9.10. Red Hat OpenShift용 cert-manager Operator와 Istio-CSR 통합

프로세스

1. Issuer 및 Certificate 오브젝트를 정의하는 YAML 파일을 생성합니다.

   issuer.yaml 파일 예

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   1 3 4

   발급자 또는 Cluster Issuer 를 지정합니다.

   2 5

   Istio 프로젝트의 이름을 지정합니다.

프로세스

1. 다음 명령을 실행하여 Istio-CSR을 설치하기 위한 새 프로젝트를 생성합니다. Istio-CSR을 설치하기 위한 기존 프로젝트가 있는 경우 이 단계를 건너뜁니다.

   $ oc new-project <istio_csr_project_name>

2. IstioCSR 사용자 정의 리소스를 생성하여 Istio 워크로드 및 컨트롤 플레인 인증서 서명 요청을 처리하기 위해 cert-manager Operator for Red Hat OpenShift에서 관리하는 Istio-CSR 에이전트를 활성화합니다.

   참고

   한 번에 하나의 IstioCSR CR(사용자 정의 리소스)만 지원됩니다. 여러 IstioCSR CR이 생성되면 하나만 활성화됩니다. IstioCSR 의 status 하위 리소스를 사용하여 리소스가 처리되지 않았는지 확인합니다.

   • 여러 IstioCSR CR이 동시에 생성되는 경우 처리되지 않습니다.
   • 여러 IstioCSR CR이 순차적으로 생성되는 경우 첫 번째 CSR CR만 처리됩니다.
   • 새 요청이 거부되지 않도록 하려면 처리되지 않은 IstioCSR CR을 삭제합니다.
   • Operator는 IstioCSR 용으로 생성된 오브젝트를 자동으로 제거하지 않습니다. 활성 IstioCSR 리소스가 삭제되고 이전 배포를 제거하지 않고 다른 네임스페이스에서 새 리소스가 생성되면 여러 istio-csr 배포가 활성 상태로 유지될 수 있습니다. 이 동작은 권장되지 않으며 지원되지 않습니다.

   1. IstioCSR 오브젝트를 정의하는 YAML 파일을 생성합니다.

      IstioCSR CR의 예

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      1

      발급자 또는 Cluster Issuer 이름을 지정합니다. issuer.yaml 파일에 정의된 CA 발행자와 동일해야 합니다.

      2

      발급자 또는 Cluster Issuer 유형을 지정합니다. issuer.yaml 파일에 정의된 CA 발행자와 동일해야 합니다.

   2. 다음 명령을 실행하여 IstioCSR 사용자 지정 리소스를 생성합니다.

      $ oc create -f IstioCSR.yaml

검증

1. 다음 명령을 실행하여 Istio-CSR 배포가 준비되었는지 확인합니다.

   $ oc get deployment -n <istio_csr_project_name>

   출력 예

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

2. 다음 명령을 실행하여 Istio-CSR 포드가 실행 중인지 확인합니다.

   $ oc get pod -n <istio_csr_project_name>

   출력 예

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   • 다음 명령을 실행하여 Istio-CSR Pod에서 로그에 오류를 보고하지 않는지 확인합니다.

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

   • 다음 명령을 실행하여 cert-manager Operator for Red Hat OpenShift Pod가 오류를 보고하지 않는지 확인합니다.

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

프로세스

1. 다음 명령을 실행하여 IstioCSR CR을 편집합니다.

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   1

   & lt;istio_csr_project_name >을 IstioCSR CR을 생성한 네임스페이스로 바꿉니다.

2. spec.istioCSRConfig 섹션에서 로그 수준 및 형식을 구성합니다.

   로그 수준을 설정하기 위한 샘플 IstioCSR CR 구성

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       logFormat: text 

   1

   
       logLevel: 2 

   2

   
   # ...

   1

   로그 출력 형식을 지정합니다. 이 필드를 text 또는 json 으로 설정할 수 있습니다.

