6.3. Ingress 컨트롤러 구성 매개변수

ingresscontrollers.operator.openshift.io 리소스에서 제공되는 구성 매개변수는 다음과 같습니다.

매개변수	설명
`domain`	`domain`은 Ingress 컨트롤러에서 제공하는 DNS 이름이며 여러 기능을 구성하는 데 사용됩니다. `LoadBalancerService` 끝점 게시 방식에서는 `domain`을 사용하여 DNS 레코드를 구성합니다. `endpointPublishingStrategy`를 참조하십시오. 생성된 기본 인증서를 사용하는 경우, 인증서는 `domain` 및 해당 `subdomains`에 유효합니다. `defaultCertificate`를 참조하십시오. 사용자가 외부 DNS 레코드의 대상 위치를 확인할 수 있도록 이 값이 개별 경로 상태에 게시됩니다. `domain` 값은 모든 Ingress 컨트롤러에서 고유해야 하며 업데이트할 수 없습니다. 비어 있는 경우 기본값은 `ingress.config.openshift.io/cluster` `.spec.domain`입니다.
`replicas`	`replicas`는 원하는 개수의 Ingress 컨트롤러 복제본입니다. 설정되지 않은 경우, 기본값은 `2`입니다.
`endpointPublishingStrategy`	`endpointPublishingStrategy`는 Ingress 컨트롤러 끝점을 다른 네트워크에 게시하고 로드 밸런서 통합을 활성화하며 다른 시스템에 대한 액세스를 제공하는 데 사용됩니다. 설정되지 않은 경우, 기본값은 `infrastructure.config.openshift.io/cluster` `.status.platform`을 기반으로 다음과 같습니다. AWS: `LoadBalancerService` (외부 범위 포함) Azure: `LoadBalancerService` (외부 범위 포함) GCP: `LoadBalancerService` (외부 범위 포함) 베어 메탈: `NodePortService` 기타: `HostNetwork` `endpointPublishingStrategy` 값은 업데이트할 수 없습니다.
`defaultCertificate`	`defaultCertificate` 값은 Ingress 컨트롤러가 제공하는 기본 인증서가 포함된 보안에 대한 참조입니다. 경로가 고유한 인증서를 지정하지 않으면 `defaultCertificate`가 사용됩니다. 보안에는 키와 데이터, 즉 `tls.crt`: 인증서 파일 내용 `tls.key`: 키 파일 내용이 포함되어야 합니다. 설정하지 않으면 와일드카드 인증서가 자동으로 생성되어 사용됩니다. 인증서는 Ingress 컨트롤러 `도메인` 및 `하위 도메인`에 유효하며 생성된 인증서의 CA는 클러스터의 신뢰 저장소와 자동으로 통합됩니다. 생성된 인증서 또는 사용자 정의 인증서는 OpenShift Container Platform 내장 OAuth 서버와 자동으로 통합됩니다.
`namespaceSelector`	`namespaceSelector`는 Ingress 컨트롤러가 서비스를 제공하는 네임스페이스 집합을 필터링하는 데 사용됩니다. 이는 분할을 구현하는 데 유용합니다.
`routeSelector`	`routeSelector`는 Ingress 컨트롤러가 서비스를 제공하는 경로 집합을 필터링하는 데 사용됩니다. 이는 분할을 구현하는 데 유용합니다.
`nodePlacement`	`nodePlacement`를 사용하면 Ingress 컨트롤러의 스케줄링을 명시적으로 제어할 수 있습니다. 설정하지 않으면 기본값이 사용됩니다. 참고 `nodePlacement` 매개변수는 `nodeSelector` 및 `tolerations`의 두 부분으로 구성됩니다. 예를 들면 다음과 같습니다. nodePlacement: nodeSelector: matchLabels: kubernetes.io/os: linux tolerations: - effect: NoSchedule operator: Exists
`tlsSecurityProfile`	`tlsSecurityProfile`은 Ingress 컨트롤러의 TLS 연결 설정을 지정합니다. 설정되지 않으면, 기본값은 `apiservers.config.openshift.io/cluster` 리소스를 기반으로 설정됩니다. `Old`, `Intermediate` 및 `Modern` 프로파일 유형을 사용하는 경우 유효한 프로파일 구성은 릴리스마다 변경될 수 있습니다. 예를 들어, 릴리스 `X.Y.Z`에 배포된 `Intermediate` 프로파일을 사용하도록 설정한 경우 `X.Y.Z+1` 릴리스로 업그레이드하면 새 프로파일 구성이 Ingress 컨트롤러에 적용되어 롤아웃이 발생할 수 있습니다. Ingress 컨트롤러의 최소 TLS 버전은 `1.1`이며 최대 TLS 버전은 `1.2`입니다. 중요 HAProxy Ingress 컨트롤러 이미지는 TLS `1.3`을 지원하지 않으며 `Modern` 프로파일에는 TLS `1.3`이 필요하므로 이는 지원되지 않습니다. Ingress Operator는 `Modern` 프로파일을 `Intermediate`로 변환합니다. 또한, Ingress Operator는 `Old` 또는 `Custom` 프로파일의 TLS `1.0`을 `1.1`로 변환하고 `Custom` 프로파일의 TLS `1.3`을 `1.2`로 변환합니다. OpenShift Container Platform 라우터를 사용하면 TLS_AES_128_CCM_SHA256 `,` TLS_CHACHA20_POLY1305_SHA256, TLS_AES_256_GCM_SHA384, TLS_AES_128_GCM_SHA256, TLS_AES_128_GCM_SHA256을 사용하는 Red Hat 배포 OpenSSL 기본 세트가 사용됩니다. OpenShift Container Platform 4.6, 4.7, 4.8에서는 TLS `1.3` 연결 및 암호 제품군을 사용할 수 없습니다. 참고 구성된 보안 프로파일의 암호 및 최소 TLS 버전은 `TLSProfile` 상태에 반영됩니다.
