지정합니다.

   2. 다음 명령을 실행하여 Namespace 오브젝트를 생성합니다.

      $ oc create -f namespace.yaml

   3. Ingress 오브젝트를 정의하는 YAML 파일을 생성합니다.

      ingress.yaml 파일 예

      apiVersion: networking.k8s.io/v1
      kind: Ingress
      metadata:
        name: sample-ingress                                           1
        namespace: my-ingress-namespace                                2
        annotations:
          cert-manager.io/cluster-issuer: letsencrypt-staging          3
          acme.cert-manager.io/http01-ingress-class: openshift-default 4
      spec:
        ingressClassName: openshift-default                            5
        tls:
        - hosts:
          - <hostname>                                                 6
          secretName: sample-tls                                       7
        rules:
        - host: <hostname>                                             8
          http:
            paths:
            - path: /
              pathType: Prefix
              backend:
                service:
                  name: sample-workload                                9
                  port:
                    number: 80

      1

      Ingress 이름을 지정합니다.

      2

      Ingress용으로 생성한 네임스페이스를 지정합니다.

      3

      생성한 클러스터 발행자를 지정합니다.

      4

      Ingress 클래스를 지정합니다.

      5

      Ingress 클래스를 지정합니다.

      6

      & lt;hostname >을 인증서와 연결할 주체 대체 이름으로 바꿉니다. 이 이름은 인증서에 DNS 이름을 추가하는 데 사용됩니다.

      7

      생성된 인증서를 저장할 보안을 지정합니다.

      8

      &lt ;hostname&gt;을 호스트 이름으로 교체합니다. < host_name>.<cluster_ingress_domain > 구문을 사용하여 *.<cluster_ingress_domain > 와일드카드 DNS 레코드를 활용하고 클러스터에 대한 인증서를 제공할 수 있습니다. 예를 들어 apps.<cluster_base_domain>을 사용할 수 있습니다. 그렇지 않으면 선택한 호스트 이름에 대한 DNS 레코드가 있는지 확인해야 합니다.

      9

      노출할 서비스 이름을 지정합니다. 이 예에서는 sample-workload 라는 서비스를 사용합니다.

   4. 다음 명령을 실행하여 Ingress 오브젝트를 생성합니다.

      $ oc create -f ingress.yaml

절차

1. 선택 사항: DNS-01 자체 검사의 네임서버 설정을 재정의합니다.

   이 단계는 대상 퍼블릭 호스팅 영역이 클러스터의 기본 프라이빗 호스팅 영역과 겹치는 경우에만 필요합니다.

   1. 다음 명령을 실행하여 CertManager 리소스를 편집합니다.

      $ oc edit certmanager cluster

   2. 다음 덮어쓰기 인수를 사용하여 spec.controllerConfig 섹션을 추가합니다.

      apiVersion: operator.openshift.io/v1alpha1
      kind: CertManager
      metadata:
        name: cluster
        ...
      spec:
        ...
        controllerConfig:                                1
          overrideArgs:
            - '--dns01-recursive-nameservers=1.1.1.1:53' 2
            - '--dns01-recursive-nameservers-only'       3

      1

      spec.controllerConfig 섹션을 추가합니다.

      2

      DNS-01 자체 검사를 쿼리할 쉼표로 구분된 < host>:<port > 이름 서버 목록을 제공합니다.

      3

      해당 도메인과 연결된 권한 있는 네임서버를 확인하는 대신 재귀 이름 서버만 사용하도록 지정합니다.

   3. 파일을 저장하여 변경 사항을 적용합니다.

2. 선택 사항: 발급자에 대한 네임스페이스를 생성합니다.

   1. Namespace 오브젝트를 정의하는 YAML 파일을 생성합니다.

      namespace.yaml 파일 예

      apiVersion: v1
      kind: Namespace
      metadata:
        name: my-issuer-namespace 1

      1

      발행자의 네임스페이스를 지정합니다.

   2. 다음 명령을 실행하여 Namespace 오브젝트를 생성합니다.

      $ oc create -f namespace.yaml

3. 다음 명령을 실행하여 AWS 인증 정보를 저장할 시크릿을 생성합니다.

   $ oc create secret generic aws-secret --from-literal=awsSecretAccessKey=<aws_secret_access_key> \ 1
       -n my-issuer-namespace

   1

   & lt;aws_secret_access_key&gt;를 AWS 시크릿 액세스 키로 교체합니다.

4. 발급자를 만듭니다.

   1. Issuer 오브젝트를 정의하는 YAML 파일을 생성합니다.

      issuer.yaml 파일 예

      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: letsencrypt-staging                                        1
        namespace: my-issuer-namespace                                   2
      spec:
        acme:
          server: https://acme-staging-v02.api.letsencrypt.org/directory 3
          email: "<email_address>"                                       4
          privateKeySecretRef:
            name: <secret_private_key>                                   5
          solvers:
          - dns01:
              route53:
                accessKeyID: <aws_key_id>                                6
                hostedZoneID: <hosted_zone_id>                           7
                region: us-east-1
                secretAccessKeySecretRef:
                  name: "aws-secret"                                     8
                  key: "awsSecretAccessKey"                              9

      1

      발행자의 이름을 지정합니다.

      2

      발행자를 위해 생성한 네임스페이스를 지정합니다.

      3

      ACME 서버의 디렉터리 끝점에 액세스할 URL을 지정합니다. 이 예에서는 Let's Encrypt staging 환경을 사용합니다.

      4

      &lt ;email_address&gt;를 이메일 주소로 바꿉니다.

      5

      & lt;secret_private_key >를 ACME 계정 개인 키를 저장할 시크릿 이름으로 교체합니다.

      6

      &lt ;aws_key_id&gt;를 AWS 키 ID로 바꿉니다.

      7

      &lt ;hosted_zone_id&gt;를 호스팅 영역 ID로 바꿉니다.

      8

      생성한 보안의 이름을 지정합니다.

      9

      AWS 시크릿 액세스 키를 저장하는 시크릿의 키를 지정합니다.

   2. 다음 명령을 실행하여 Issuer 오브젝트를 생성합니다.

      $ oc create -f issuer.yaml

5. 인증서를 생성합니다.

   1. Certificate 오브젝트를 정의하는 YAML 파일을 생성합니다.

      certificate.yaml 파일 예

      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: my-tls-cert              1
        namespace: my-issuer-namespace 2
      spec:
        isCA: false
        commonName: '<common_name>'    3
        secretName: my-tls-cert        4
        dnsNames:
        - '<domain_name>'              5
        issuerRef:
          name: letsencrypt-staging    6
          kind: Issuer

      1

      인증서 이름을 입력합니다.

      2

      발행자를 위해 생성한 네임스페이스를 지정합니다.

      3

      &lt ;common_name&gt;을 CN(일반 이름)으로 바꿉니다.

      4

      인증서를 포함할 보안의 이름을 지정합니다.

      5

      &lt ;domain_name&gt;을 도메인 이름으로 바꿉니다.

      6

      생성한 발급자의 이름을 지정합니다.

   2. 다음 명령을 실행하여 Certificate 오브젝트를 생성합니다.

      $ oc create -f certificate.yaml