11.2. 토큰 기반 인증 활성화

프로세스

1. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지의 변수를 설정합니다.

   $ RELEASE_IMAGE=$(oc get clusterversion -o jsonpath={..desired.image})

2. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지에서 CCO 컨테이너 이미지를 가져옵니다.

   $ CCO_IMAGE=$(oc adm release info --image-for='cloud-credential-operator' $RELEASE_IMAGE -a ~/.pull-secret)

   참고

   $RELEASE_IMAGE 의 아키텍처가 ccoctl 툴을 사용할 환경의 아키텍처와 일치하는지 확인합니다.

3. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지 내에서 ccoctl 바이너리를 추출합니다.

   $ oc image extract $CCO_IMAGE \
     --file="/usr/bin/ccoctl.<rhel_version>" \1
     -a ~/.pull-secret

   1

   & lt;rhel_version > 의 경우 호스트가 사용하는 RHEL(Red Hat Enterprise Linux) 버전에 해당하는 값을 지정합니다. 값을 지정하지 않으면 기본적으로 ccoctl.rhel8 이 사용됩니다. 다음 값이 유효합니다.

   • rhel8: RHEL 8을 사용하는 호스트에 대해 이 값을 지정합니다.
   • rhel9: RHEL 9를 사용하는 호스트에 대해 이 값을 지정합니다.

4. 다음 명령을 실행하여 ccoctl 을 실행할 수 있도록 권한을 변경합니다.

   $ chmod 775 ccoctl.<rhel_version>

프로세스

1. ccoctl 유틸리티가 생성하는 매니페스트의 출력 디렉터리를 생성합니다. 이 절차에서는 예제로 ./output_dir 을 사용합니다.

2. 다음 명령을 실행하여 클러스터의 서비스 계정 공개 서명 키를 출력 디렉터리에 추출합니다.

   $ oc get configmap \
     --namespace openshift-kube-apiserver bound-sa-token-signing-certs \
     --output 'go-template={{index .data "service-account-001.pub"}}' > ./output_dir/serviceaccount-signer.public 1

   1

   이 절차에서는 serviceaccount-signer.public 이라는 파일을 예제로 사용합니다.

3. 추출된 서비스 계정 공개 서명 키를 사용하여 다음 명령을 실행하여 OIDC 구성 파일이 있는 OpenID Connect(OIDC) 발행자 및 Azure Blob 스토리지 컨테이너를 생성합니다.

   $ ./ccoctl azure create-oidc-issuer \
     --name <azure_infra_name> \1
     --output-dir ./output_dir \
     --region <azure_region> \2
     --subscription-id <azure_subscription_id> \3
     --tenant-id <azure_tenant_id> \
     --public-key-file ./output_dir/serviceaccount-signer.public 4

   1

   name 매개변수의 값은 Azure 리소스 그룹을 생성하는 데 사용됩니다. 새 Azure 리소스 그룹을 생성하는 대신 기존 Azure 리소스 그룹을 사용하려면 기존 그룹 이름을 값으로 사용하여 --oidc-resource-group-name 인수를 지정합니다.

   2

   기존 클러스터의 리전을 지정합니다.

   3

   기존 클러스터의 서브스크립션 ID를 지정합니다.

   4

   클러스터의 서비스 계정 공개 서명 키가 포함된 파일을 지정합니다.

4. 다음 명령을 실행하여 Azure Pod ID Webhook의 구성 파일이 생성되었는지 확인합니다.

   $ ll ./output_dir/manifests

   출력 예

   total 8
   -rw-------. 1 cloud-user cloud-user 193 May 22 02:29 azure-ad-pod-identity-webhook-config.yaml 1
   -rw-------. 1 cloud-user cloud-user 165 May 22 02:29 cluster-authentication-02-config.yaml

   1

   azure-ad-pod-identity-webhook-config.yaml 파일에는 Azure Pod ID 웹 후크 구성이 포함되어 있습니다.

5. 다음 명령을 실행하여 출력 디렉터리에 생성된 매니페스트에서 OIDC_ISSUER_URL 변수를 OIDC 발급자 URL로 설정합니다.

   $ OIDC_ISSUER_URL=`awk '/serviceAccountIssuer/ { print $2 }' ./output_dir/manifests/cluster-authentication-02-config.yaml`

6. 다음 명령을 실행하여 클러스터 인증 구성의 spec.serviceAccountIssuer 매개변수를 업데이트합니다.

