9.10. Red Hat OpenShift용 cert-manager Operator를 Istio-CSR과 통합

프로세스

1. 발급자 및 인증서 객체를 정의하는 YAML 파일을 만듭니다.

   issuer.yaml 파일 예

   apiVersion: cert-manager.io/v1
   kind: Issuer 

   1

   
   metadata:
     name: selfsigned
     namespace: <istio_project_name> 

   2

   
   spec:
     selfSigned: {}
   ---
   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: istio-ca
     namespace: <istio_project_name>
   spec:
     isCA: true
     duration: 87600h # 10 years
     secretName: istio-ca
     commonName: istio-ca
     privateKey:
       algorithm: ECDSA
       size: 256
     subject:
       organizations:
         - cluster.local
         - cert-manager
     issuerRef:
       name: selfsigned
       kind: Issuer 

   3

   
       group: cert-manager.io
   ---
   apiVersion: cert-manager.io/v1
   kind: Issuer 

   4

   
   metadata:
     name: istio-ca
     namespace: <istio_project_name> 

   5

   
   spec:
     ca:
       secretName: istio-ca

   1 3 4

   Issuer 또는 ClusterIssuer를 지정합니다.

   2 5

   Istio 프로젝트의 이름을 지정합니다.

프로세스

1. 다음 명령을 실행하여 Istio-CSR을 설치하기 위한 새 프로젝트를 만듭니다. Istio-CSR을 설치하기 위한 기존 프로젝트가 있는 경우 이 단계를 건너뜁니다.

   $ oc new-project <istio_csr_project_name>

2. Red Hat OpenShift의 cert-manager Operator가 관리하는 Istio-CSR 에이전트가 Istio 워크로드와 제어 평면 인증서 서명 요청을 처리할 수 있도록 IstioCSR 사용자 정의 리소스를 생성합니다.

   참고

   한 번에 하나의 IstioCSR 사용자 정의 리소스(CR)만 지원됩니다. 여러 개의 IstioCSR CR이 생성된 경우 하나만 활성화됩니다. IstioCSR 의 상태 하위 리소스를 사용하여 리소스가 처리되지 않았는지 확인합니다.

   • 여러 개의 IstioCSR CR이 동시에 생성되는 경우 아무것도 처리되지 않습니다.
   • 여러 개의 IstioCSR CR이 순차적으로 생성되는 경우 첫 번째 CR만 처리됩니다.
   • 새로운 요청이 거부되는 것을 방지하려면 처리되지 않은 IstioCSR CR을 삭제하세요.
   • Operator는 IstioCSR 에 대해 생성된 객체를 자동으로 제거하지 않습니다. 활성 IstioCSR 리소스가 삭제되고 이전 배포를 제거하지 않고 다른 네임스페이스에 새 리소스가 생성되는 경우 여러 istio-csr 배포가 활성 상태로 유지될 수 있습니다. 이런 동작은 권장되지 않으며 지원되지도 않습니다.

   1. IstioCSR 객체를 정의하는 YAML 파일을 만듭니다.

      IstioCSR CR 예시

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: <istio_csr_project_name>
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca  

      1

      
              kind: Issuer 

      2

      
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: <istio_project_name>

      1

      발급자 또는 클러스터 발급자 이름을 지정합니다. issuer.yaml 파일에 정의된 CA 발급자 이름과 동일해야 합니다.

      2

      발급자 또는 클러스터 발급자 종류를 지정합니다. issuer.yaml 파일에 정의된 CA 발급자와 동일한 종류여야 합니다.

   2. 다음 명령을 실행하여 IstioCSR 사용자 정의 리소스를 만듭니다.

      $ oc create -f IstioCSR.yaml

검증

1. 다음 명령을 실행하여 Istio-CSR 배포가 준비되었는지 확인하세요.

   $ oc get deployment -n <istio_csr_project_name>

   출력 예

   NAME                     READY   UP-TO-DATE   AVAILABLE   AGE
   cert-manager-istio-csr   1/1     1            1           24s

2. 다음 명령을 실행하여 Istio-CSR 포드가 실행 중인지 확인하세요.

   $ oc get pod -n <istio_csr_project_name>

   출력 예

   NAME                                  	 READY   STATUS	  RESTARTS    AGE
   cert-manager-istio-csr-5c979f9b7c-bv57w  1/1     Running  0           45s

   • 다음 명령을 실행하여 Istio-CSR 포드가 로그에 오류를 보고하지 않는지 확인하세요.

     $ oc -n <istio_csr_project_name> logs <istio_csr_pod_name>

   • 다음 명령을 실행하여 Red Hat OpenShift Pod용 cert-manager Operator가 오류를 보고하지 않는지 확인하세요.

     $ oc -n cert-manager-operator logs <cert_manager_operator_pod_name>

프로세스

1. 다음 명령을 실행하여 IstioCSR CR을 편집합니다.