   2

   로그 수준을 설정합니다. 지원되는 값은 Kubernetes 로깅 지침에 정의된 대로 1~5 범위에 있습니다. 기본값은 1 입니다.

3. 편집기를 저장하고 종료하여 변경 사항을 적용합니다. 변경 사항이 적용되면 cert-manager Operator에서 istio-csr 피연산자의 로그 구성을 업데이트합니다.

프로세스

1. 다음 명령을 실행하여 IstioCSR CR을 편집합니다.

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   1

   & lt;istio_csr_project_name >을 IstioCSR CR을 생성한 네임스페이스로 바꿉니다.

2. spec.istioCSRConfig.istioDataPlaneNamespaceSelector 섹션을 구성하여 네임스페이스 선택기를 설정합니다.

   네임스페이스 선택기를 사용한 IstioCSR CR 구성 샘플

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       istioDataPlaneNamespaceSelector: maistra.io/member-of=istio-system 

   1

   
   # ...

   1

   maistra.io/member-of=istio-system 을 서비스 메시의 네임스페이스를 식별하는 라벨 키와 값으로 교체합니다. < key>=<value& gt; 형식을 사용합니다.

   참고

   istio-csr 구성 요소는 구성된 선택기와 일치하지 않는 네임스페이스에서 ConfigMap 오브젝트를 삭제하거나 관리하지 않습니다. IstioCSR CR을 배포한 후 선택기를 생성하거나 업데이트하거나 네임스페이스에서 레이블을 제거하는 경우 충돌을 방지하기 위해 이러한 ConfigMap 오브젝트를 수동으로 삭제해야 합니다.

   다음 명령을 실행하여 선택기와 일치하는 네임스페이스에 없는 ConfigMap 오브젝트를 나열할 수 있습니다. 이 예에서 선택기는 maistra.io/member-of=istio-system:입니다.

   printf "%-25s %10s\n" "ConfigMap" "Namespace"; \
   for ns in $(oc get namespaces -l "maistra.io/member-of!=istio-system" -o=jsonpath='{.items[*].metadata.name}'); do \
     oc get configmaps -l "istio.io/config=true" -n $ns --no-headers -o jsonpath='{.items[*].metadata.name}{"\t"}{.items[*].metadata.namespace}{"\n"}' --ignore-not-found; \
   done

3. 편집기를 저장하고 종료하여 변경 사항을 적용합니다. 변경 사항을 적용한 후 cert-manager Operator for Red Hat OpenShift는 istio-csr 피연산자의 네임스페이스 선택기 구성을 업데이트합니다.

프로세스

1. 다음 명령을 실행하여 IstioCSR CR을 편집합니다.

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   1

   & lt;istio_csr_project_name >을 IstioCSR CR을 생성한 네임스페이스로 바꿉니다.

2. spec.istioCSRConfig.certManager 섹션을 편집하여 CA 번들을 구성합니다.

   CA 번들 구성이 포함된 샘플 IstioCSR CR

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       certManager:
         istioCACertificate:
           key: <key_in_the_configmap> 

   1

   
           name: <configmap_name> 

   2

   
           namespace: <configmap_namespace> 

   3

   1

   CA 번들이 포함된 ConfigMap 에 키 이름을 지정합니다.

   2

   ConfigMap 의 이름을 지정합니다. 이 필드를 업데이트하기 전에 참조된 ConfigMap 및 키가 있는지 확인합니다.

   3

   선택 사항: ConfigMap 이 존재하는 네임스페이스를 지정합니다. 이 필드를 설정하지 않으면 cert-manager Operator for Red Hat OpenShift는 IstioCSR CR을 설치한 네임스페이스에서 ConfigMap 을 검색합니다.

   참고

   CA 인증서가 교체될 때마다 최신 인증서로 ConfigMap 을 수동으로 업데이트해야 합니다.

3. 편집기를 저장하고 종료하여 변경 사항을 적용합니다. 변경 사항이 적용되면 cert-manager Operator에서 istio-csr 피연산자의 CA 번들을 업데이트합니다.