`routeAdmission`	`routeAdmission`은 네임스페이스에서 클레임을 허용 또는 거부하는 등 새로운 경로 클레임을 처리하기 위한 정책을 정의합니다. `namespaceOwnership`은 네임스페이스에서 호스트 이름 클레임을 처리하는 방법을 설명합니다. 기본값은 `Strict`입니다. `Strict`: 경로가 네임스페이스에서 동일한 호스트 이름을 요청하는 것을 허용하지 않습니다. `InterNamespaceAllowed`: 경로가 네임스페이스에서 동일한 호스트 이름의 다른 경로를 요청하도록 허용합니다. `wildcardPolicy`는 Ingress 컨트롤러에서 와일드카드 정책이 포함된 경로를 처리하는 방법을 설명합니다. `WildcardsAllowed`: 와일드카드 정책이 있는 경로가 Ingress 컨트롤러에 의해 허용됨을 나타냅니다. `WildcardsDisallowed`: 와일드카드 정책이 `None` 인 경로만 Ingress 컨트롤러에서 허용됨을 나타냅니다. `WildcardsAllowed`에서 `WildcardsDisallowed`로 `wildcardPolicy`를 업데이트하면 와일드카드 정책이 `Subdomain`인 허용되는 경로의 작동이 중지됩니다. Ingress 컨트롤러에서 이러한 경로를 다시 허용하려면 이 경로를 설정이 `None`인 와일드카드 정책으로 다시 생성해야 합니다. 기본 설정은 `WildcardsDisallowed`입니다.
`IngressControllerLogging`	`logging`은 어디에서 무엇이 기록되는지에 대한 매개변수를 정의합니다. 이 필드가 비어 있으면 작동 로그는 활성화되지만 액세스 로그는 비활성화됩니다. `access`는 클라이언트 요청이 기록되는 방법을 설명합니다. 이 필드가 비어 있으면 액세스 로깅이 비활성화됩니다. `destination`은 로그 메시지의 대상을 설명합니다. `type`은 로그 대상의 유형입니다. `Container` 는 로그가 사이드카 컨테이너로 이동하도록 지정합니다. Ingress Operator는 Ingress 컨트롤러 pod에서 logs 라는 컨테이너를 구성하고 컨테이너에 로그를 작성하도록 Ingress 컨트롤러를 구성합니다. 관리자는 이 컨테이너에서 로그를 읽는 사용자 정의 로깅 솔루션을 구성해야 합니다. 컨테이너 로그를 사용한다는 것은 로그 비율이 컨테이너 런타임 용량 또는 사용자 정의 로깅 솔루션 용량을 초과하면 로그가 삭제될 수 있음을 의미합니다. `Syslog`는 로그가 Syslog 끝점으로 전송되도록 지정합니다. 관리자는 Syslog 메시지를 수신할 수 있는 끝점을 지정해야 합니다. 관리자가 사용자 정의 Syslog 인스턴스를 구성하는 것이 좋습니다. `컨테이너`는 `Container` 로깅 대상 유형의 매개변수를 설명합니다. 현재는 컨테이너 로깅에 대한 매개변수가 없으므로 이 필드는 비어 있어야 합니다. `syslog`는 `Syslog` 로깅 대상 유형의 매개변수를 설명합니다. `address`는 로그 메시지를 수신하는 syslog 끝점의 IP 주소입니다. `port`는 로그 메시지를 수신하는 syslog 끝점의 UDP 포트 번호입니다. `facility`는 로그 메시지의 syslog 기능을 지정합니다. 이 필드가 비어 있으면 장치가 `local1`이 됩니다. 그렇지 않으면 유효한 syslog 기능을 지정해야 합니다. `kern`,`사용자`,`메일`,`데몬`,`auth`,`syslog`,`lpr`,`뉴스`,`uucp`,`cron`,`auth2`,`ftp`,`ntp`,`audit`, `alert`,`cron2`,`local0`,`local1`,`local2`,`local3`.`local4`,`local5`,`local6` 또는 `local7`. `httpLogFormat`은 HTTP 요청에 대한 로그 메시지의 형식을 지정합니다. 이 필드가 비어 있으면 로그 메시지는 구현의 기본 HTTP 로그 형식을 사용합니다. HAProxy의 기본 HTTP 로그 형식과 관련한 내용은 HAProxy 문서를 참조하십시오.
`httpHeaders`	`httpHeaders`는 HTTP 헤더에 대한 정책을 정의합니다. `IngressControllerHTTPHeaders`에 `forwardedHeaderPolicy`를 설정하여 Ingress 컨트롤러에서 `Forwarded`, `X-Forwarded-For`, `X-Forwarded-Host`, `X-Forwarded-Port`, `X-Forwarded-Proto`, `X-Forwarded-Proto-Version` HTTP 헤더를 설정하는 시기와 방법을 지정합니다. 기본적으로 정책은 `Append`로 설정됩니다. `Append`는 Ingress 컨트롤러에서 기존 헤더를 유지하면서 헤더를 추가하도록 지정합니다. `Replace`는 Ingress 컨트롤러에서 헤더를 설정하고 기존 헤더를 제거하도록 지정합니다. `IfNone`은 헤더가 아직 설정되지 않은 경우 Ingress 컨트롤러에서 헤더를 설정하도록 지정합니다. `Never`는 Ingress 컨트롤러에서 헤더를 설정하지 않고 기존 헤더를 보존하도록 지정합니다.