   $ oc patch authentication cluster \
     --type=merge \
     -p "{\"spec\":{\"serviceAccountIssuer\":\"${OIDC_ISSUER_URL}\"}}"

7. 다음 명령을 실행하여 구성 업데이트 진행 상황을 모니터링합니다.

   $ oc adm wait-for-stable-cluster

   이 프로세스에는 15분 이상 걸릴 수 있습니다. 다음 출력은 프로세스가 완료되었음을 나타냅니다.

   All clusteroperators are stable

8. 다음 명령을 실행하여 클러스터의 모든 Pod를 다시 시작합니다.

   $ oc adm reboot-machine-config-pool mcp/worker mcp/master

   Pod를 다시 시작하면 serviceAccountIssuer 필드가 업데이트되고 서비스 계정 공개 서명 키가 새로 고쳐집니다.

9. 다음 명령을 실행하여 재시작 및 업데이트 프로세스를 모니터링합니다.

   $ oc adm wait-for-node-reboot nodes --all

   이 프로세스에는 15분 이상 걸릴 수 있습니다. 다음 출력은 프로세스가 완료되었음을 나타냅니다.

   All nodes rebooted

10. 다음 명령을 실행하여 Cloud Credential Operator spec.credentialsMode 매개변수를 Manual 로 업데이트합니다.

    $ oc patch cloudcredential cluster \
      --type=merge \
      --patch '{"spec":{"credentialsMode":"Manual"}}'

11. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지에서 CredentialsRequest 오브젝트 목록을 추출합니다.

    $ oc adm release extract \
      --credentials-requests \
      --included \
      --to <path_to_directory_for_credentials_requests> \
      --registry-config ~/.pull-secret

    참고

    이 명령을 실행하는 데 시간이 다소 걸릴 수 있습니다.

12. 다음 명령을 실행하여 Azure 리소스 그룹 이름으로 AZURE_INSTALL_RG 변수를 설정합니다.

    $ AZURE_INSTALL_RG=`oc get infrastructure cluster -o jsonpath --template '{ .status.platformStatus.azure.resourceGroupName }'`

13. 다음 명령을 실행하여 ccoctl 유틸리티를 사용하여 모든 CredentialsRequest 오브젝트에 대한 관리 ID를 생성합니다.

    $ ccoctl azure create-managed-identities \
      --name <azure_infra_name> \
      --output-dir ./output_dir \
      --region <azure_region> \
      --subscription-id <azure_subscription_id> \
      --credentials-requests-dir <path_to_directory_for_credentials_requests> \
      --issuer-url "${OIDC_ISSUER_URL}" \
      --dnszone-resource-group-name <azure_dns_zone_resourcegroup_name> \1
      --installation-resource-group-name "${AZURE_INSTALL_RG}"

    1

    DNS 영역을 포함하는 리소스 그룹의 이름을 지정합니다.

14. 다음 명령을 실행하여 워크로드 ID에 대한 Azure Pod ID Webhook 구성을 적용합니다.

    $ oc apply -f ./output_dir/manifests/azure-ad-pod-identity-webhook-config.yaml

15. 다음 명령을 실행하여 ccoctl 유틸리티에서 생성한 보안을 적용합니다.

    $ find ./output_dir/manifests -iname "openshift*yaml" -print0 | xargs -I {} -0 -t oc replace -f {}

    이 과정에 몇 분이 걸릴 수 있습니다.

16. 다음 명령을 실행하여 클러스터의 모든 Pod를 다시 시작합니다.

    $ oc adm reboot-machine-config-pool mcp/worker mcp/master

    Pod를 다시 시작하면 serviceAccountIssuer 필드가 업데이트되고 서비스 계정 공개 서명 키가 새로 고쳐집니다.

17. 다음 명령을 실행하여 재시작 및 업데이트 프로세스를 모니터링합니다.

    $ oc adm wait-for-node-reboot nodes --all

    이 프로세스에는 15분 이상 걸릴 수 있습니다. 다음 출력은 프로세스가 완료되었음을 나타냅니다.

    All nodes rebooted

18. 다음 명령을 실행하여 구성 업데이트 진행 상황을 모니터링합니다.

    $ oc adm wait-for-stable-cluster

    이 프로세스에는 15분 이상 걸릴 수 있습니다. 다음 출력은 프로세스가 완료되었음을 나타냅니다.

    All clusteroperators are stable

19. 선택 사항: 다음 명령을 실행하여 Azure 루트 인증 정보 시크릿을 제거합니다.

    $ oc delete secret -n kube-system azure-credentials