1.2. 경로 보안

사전 요구 사항

• 프로젝트에 대한 관리자 권한이 있는 사용자로 클러스터에 로그인했습니다.
• OpenShift CLI(oc)를 설치합니다.

프로세스

• 경로에서 HSTS를 활성화하려면 haproxy.router.openshift.io/hsts_header 값을 에지 종료 또는 재암호화 경로에 추가합니다. oc annotate tool을 사용하여 다음 명령을 실행하여 이 작업을 수행할 수 있습니다. 명령을 올바르게 실행하려면 haproxy.router.openshift.io/hsts_header 경로 주석의 username(;)이 큰따옴표("")로 묶여 있는지 확인합니다.

  최대 기간을 31536000 ms로 설정하는 주석 명령 예 (약 8.5 시간)

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header=max-age=31536000;\
  includeSubDomains;preload"

  Copy to Clipboard Toggle word wrap

  주석으로 구성된 경로 예

  apiVersion: route.openshift.io/v1
  kind: Route
  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=31536000;includeSubDomains;preload 

  1

  2

  3

  
  # ...
  spec:
    host: def.abc.com
    tls:
      termination: "reencrypt"
      ...
    wildcardPolicy: "Subdomain"
  # ...

  Copy to Clipboard Toggle word wrap

  1

  필수 항목입니다. Max-age는 HSTS 정책이 적용되는 시간(초)을 측정합니다. 0으로 설정하면 정책이 무효화됩니다.

  2

  선택 사항: 포함되는 경우 includeSubDomains는 호스트의 모든 하위 도메인에 호스트와 동일한 HSTS 정책이 있어야 함을 알려줍니다.

  3

  선택 사항: max-age가 0보다 크면 haproxy.router.openshift.io/hsts_header에 preload를 추가하여 외부 서비스에서 이 사이트를 HSTS 사전 로드 목록에 포함할 수 있습니다. 예를 들어 Google과 같은 사이트는 preload가 설정된 사이트 목록을 구성할 수 있습니다. 그런 다음 브라우저는 이 목록을 사용하여 사이트와 상호 작용하기 전에 HTTPS를 통해 통신할 수 있는 사이트를 결정할 수 있습니다. preload를 설정하지 않으면 브라우저가 HTTPS를 통해 사이트와 상호 작용하여 헤더를 가져와야 합니다.

사전 요구 사항

• 프로젝트에 대한 관리자 권한이 있는 사용자로 클러스터에 로그인했습니다.
• OpenShift CLI(oc)를 설치합니다.

프로세스

• HSTS를 비활성화하려면 다음 명령을 입력하여 경로 주석의 max-age 값을 0으로 설정합니다.

  $ oc annotate route <route_name> -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

  Copy to Clipboard Toggle word wrap
  작은 정보

  다음 YAML을 적용하여 구성 맵을 만들 수 있습니다.

  경로당 HSTS 비활성화 예

  metadata:
    annotations:
      haproxy.router.openshift.io/hsts_header: max-age=0

  Copy to Clipboard Toggle word wrap

• 네임스페이스의 모든 경로에 대해 HSTS를 비활성화하려면 다음 명령을 입력합니다.

  $ oc annotate route --all -n <namespace> --overwrite=true "haproxy.router.openshift.io/hsts_header"="max-age=0"

  Copy to Clipboard Toggle word wrap

검증

• 모든 경로에 대한 주석을 쿼리하려면 다음 명령을 입력합니다.

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  Copy to Clipboard Toggle word wrap

  출력 예

  Name: routename HSTS: max-age=0

  Copy to Clipboard Toggle word wrap

사전 요구 사항

• 프로젝트에 대한 관리자 권한이 있는 사용자로 클러스터에 로그인했습니다.
• OpenShift CLI(oc)를 설치합니다.

• 필요한 HSTS 정책에 대한 maxAge 세트를 검토하려면 다음 명령을 입력합니다.

  $ oc get clusteroperator/ingress -n openshift-ingress-operator -o jsonpath='{range .spec.requiredHSTSPolicies[*]}{.spec.requiredHSTSPolicies.maxAgePolicy.largestMaxAge}{"\n"}{end}'

  Copy to Clipboard Toggle word wrap

• 모든 경로에서 HSTS 주석을 검토하려면 다음 명령을 입력합니다.

  $ oc get route  --all-namespaces -o go-template='{{range .items}}{{if .metadata.annotations}}{{$a := index .metadata.annotations "haproxy.router.openshift.io/hsts_header"}}{{$n := .metadata.name}}{{with $a}}Name: {{$n}} HSTS: {{$a}}{{"\n"}}{{else}}{{""}}{{end}}{{end}}{{end}}'

  Copy to Clipboard Toggle word wrap

  출력 예

  Name: <_routename_> HSTS: max-age=31536000;preload;includeSubDomains

  Copy to Clipboard Toggle word wrap