참고

모든 매개변수는 선택 사항입니다.

6.3.1. Ingress 컨트롤러 TLS 보안 프로필

TLS 보안 프로필은 서버가 서버에 연결할 때 연결 클라이언트가 사용할 수 있는 암호를 규제하는 방법을 제공합니다.

6.3.1.1. TLS 보안 프로필 이해

TLS(Transport Layer Security) 보안 프로필을 사용하여 다양한 OpenShift Container Platform 구성 요소에 필요한 TLS 암호를 정의할 수 있습니다. OpenShift Container Platform TLS 보안 프로필은 Mozilla 권장 구성을 기반으로 합니다.

각 구성 요소에 대해 다음 TLS 보안 프로필 중 하나를 지정할 수 있습니다.

표 6.1. TLS 보안 프로필
Profile	설명
`Old`	이 프로필은 레거시 클라이언트 또는 라이브러리와 함께 사용하기 위한 것입니다. 프로필은 이전 버전과의 호환성 권장 구성을 기반으로 합니다. `Old` 프로파일에는 최소 TLS 버전 1.0이 필요합니다. 참고 Ingress 컨트롤러의 경우 최소 TLS 버전이 1.0에서 1.1로 변환됩니다.
`Intermediate`	이 프로필은 대부분의 클라이언트에서 권장되는 구성입니다. Ingress 컨트롤러 및 컨트롤 플레인의 기본 TLS 보안 프로필입니다. 프로필은 중간 호환성 권장 구성을 기반으로 합니다. `Intermediate` 프로필에는 최소 TLS 버전이 1.2가 필요합니다.
`Modern`	이 프로필은 이전 버전과의 호환성이 필요하지 않은 최신 클라이언트와 사용하기 위한 것입니다. 이 프로필은 최신 호환성 권장 구성을 기반으로 합니다. `Modern` 프로필에는 최소 TLS 버전 1.3이 필요합니다. 참고 OpenShift Container Platform 4.6, 4.7, 4.8에서는 `Modern` 프로필이 지원되지 않습니다. 선택하면 `Intermediate` 프로필이 활성화됩니다. 중요 현재 `Modern` 프로필은 지원되지 않습니다.
`사용자 지정`	이 프로필을 사용하면 사용할 TLS 버전과 암호를 정의할 수 있습니다. 주의 `Custom` 프로파일을 사용할 때는 잘못된 구성으로 인해 문제가 발생할 수 있으므로 주의해야 합니다. 참고 OpenShift Container Platform 라우터를 사용하면 Red Hat에서 배포한 OpenSSL 기본 TLS `1.3` 암호화 제품군 세트를 사용할 수 있습니다. OpenShift Container Platform 4.6, 4.7, 4.8에서는 TLS `1.3` 연결 및 암호 제품군을 사용할 수 없습니다.

