4장. FIPS 암호화 지원
FIPS 모드에서 OpenShift Container Platform 클러스터를 설치할 수 있습니다.
OpenShift Container Platform은 FIPS용으로 설계되었습니다. FIPS 모드에서 부팅된 RHEL(Red Hat Enterprise Linux CoreOS) 또는 RHCOS(Red Hat Enterprise Linux CoreOS)를 실행하는 경우 OpenShift Container Platform 코어 구성 요소는 x86_64, ppc64le 및 s390x 아키텍처에서만 FIPS 140-2/140-3 Validation에 대해 NIST에 제출된 RHEL 암호화 라이브러리를 사용합니다.
NIST 검증 프로그램에 대한 자세한 내용은 암호화 모듈 유효성 검사 프로그램을 참조하십시오. 검증을 위해 제출된 개별 RHEL 암호화 라이브러리의 최신 NIST 상태는 규정 준수 활동 및 정부 표준을 참조하십시오.
클러스터의 FIPS 모드를 활성화하려면 FIPS 모드에서 작동하도록 구성된 RHEL 8 컴퓨터에서 설치 프로그램을 실행해야 합니다. OpenShift Container Platform 클러스터를 설치하기 위해 FIPS 모드가 활성화된 RHEL 9를 실행할 수 없습니다.
RHEL에서 FIPS 모드 구성에 대한 자세한 내용은 FIPS 모드에서 시스템 설치를 참조하십시오.
클러스터의 RHCOS (Red Hat Enterprise Linux CoreOS) 시스템의 경우 이 변경 사항은 사용자가 클러스터의 배치시 변경할 수 있는 클러스터 옵션을 제어하는 install-config.yaml 파일의 옵션 상태를 기반으로 시스템을 배치할 때 적용됩니다. Red Hat Enterprise Linux (RHEL) 시스템에서는 작업자 시스템으로 사용하려는 시스템에 운영 체제를 설치할 때 FIPS 모드를 활성화해야 합니다.
클러스터가 사용하는 운영 체제를 처음 부팅하기 전에 FIPS를 활성화해야하므로 클러스터를 배포한 후 FIPS를 활성화할 수 없습니다.
4.1. OpenShift Container Platform에서 FIPS 검증
OpenShift Container Platform은 사용하는 운영 체제 구성 요소에 대해 RHEL 및 RHCOS에서 특정 FIPS 검증 또는 모듈 In Process 모듈을 사용합니다. RHEL8 핵심 암호화 구성 요소를 참조하십시오. 예를 들어 사용자가 SSH를 사용하여 OpenShift Container Platform 클러스터 및 컨테이너에 연결하면 해당 연결이 올바르게 암호화됩니다.
OpenShift Container Platform 구성 요소는 Go로 작성된 Red Hat의 golang 컴파일러를 사용하여 빌드됩니다. 클러스터의 FIPS 모드를 활성화하면 암호화 서명이 필요한 모든 OpenShift Container Platform 구성 요소에 대해 RHEL 및 RHCOS 암호화 라이브러리를 호출합니다.
| 속성 | 제한 |
|---|---|
| RHEL 8 및 RHCOS 운영 체제에서 FIPS 지원 | FIPS 구현은 해시 함수를 계산하고 해당 해시 기반 키를 검증하는 단일 함수를 제공하지 않습니다. 이 제한은 향후 OpenShift Container Platform 릴리스에서 지속적으로 평가 및 개선될 예정입니다. |
| CRI-O 런타임에서 FIPS 지원 | |
| OpenShift Container Platform 서비스에서 FIPS 지원 | |
| RHEL 8 및 RHCOS 바이너리 및 이미지에서 얻은 FIPS 검증 또는 모듈 In Process 암호화 모듈 및 알고리즘 | |
| FIPS 호환 golang 컴파일러 사용 | TLS FIPS 지원은 완전히 구현되어 있지 않지만 향후 OpenShift Container Platform 버전에서 완전히 지원될 예정입니다. |
| 여러 아키텍처에서 FIPS 지원 |
FIPS는 현재 |
