3장. 인증서 구성

프로세스

1. 와일드카드 인증서에 서명하는 데 사용되는 루트 CA 인증서만 포함하는 구성 맵을 만듭니다.

   $ oc create configmap custom-ca \
        --from-file=ca-bundle.crt=</path/to/example-ca.crt> \

   1

   
        -n openshift-config

   Copy to Clipboard Toggle word wrap

   1

   </path/to/example-ca.crt>는 로컬 파일 시스템에서 루트 CA 인증서 파일의 경로입니다. 예를 들어, /etc/pki/ca-trust/source/anchors .

2. 새로 생성된 구성 맵으로 클러스터 전체 프록시 구성을 업데이트합니다.

   $ oc patch proxy/cluster \
        --type=merge \
        --patch='{"spec":{"trustedCA":{"name":"custom-ca"}}}'

   Copy to Clipboard Toggle word wrap
   참고

   클러스터의 신뢰할 수 있는 CA만 업데이트하는 경우 MCO가 /etc/pki/ca-trust/source/anchors/openshift-config-user-ca-bundle.crt 파일을 업데이트하고 MCC(Machine Config Controller)가 각 노드에 신뢰할 수 있는 CA 업데이트를 적용하므로 노드 재부팅이 필요하지 않습니다. 하지만 이러한 변경 사항으로 인해 MCD(Machine Config Daemon)는 kubelet 및 CRI-O와 같은 각 노드의 중요 서비스를 다시 시작합니다. 이러한 서비스 재시작으로 인해 각 노드는 서비스가 완전히 재시작될 때까지 잠시 NotReady 상태로 전환됩니다.

   openshift-config-user-ca-bundle.crt 파일에서 noproxy 와 같은 다른 매개변수를 변경하면 MCO는 클러스터의 각 노드를 재부팅합니다.

3. 와일드카드 인증서 체인과 키를 포함하는 보안을 생성합니다.

   $ oc create secret tls <secret> \

   1

   
        --cert=</path/to/cert.crt> \

   2

   
        --key=</path/to/cert.key> \

   3

   
        -n openshift-ingress

   Copy to Clipboard Toggle word wrap

   1

   <secret>은 인증서 체인과 개인 키를 포함할 보안의 이름입니다.

   2

   </path/to/cert.crt>는 로컬 파일 시스템의 인증서 체인 경로입니다.

   3

   </path/to/cert.key>는 이 인증서와 관련된 개인 키의 경로입니다.

4. 새로 생성된 보안으로 Ingress Controller 구성을 업데이트합니다.

   $ oc patch ingresscontroller.operator default \
        --type=merge -p \
        '{"spec":{"defaultCertificate": {"name": "<secret>"}}}' \

   1

   
        -n openshift-ingress-operator

   Copy to Clipboard Toggle word wrap

   1

   <secret>을 이전 단계에서 보안에 사용된 이름으로 교체합니다.

   중요

   Ingress Operator가 롤링 업데이트를 수행하도록 하려면 비밀 이름을 업데이트해야 합니다. kubelet은 볼륨 마운트의 비밀에 대한 변경 사항을 자동으로 전파하므로 비밀 내용을 업데이트해도 롤링 업데이트가 트리거되지 않습니다. 자세한 내용은 Red Hat Knowledgebase 솔루션을 참조하세요.