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   1

   <istio_csr_project_name>을 IstioCSR CR을 생성한 네임스페이스로 바꾸세요.

2. spec.istioCSRConfig 섹션에서 로그 수준과 형식을 구성합니다.

   로그 수준 설정을 위한 IstioCSR CR 구성 샘플

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       logFormat: text 

   1

   
       logLevel: 2 

   2

   
   # ...

   1

   로그 출력 형식을 지정합니다. 이 필드를 text 또는 json 으로 설정할 수 있습니다.

   2

   로그 수준을 설정합니다. 지원되는 값은 Kubernetes 로깅 가이드라인에 정의된 대로 1 ~ 5 범위에 있습니다. 기본값은 1 입니다.

3. 변경 사항을 적용하려면 편집기를 저장하고 닫으세요. 변경 사항이 적용된 후 cert-manager 연산자는 istio-csr 피연산자에 대한 로그 구성을 업데이트합니다.

프로세스

1. 다음 명령을 실행하여 IstioCSR CR을 편집합니다.

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   1

   <istio_csr_project_name>을 IstioCSR CR을 생성한 네임스페이스로 바꾸세요.

2. spec.istioCSRConfig.istioDataPlaneNamespaceSelector 섹션을 구성하여 네임스페이스 선택기를 설정합니다.

   네임스페이스 선택기를 사용한 IstioCSR CR 구성 샘플

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       istioDataPlaneNamespaceSelector: maistra.io/member-of=istio-system 

   1

   
   # ...

   1

   maistra.io/member-of=istio-system을 서비스 메시의 네임스페이스를 식별하는 레이블 키와 값으로 바꿉니다. <키>=<값> 형식을 사용하세요.

   참고

   istio-csr 구성 요소는 구성된 선택기와 일치하지 않는 네임스페이스의 ConfigMap 객체를 삭제하거나 관리하지 않습니다. IstioCSR CR을 배포한 후 선택기를 생성하거나 업데이트하거나 네임스페이스에서 레이블을 제거하는 경우 충돌을 방지하기 위해 이러한 ConfigMap 객체를 수동으로 삭제해야 합니다.

   다음 명령을 실행하면 선택기와 일치하는 네임스페이스에 없는 ConfigMap 객체를 나열할 수 있습니다. 이 예에서 선택자는 maistra.io/member-of=istio-system 입니다.

   printf "%-25s %10s\n" "ConfigMap" "Namespace"; \
   for ns in $(oc get namespaces -l "maistra.io/member-of!=istio-system" -o=jsonpath='{.items[*].metadata.name}'); do \
     oc get configmaps -l "istio.io/config=true" -n $ns --no-headers -o jsonpath='{.items[*].metadata.name}{"\t"}{.items[*].metadata.namespace}{"\n"}' --ignore-not-found; \
   done

3. 변경 사항을 적용하려면 편집기를 저장하고 닫으세요. 변경 사항이 적용된 후 Red Hat OpenShift용 cert-manager Operator는 istio-csr 피연산자에 대한 네임스페이스 선택기 구성을 업데이트합니다.

프로세스

1. 다음 명령을 실행하여 IstioCSR CR을 편집합니다.

   oc edit istiocsrs.operator.openshift.io default -n <istio_csr_project_name> 

   1

   1

   <istio_csr_project_name>을 IstioCSR CR을 생성한 네임스페이스로 바꾸세요.

2. spec.istioCSRConfig.certManager 섹션을 편집하여 CA 번들을 구성합니다.

   CA 번들 구성을 사용한 IstioCSR CR 샘플

   apiVersion: operator.openshift.io/v1alpha1
   kind: IstioCSR
   ...
   spec:
     istioCSRConfig:
       certManager:
         istioCACertificate:
           key: <key_in_the_configmap> 

   1

   
           name: <configmap_name> 

   2

   
           namespace: <configmap_namespace> 

   3

   1

   CA 번들이 포함된 ConfigMap 에서 키 이름을 지정합니다.

   2

   ConfigMap 의 이름을 지정합니다. 이 필드를 업데이트하기 전에 참조된 ConfigMap 과 키가 있는지 확인하세요.

   3

   선택 사항: ConfigMap 이 있는 네임스페이스를 지정합니다. 이 필드를 설정하지 않으면 Red Hat OpenShift용 cert-manager Operator는 IstioCSR CR을 설치한 네임스페이스에서 ConfigMap을 검색합니다.

   참고

   CA 인증서가 순환될 때마다 최신 인증서로 ConfigMap을 수동으로 업데이트해야 합니다.

3. 변경 사항을 적용하려면 편집기를 저장하고 닫으세요. 변경 사항이 적용된 후 cert-manager 연산자는 istio-csr 피연산자에 대한 CA 번들을 업데이트합니다.