9.9. cert-manager Operator for Red Hat OpenShift를 사용하여 경로 보안

프로세스

1. 다음 명령을 실행하여 엣지 TLS 종료 및 사용자 정의 호스트 이름을 사용하여 Service 리소스에 대한 경로 리소스를 생성합니다. 호스트 이름은 다음 단계에서 인증서 리소스를 생성하는 동안 사용됩니다.

   $ oc create route edge <route_name> \ 1
     --service=<service_name> \ 2
     --hostname=<hostname> \ 3
     --namespace=<namespace> 4

   1

   경로 이름을 지정합니다.

   2

   노출하려는 서비스를 지정합니다.

   3

   경로의 호스트 이름을 지정합니다.

   4

   경로가 있는 네임스페이스를 지정합니다.

2. 다음 명령을 실행하여 HTTP-01 솔러를 구성할 Issuer 를 만듭니다. 다른 ACME 발행자 유형의 경우 "ACME an issuer 구성"을 참조하십시오.

   Issuer.yaml 파일 예

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Issuer
   metadata:
     name: letsencrypt-acme
     namespace: <namespace> 1
   spec:
     acme:
       server: https://acme-v02.api.letsencrypt.org/directory
       privateKeySecretRef:
         name: letsencrypt-acme-account-key
       solvers:
         - http01:
             ingress:
               ingressClassName: openshift-default
   EOF

   1

   Issuer가 있는 네임스페이스를 지정합니다. 경로의 네임스페이스와 동일해야 합니다.

3. 다음 명령을 실행하여 경로에 대한 인증서 오브젝트를 생성합니다. secretName 은 cert-manager에서 발행하고 관리할 TLS 시크릿을 지정하고 다음 단계에서 경로에서도 참조합니다.

   $ oc create -f - << EOF
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: example-route-cert
     namespace: <namespace> 1
   spec:
     commonName: <hostname> 2
     dnsNames:
       - <hostname> 3
     usages:
       - server auth
     issuerRef:
       kind: Issuer
       name: letsencrypt-acme
     secretName: <secret_name> 4
   EOF

   1

   인증서 리소스가 있는 네임스페이스 를 지정합니다. 경로의 네임스페이스와 동일해야 합니다.

   2

   경로의 호스트 이름을 사용하여 인증서의 일반 이름을 지정합니다.

   3

   경로의 호스트 이름을 인증서의 DNS 이름에 추가합니다.

   4

   인증서가 포함된 보안의 이름을 지정합니다.

4. 다음 명령을 사용하여 참조된 시크릿을 읽을 수 있는 라우터 서비스 계정 권한을 제공하는 역할을 생성합니다.

   $ oc create role secret-reader \
     --verb=get,list,watch \
     --resource=secrets \
     --resource-name=<secret_name> \ 1
     --namespace=<namespace> 2

   1

   액세스 권한을 부여할 시크릿 이름을 지정합니다. 인증서 리소스에 지정된 secretName 과 일치해야 합니다.

   2

   시크릿과 경로가 모두 있는 네임스페이스를 지정합니다.

5. 다음 명령을 사용하여 새로 생성된 Role 리소스와 라우터 서비스 계정을 바인딩할 RoleBinding 리소스를 생성합니다.

   $ oc create rolebinding secret-reader-binding \
     --role=secret-reader \
     --serviceaccount=openshift-ingress:router \
     --namespace=<namespace> 1

   1

   시크릿과 경로가 모두 있는 네임스페이스를 지정합니다.

6. 경로의 .spec.tls.externalCertificate 필드를 업데이트하여 이전에 생성된 보안을 참조하고 다음 명령을 사용하여 cert-manager에서 발급한 인증서를 사용합니다.

   $ oc patch route <route_name> \ 1
     -n <namespace> \ 2
     --type=merge \
     -p '{"spec":{"tls":{"externalCertificate":{"name":"<secret_name>"}}}}' 3

   1

   경로 이름을 지정합니다.

   2

   시크릿과 경로가 모두 있는 네임스페이스를 지정합니다.

   3

   인증서가 포함된 보안의 이름을 지정합니다.