10.4. Zero Trust Workload Identity Manager 피연산자 배포

프로세스

1. SpireServer CR을 생성합니다.

   1. SpireServer CR을 정의하는 YAML 파일을 생성합니다(예: SpireServer.yaml ).

      Example SpireServer.yaml

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireServer
      metadata:
        name: cluster
      spec:
        trustDomain: <trust_domain> 

      1

      
        clusterName: <cluster_name> 

      2

      
        caSubject:
          commonName: example.org 

      3

      
          country: "US" 

      4

      
          organization: "RH" 

      5

      
        persistence:
          type: pvc 

      6

      
          size: "5Gi" 

      7

      
          accessMode: ReadWriteOnce 

      8

      
        datastore:
          databaseType: sqlite3
          connectionString: "/run/spire/data/datastore.sqlite3"
          maxOpenConns: 100 

      9

      
          maxIdleConns: 2 

      10

      
          connMaxLifetime: 3600 

      11

      
        jwtIssuer: <jwt_issuer_domain> 

      12

      1

      SPIFFE 식별자에 사용할 신뢰 도메인입니다.

      2

      클러스터 이름입니다.

      3

      SPIRE 서버 CA의 일반 이름입니다.

      4

      SPIRE 서버 CA 국가입니다.

      5

      SPIRE 서버 CA 조직입니다.

      6

      지속성에 사용할 볼륨 유형입니다. 유효한 옵션은 pvc 및 hostPath 입니다.

      7

      지속성에 사용할 볼륨 크기

      8

      지속성에 사용할 액세스 모드입니다. 유효한 옵션은 ReadWriteOnce,ReadWriteOncePod 및 ReadWriteMany 입니다.

      9

      열려 있는 데이터베이스 연결의 최대 수입니다.

      10

      풀의 최대 유휴 연결 수입니다.

      11

      연결을 재사용할 수 있는 최대 시간입니다. 무제한 시간을 지정하려면 값을 0 으로 설정할 수 있습니다.

      12

      JSON 웹 토큰(JWT) 발행자 도메인입니다. 값은 유효한 URL이어야 합니다.

   2. 다음 명령을 실행하여 구성을 적용합니다.

      $ oc apply -f SpireServer.yaml

프로세스

1. SpireAgent CR을 생성합니다.

   1. SpireAgent CR을 정의하는 YAML 파일을 생성합니다(예: SpireAgent.yaml ).

      SpireAgent.yaml의 예

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireAgent
      metadata:
        name: cluster
      spec:
        trustDomain: <trust_domain> 

      1

      
        clusterName: <cluster_name> 

      2

      
        nodeAttestor:
          k8sPSATEnabled: "true" 

      3

      
        workloadAttestors:
          k8sEnabled: "true" 

      4

      
          workloadAttestorsVerification:
            type: "auto" 

      5

      1

      SPIFFE 식별자에 사용할 신뢰 도메인입니다.

      2

      클러스터 이름입니다.

      3

      PSAT( projected service account token) Kubernetes 노드를 활성화하거나 비활성화합니다. 유효한 옵션은 true 및 false 입니다.

      4

      Kubernetes 워크로드 attestor를 활성화하거나 비활성화합니다. 유효한 옵션은 true 및 false 입니다.

      5

      kubelet에 대해 수행할 확인 유형입니다. 유효한 옵션은 auto,hostCert,apiServerCA,skip 입니다. auto 옵션은 처음에 hostCert 를 사용하려고 시도한 다음 apiServerCA 로 대체됩니다.

   2. 다음 명령을 실행하여 구성을 적용합니다.

      $ oc apply -f SpireAgent.yaml

프로세스

1. SpiffeCSIDriver CR을 생성합니다.

   1. SpiffeCSIDriver CR 오브젝트를 정의하는 YAML 파일을 생성합니다(예: SpiffeCSIDriver.yaml ).

      예: SpiffeCSIDriver.yaml

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpiffeCSIDriver
      metadata:
        name: cluster
      spec:
        agentSocketPath: '/run/spire/agent-sockets/spire-agent.sock' 

      1

      1

      SPIRE 에이전트의 UNIX 소켓 경로입니다.

   2. 다음 명령을 실행하여 구성을 적용합니다.

      $ oc apply -f SpiffeCSIDriver.yaml

프로세스

1. SpireOIDCDiscoveryProvider CR을 생성합니다.

   1. SpireOIDCDiscoveryProvider CR을 정의하는 YAML 파일을 생성합니다(예: SpireOIDCDiscoveryProvider.yaml ).

      SpireOIDCDiscoveryProvider.yaml의 예

      apiVersion: operator.openshift.io/v1alpha1
      kind: SpireOIDCDiscoveryProvider
      metadata:
        name: cluster
      spec:
        trustDomain: <trust_domain> 

      1

      
        agentSocketName: 'spire-agent.sock' 

      2

      
        jwtIssuer: <jwt_issuer_domain> 

      3

      1

      SPIFFE 식별자에 사용할 신뢰 도메인입니다.

      2

      SPIRE 에이전트 UNIX 소켓의 이름입니다.

      3

      JSON 웹 토큰(JWT) 발행자 도메인입니다. 값은 유효한 URL이어야 합니다.

   2. 다음 명령을 실행하여 구성을 적용합니다.

      $ oc apply -f SpireOIDCDiscoveryProvider.yaml

검증

1. 다음 명령을 실행하여 OIDC 검색 공급자의 배포가 준비되고 사용 가능한지 확인합니다.

   $ oc get deployment -l app.kubernetes.io/name=spiffe-oidc-discovery-provider -n zero-trust-workload-identity-manager

   출력 예

   NAME                                    READY  UP-TO-DATE  AVAILABLE  AGE
   spire-spiffe-oidc-discovery-provider    1/1    1           1          2m58s

2. 다음 명령을 실행하여 OIDC 검색 공급자 Pod의 상태가 Running 인지 확인합니다.

   $ oc get po -l app.kubernetes.io/name=spiffe-oidc-discovery-provider -n zero-trust-workload-identity-manager

   출력 예

   NAME                                                    READY   STATUS    RESTARTS   AGE
   spire-spiffe-oidc-discovery-provider-64586d599f-lcc94   2/2     Running   0          7m15s