참고

미리 정의된 프로파일 유형 중 하나를 사용하는 경우 유효한 프로파일 구성은 릴리스마다 변경될 수 있습니다. 예를 들어 릴리스 X.Y.Z에 배포된 중간 프로필을 사용하는 사양이 있는 경우 릴리스 X.Y.Z+1로 업그레이드하면 새 프로필 구성이 적용되어 롤아웃이 발생할 수 있습니다.

6.3.1.2. Ingress 컨트롤러의 TLS 보안 프로필 구성

Ingress 컨트롤러에 대한 TLS 보안 프로필을 구성하려면 IngressController CR(사용자 정의 리소스)을 편집하여 사전 정의된 또는 사용자 지정 TLS 보안 프로필을 지정합니다. TLS 보안 프로필이 구성되지 않은 경우 기본값은 API 서버에 설정된 TLS 보안 프로필을 기반으로 합니다.

Old TLS 보안 프로파일을 구성하는 샘플 IngressController CR

apiVersion: operator.openshift.io/v1
kind: IngressController
 ...
spec:
  tlsSecurityProfile:
    old: {}
    type: Old
 ...

TLS 보안 프로필은 Ingress 컨트롤러의 TLS 연결에 대한 최소 TLS 버전과 TLS 암호를 정의합니다.

Status.Tls Profile 아래의 IngressController CR(사용자 정의 리소스) 및 Spec.Tls Security Profile 아래 구성된 TLS 보안 프로필에서 구성된 TLS 보안 프로필의 암호 및 최소 TLS 버전을 확인할 수 있습니다. Custom TLS 보안 프로필의 경우 특정 암호 및 최소 TLS 버전이 두 매개변수 아래에 나열됩니다.

중요

HAProxy Ingress 컨트롤러 이미지는 TLS 1.3을 지원하지 않으며 Modern 프로파일에는 TLS 1.3이 필요하므로 이는 지원되지 않습니다. Ingress Operator는 Modern 프로파일을 Intermediate로 변환합니다. 또한, Ingress Operator는 Old 또는 Custom 프로파일의 TLS 1.0을 1.1로 변환하고 Custom 프로파일의 TLS 1.3을 1.2로 변환합니다.

사전 요구 사항

cluster-admin 역할의 사용자로 클러스터에 액세스할 수 있어야 합니다.

프로세스

openshift-ingress-operator 프로젝트에서 IngressController CR을 편집하여 TLS 보안 프로필을 구성합니다.
```
$ oc edit IngressController default -n openshift-ingress-operator
```
spec.tlsSecurityProfile 필드를 추가합니다.
Custom 프로필에 대한 IngressController CR 샘플
```
apiVersion: operator.openshift.io/v1
kind: IngressController
 ...
spec:
  tlsSecurityProfile:
    type: Custom 1
    custom: 2
      ciphers: 3
      - ECDHE-ECDSA-CHACHA20-POLY1305
      - ECDHE-RSA-CHACHA20-POLY1305
      - ECDHE-RSA-AES128-GCM-SHA256
      - ECDHE-ECDSA-AES128-GCM-SHA256
      minTLSVersion: VersionTLS11
 ...
```
1
TLS 보안 프로필 유형(Old,Intermediate 또는 Custom)을 지정합니다. 기본값은 Intermediate입니다.
2
선택한 유형의 적절한 필드를 지정합니다.
old: {}
intermediate: {}
custom:
3
custom 유형의 경우 TLS 암호화 목록 및 최소 허용된 TLS 버전을 지정합니다.
파일을 저장하여 변경 사항을 적용합니다.

검증

IngressController CR에 프로파일이 설정되어 있는지 확인합니다.

$ oc describe IngressController default -n openshift-ingress-operator

출력 예

Name:         default
Namespace:    openshift-ingress-operator
Labels:       <none>
Annotations:  <none>
API Version:  operator.openshift.io/v1
Kind:         IngressController
 ...
Spec:
 ...
  Tls Security Profile:
    Custom:
      Ciphers:
        ECDHE-ECDSA-CHACHA20-POLY1305
        ECDHE-RSA-CHACHA20-POLY1305
        ECDHE-RSA-AES128-GCM-SHA256
        ECDHE-ECDSA-AES128-GCM-SHA256
      Min TLS Version:  VersionTLS11
    Type:               Custom
 ...

6.3. Ingress 컨트롤러 구성 매개변수

6.3.1. Ingress 컨트롤러 TLS 보안 프로필

6.3.1.1. TLS 보안 프로필 이해

6.3.1.2. Ingress 컨트롤러의 TLS 보안 프로필 구성

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat 소개

Red Hat legal and privacy links

Red Hat legal and privacy links