3장. 인증서 구성

프로세스

1. 와일드카드 인증서에 서명하는 데 사용되는 루트 CA 인증서만 포함하는 구성 맵을 생성합니다.

   $ oc create configmap custom-ca \
        --from-file=ca-bundle.crt=</path/to/example-ca.crt> \

   1

   
        -n openshift-config

   Copy to Clipboard

   1

   </path/to/example-ca.crt>는 로컬 파일 시스템에서 루트 CA 인증서 파일의 경로입니다. 예를 들어 /etc/pki/ca-trust/source/anchors.

2. 새로 생성된 구성 맵으로 클러스터 전체 프록시 구성을 업데이트합니다.

   $ oc patch proxy/cluster \
        --type=merge \
        --patch='{"spec":{"trustedCA":{"name":"custom-ca"}}}'

   Copy to Clipboard
   참고

   클러스터에 대해 신뢰할 수 있는 CA만 업데이트하면 MCO는 /etc/pki/ca-trust/source/anchors/openshift-config-user-ca-bundle.crt 파일을 업데이트하고 노드를 재부팅할 필요가 없도록 신뢰할 수 있는 CA 업데이트를 각 노드에 적용합니다. 그러나 이러한 변경으로 인해 MCP(Machine Config Daemon)가 kubelet 및 CRI-O와 같은 각 노드에서 중요한 서비스를 다시 시작합니다. 이러한 서비스를 다시 시작하면 서비스가 완전히 다시 시작될 때까지 각 노드가 NotReady 상태를 간략하게 입력합니다.

   openshift-config-user-ca-bundle.crt 파일(예: noproxy )에서 다른 매개변수를 변경하면 MCO가 클러스터의 각 노드를 재부팅합니다.

3. 와일드카드 인증서 체인과 키를 포함하는 보안을 생성합니다.

   $ oc create secret tls <secret> \

   1

   
        --cert=</path/to/cert.crt> \

   2

   
        --key=</path/to/cert.key> \

   3

   
        -n openshift-ingress

   Copy to Clipboard

   1

   <secret>은 인증서 체인과 개인 키를 포함할 보안의 이름입니다.

   2

   </path/to/cert.crt>는 로컬 파일 시스템의 인증서 체인 경로입니다.

   3

   </path/to/cert.key>는 이 인증서와 관련된 개인 키의 경로입니다.

4. 새로 생성된 보안으로 Ingress Controller 구성을 업데이트합니다.

   $ oc patch ingresscontroller.operator default \
        --type=merge -p \
        '{"spec":{"defaultCertificate": {"name": "<secret>"}}}' \

   1

   
        -n openshift-ingress-operator

   Copy to Clipboard

   1

   <secret>을 이전 단계에서 보안에 사용된 이름으로 교체합니다.

   중요

   롤링 업데이트를 수행하기 위해 Ingress Operator를 트리거하려면 보안 이름을 업데이트해야 합니다. kubelet은 볼륨 마운트의 시크릿에 변경 사항을 자동으로 전파하므로 시크릿 콘텐츠를 업데이트해도 롤링 업데이트가 트리거되지 않습니다. 자세한 내용은 Red Hat 지식베이스 솔루션을 참조하십시오.