9.10. Red Hat OpenShift용 cert-manager Operator를 Istio-CSR과 통합

검증

1. 다음 명령을 실행하여 배포가 완료되었는지 확인하세요.

   $ oc rollout status deployment/cert-manager-operator-controller-manager -n cert-manager-operator

   Copy to Clipboard Toggle word wrap

   출력 예

   deployment "cert-manager-operator-controller-manager" successfully rolled out

   Copy to Clipboard Toggle word wrap

프로세스

1. 발급자 및 인증서 객체를 정의하는 YAML 파일을 만듭니다.

   issuer.yaml 파일 예

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   Copy to Clipboard Toggle word wrap

   1 3 4

   Issuer 또는 ClusterIssuer를 지정합니다.

   2 5

   Istio 프로젝트의 이름을 지정합니다.

프로세스

1. 다음 명령을 실행하여 Istio-CSR을 설치하기 위한 새 프로젝트를 만듭니다. Istio-CSR을 설치하기 위한 기존 프로젝트가 있는 경우 이 단계를 건너뜁니다.

   $ oc new-project <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

2. Red Hat OpenShift의 cert-manager Operator가 관리하는 Istio-CSR 에이전트가 Istio 워크로드와 제어 평면 인증서 서명 요청을 처리할 수 있도록 IstioCSR 사용자 정의 리소스를 생성합니다.

   참고

   한 번에 하나의 IstioCSR 사용자 정의 리소스(CR)만 지원됩니다. 여러 개의 IstioCSR CR이 생성된 경우 하나만 활성화됩니다. IstioCSR 의 상태 하위 리소스를 사용하여 리소스가 처리되지 않았는지 확인합니다.

   • 여러 개의 IstioCSR CR이 동시에 생성되는 경우 아무것도 처리되지 않습니다.
   • 여러 개의 IstioCSR CR이 순차적으로 생성되는 경우 첫 번째 CR만 처리됩니다.
   • 새로운 요청이 거부되는 것을 방지하려면 처리되지 않은 IstioCSR CR을 삭제하세요.
   • Operator는 IstioCSR 에 대해 생성된 객체를 자동으로 제거하지 않습니다. 활성 IstioCSR 리소스가 삭제되고 이전 배포를 제거하지 않고 다른 네임스페이스에 새 리소스가 생성되는 경우 여러 istio-csr 배포가 활성 상태로 유지될 수 있습니다. 이런 동작은 권장되지 않으며 지원되지도 않습니다.

   1. IstioCSR 객체를 정의하는 YAML 파일을 만듭니다.

      IstioCSR CR 예시

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      Copy to Clipboard Toggle word wrap

      1

      발급자 또는 클러스터 발급자 이름을 지정합니다. issuer.yaml 파일에 정의된 CA 발급자 이름과 동일해야 합니다.

      2

      발급자 또는 클러스터 발급자 종류를 지정합니다. issuer.yaml 파일에 정의된 CA 발급자와 동일한 종류여야 합니다.

   2. 다음 명령을 실행하여 IstioCSR 사용자 정의 리소스를 만듭니다.

      $ oc create -f IstioCSR.yaml

      Copy to Clipboard Toggle word wrap

검증

1. 다음 명령을 실행하여 Istio-CSR 배포가 준비되었는지 확인하세요.

   $ oc get deployment -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

   Copy to Clipboard Toggle word wrap

2. 다음 명령을 실행하여 Istio-CSR 포드가 실행 중인지 확인하세요.

   $ oc get pod -n <istio_csr_project_name>

   Copy to Clipboard Toggle word wrap

   출력 예

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   Copy to Clipboard Toggle word wrap

   • 다음 명령을 실행하여 Istio-CSR 포드가 로그에 오류를 보고하지 않는지 확인하세요.

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

     Copy to Clipboard Toggle word wrap

   • 다음 명령을 실행하여 Red Hat OpenShift Pod용 cert-manager Operator가 오류를 보고하지 않는지 확인하세요.

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

     Copy to Clipboard Toggle word wrap