2.8. 단기 자격 증명을 사용하여 포드 인증

• 클러스터는 단기 보안 자격 증명을 사용해야 합니다.
• cluster-admin 역할이 있는 사용자로 OpenShift CLI( oc )에 액세스할 수 있어야 합니다.
• 클라우드 공급자 콘솔에서 IAM(Identity and Access Management) 및 페더레이션 ID 구성을 관리할 수 있는 권한이 있는 사용자로 액세스해야 합니다.

사전 요구 사항

• Google Cloud 클러스터는 GCP 워크로드 ID를 사용합니다.
• IAM(Identity and Access Management) 및 워크로드 ID 구성을 관리할 수 있는 권한이 있는 사용자로서 Google Cloud 콘솔에 액세스할 수 있습니다.
• 애플리케이션과 함께 사용할 Google Cloud 프로젝트를 생성했습니다.

사전 요구 사항

• Google Cloud 클러스터는 GCP 워크로드 ID를 사용합니다.
• 연합된 Google Cloud 서비스 계정을 생성했습니다.
• cluster-admin 역할이 있는 사용자로 OpenShift CLI( oc )에 액세스할 수 있습니다.
• IAM(Identity and Access Management) 및 워크로드 ID 구성을 관리할 수 있는 권한이 있는 사용자로서 Google Cloud CLI( gcloud )에 액세스할 수 있습니다.

검증

• 서비스 계정 구성을 확인하려면 다음 명령을 실행하여 ServiceAccount 매니페스트를 검사하세요.

  $ oc get serviceaccount <service_account_name>

  Copy to Clipboard Toggle word wrap

  다음 예에서 service-a/app-x OpenShift Container Platform 서비스 계정은 app-x 라는 Google Cloud 서비스 계정을 가장할 수 있습니다.

  apiVersion: v1
  kind: ServiceAccount
  metadata:
    name: app-x
    namespace: service-a
    annotations:
      cloud.google.com/workload-identity-provider: "projects/<project_number>/locations/global/workloadIdentityPools/<identity_pool>/providers/<identity_provider>" 

  1

  
      cloud.google.com/service-account-email: "app-x@project.iam.googleapis.com"
      cloud.google.com/audience: "sts.googleapis.com" 

  2

  
      cloud.google.com/token-expiration: "86400" 

  3

  
      cloud.google.com/gcloud-run-as-user: "1000"
      cloud.google.com/injection-mode: "direct" 

  4

  Copy to Clipboard Toggle word wrap

  1

  클러스터의 서비스 계정에 대한 워크로드 ID 공급자입니다.

  2

  워크로드 ID 공급자에 대해 허용된 대상입니다.

  3

  토큰 만료 기간(초)입니다.

  4

  직접적인 외부 자격 증명 구성 주입 모드입니다.

사전 요구 사항

• Google Cloud 클러스터는 GCP 워크로드 ID를 사용합니다.
• 연합된 Google Cloud 서비스 계정을 생성했습니다.
• Google Cloud용 OpenShift Container Platform 서비스 계정을 생성했습니다.

검증

• 포드가 단기 인증을 사용하는지 확인하려면 다음 명령을 실행하세요.

  $ oc get pods -o json | jq -r '.items[0].spec.containers[0].env[] | select(.name=="GOOGLE_APPLICATION_CREDENTIALS")'

  Copy to Clipboard Toggle word wrap

  출력 예

  {   "name": "GOOGLE_APPLICATION_CREDENTIALS",   "value": "/var/run/secrets/workload-identity/federation.json" }

  Copy to Clipboard Toggle word wrap

  GOOGLE_APPLICATION_CREDENTIALS 환경 변수가 있으면 Pod가 GCP 워크로드 ID로 인증됨을 나타냅니다.

• 추가 구성 세부 정보를 확인하려면 Pod 사양을 살펴보세요. 다음 예제 Pod 사양은 웹훅이 변형하는 환경 변수와 볼륨 필드를 보여줍니다.

  직접 주입 모드를 사용한 포드 사양 예시:

  apiVersion: v1
  kind: Pod
  metadata:
    name: app-x-pod
    namespace: service-a
  annotations:
    cloud.google.com/skip-containers: "init-first,sidecar"
    cloud.google.com/external-credentials-json: |- 

  1

  
      {
        "type": "external_account",
        "audience": "//iam.googleapis.com/projects/<project_number>/locations/global/workloadIdentityPools/on-prem-kubernetes/providers/<identity_provider>",
        "subject_token_type": "urn:ietf:params:oauth:token-type:jwt",
        "token_url": "https://sts.googleapis.com/v1/token",
        "service_account_impersonation_url": "https://iamcredentials.googleapis.com/v1/projects/-/serviceAccounts/app-x@project.iam.gserviceaccount.com:generateAccessToken",
        "credential_source": {
          "file": "/var/run/secrets/sts.googleapis.com/serviceaccount/token",
          "format": {
            "type": "text"
          }
        }
      }
  spec:
    serviceAccountName: app-x
    initContainers:
    - name: init-first
      image: container-image:version
    containers:
    - name: sidecar
      image: container-image:version
    - name: container-name
      image: container-image:version
      env: 

  2

  
      - name: GOOGLE_APPLICATION_CREDENTIALS
        value: /var/run/secrets/gcloud/config/federation.json
      - name: CLOUDSDK_COMPUTE_REGION
        value: asia-northeast1
      volumeMounts:
      - name: gcp-iam-token
        readOnly: true
        mountPath: /var/run/secrets/sts.googleapis.com/serviceaccount
      - mountPath: /var/run/secrets/gcloud/config
        name: external-credential-config
        readOnly: true
    volumes:
    - name: gcp-iam-token
      projected:
        sources:
        - serviceAccountToken:
            audience: sts.googleapis.com
            expirationSeconds: 86400
            path: token
    - downwardAPI:
        defaultMode: 288
        items:
        - fieldRef:
            apiVersion: v1
            fieldPath: metadata.annotations['cloud.google.com/external-credentials-json']
          path: federation.json
      name: external-credential-config

  Copy to Clipboard Toggle word wrap

  1

  웹훅 컨트롤러가 생성한 외부 자격 증명 구성입니다. Kubernetes downwardAPI 볼륨은 구성을 컨테이너 파일 시스템에 마운트합니다.

  2

  토큰 기반 인증을 위한 웹훅 주입 환경 변수입니다.