9.9. Red Hat OpenShift용 cert-manager Operator와 Istio-CSR 통합

검증

1. 다음 명령을 실행하여 배포 롤아웃이 완료되었는지 확인합니다.

   $ oc rollout status deployment/cert-manager-operator-controller-manager -n cert-manager-operator

   Copy to Clipboard Toggle word wrap

   출력 예

   deployment "cert-manager-operator-controller-manager" successfully rolled out

   Copy to Clipboard Toggle word wrap

프로세스

1. Issuer 및 Certificate 오브젝트를 정의하는 YAML 파일을 생성합니다.

   issuer.yaml 파일 예

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   Copy to Clipboard Toggle word wrap

   1 3 4

   발급자 또는 Cluster Issuer 를 지정합니다.

   2 5

   Istio 프로젝트의 이름을 지정합니다.

프로세스

1. 다음 명령을 실행하여 Istio-CSR을 설치하기 위한 새 프로젝트를 생성합니다. Istio-CSR을 설치하기 위한 기존 프로젝트가 있는 경우 이 단계를 건너뜁니다.

   $ oc new-project <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

2. IstioCSR 사용자 정의 리소스를 생성하여 Istio 워크로드 및 컨트롤 플레인 인증서 서명 요청을 처리하기 위해 cert-manager Operator for Red Hat OpenShift에서 관리하는 Istio-CSR 에이전트를 활성화합니다.

   참고

   한 번에 하나의 IstioCSR CR(사용자 정의 리소스)만 지원됩니다. 여러 IstioCSR CR이 생성되면 하나만 활성화됩니다. IstioCSR 의 status 하위 리소스를 사용하여 리소스가 처리되지 않았는지 확인합니다.

   • 여러 IstioCSR CR이 동시에 생성되는 경우 처리되지 않습니다.
   • 여러 IstioCSR CR이 순차적으로 생성되는 경우 첫 번째 CSR CR만 처리됩니다.
   • 새 요청이 거부되지 않도록 하려면 처리되지 않은 IstioCSR CR을 삭제합니다.
   • Operator는 IstioCSR 용으로 생성된 오브젝트를 자동으로 제거하지 않습니다. 활성 IstioCSR 리소스가 삭제되고 이전 배포를 제거하지 않고 다른 네임스페이스에서 새 리소스가 생성되면 여러 istio-csr 배포가 활성 상태로 유지될 수 있습니다. 이 동작은 권장되지 않으며 지원되지 않습니다.

   1. IstioCSR 오브젝트를 정의하는 YAML 파일을 생성합니다.

      IstioCSR CR의 예

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      Copy to Clipboard Toggle word wrap

      1

      발급자 또는 Cluster Issuer 이름을 지정합니다. issuer.yaml 파일에 정의된 CA 발행자와 동일해야 합니다.

      2

      발급자 또는 Cluster Issuer 유형을 지정합니다. issuer.yaml 파일에 정의된 CA 발행자와 동일해야 합니다.

   2. 다음 명령을 실행하여 IstioCSR 사용자 지정 리소스를 생성합니다.

      $ oc create -f IstioCSR.yaml

      Copy to Clipboard Toggle word wrap

검증

1. 다음 명령을 실행하여 Istio-CSR 배포가 준비되었는지 확인합니다.

   $ oc get deployment -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 Istio-CSR 포드가 실행 중인지 확인합니다.

   $ oc get pod -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   Copy to Clipboard Toggle word wrap

   • 다음 명령을 실행하여 Istio-CSR Pod에서 로그에 오류를 보고하지 않는지 확인합니다.

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

     Copy to Clipboard Toggle word wrap

   • 다음 명령을 실행하여 cert-manager Operator for Red Hat OpenShift Pod가 오류를 보고하지 않는지 확인합니다.

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

     Copy to Clipboard Toggle word wrap