1.13. 보안

프로세스

1. 웹 콘솔에 로그인합니다.
2. 프로젝트 메뉴를 클릭하고 Service Mesh Control Plane을 설치한 프로젝트(예: istio-system )를 선택합니다.
3. Operators 설치된 Operators를 클릭합니다.
4. 제공된 API에서 Service Mesh Control Plane을 클릭합니다.
5. ServiceMeshControlPlane 리소스의 이름(예: production)을 클릭합니다.
6. 세부 정보 페이지에서 데이터 플레인 보안의 보안 섹션에서 토글을 클릭합니다.

1. Maistra 리포지토리에서 로컬로 예제 인증서를 저장하고 <path>를 인증서 경로로 바꿉니다.

2. 입력 파일 ca-cert.pem,ca-key.pem,root-cert.pem 및 cert-chain.pem 을 포함하는 cacert 라는 시크릿을 생성합니다.

   $ oc create secret generic cacerts -n istio-system --from-file=<path>/ca-cert.pem \
       --from-file=<path>/ca-key.pem --from-file=<path>/root-cert.pem \
       --from-file=<path>/cert-chain.pem

3. ServiceMeshControlPlane 리소스에서 spec.security.dataPlane.mtls true 를 true 로 설정하고 다음 예와 같이 certificateAuthority 필드를 구성합니다. 기본 rootCADir는 /etc/cacerts입니다. 키와 인증서가 기본 위치에 마운트된 경우 privateKey를 설정할 필요가 없습니다. 서비스 메시는 secret-mount 파일에서 인증서와 키를 읽습니다.

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true
       certificateAuthority:
         type: Istiod
         istiod:
           type: PrivateKey
           privateKey:
             rootCADir: /etc/cacerts

4. cacert 시크릿을 생성/변경/삭제한 후 Service Mesh Control Plane istiod 및 게이트웨이 pod를 다시 시작해야 변경 사항이 적용됩니다. 다음 명령을 사용하여 Pod를 재시작합니다.

   $ oc -n istio-system delete pods -l 'app in (istiod,istio-ingressgateway, istio-egressgateway)'

   Operator는 삭제된 후 Pod를 자동으로 다시 생성합니다.

5. 사이드카 프록시가 시크릿 변경 사항을 선택하도록 bookinfo 애플리케이션 Pod를 다시 시작합니다. 다음 명령을 사용하여 Pod를 재시작합니다.

   $ oc -n bookinfo delete pods --all

   출력은 다음과 유사합니다.

   pod "details-v1-6cd699df8c-j54nh" deleted
   pod "productpage-v1-5ddcb4b84f-mtmf2" deleted
   pod "ratings-v1-bdbcc68bc-kmng4" deleted
   pod "reviews-v1-754ddd7b6f-lqhsv" deleted
   pod "reviews-v2-675679877f-q67r2" deleted
   pod "reviews-v3-79d7549c7-c2gjs" deleted

6. Pod가 생성되고 다음 명령을 사용하여 준비되었는지 확인합니다.

   $ oc get pods -n bookinfo

1. bookinfo 워크로드에서 인증서를 추출하려면 다음 명령을 사용합니다.

   $ sleep 60
   $ oc -n bookinfo exec "$(oc -n bookinfo get pod -l app=productpage -o jsonpath={.items..metadata.name})" -c istio-proxy -- openssl s_client -showcerts -connect details:9080 > bookinfo-proxy-cert.txt
   $ sed -n '/-----BEGIN CERTIFICATE-----/{:start /-----END CERTIFICATE-----/!{N;b start};/.*/p}' bookinfo-proxy-cert.txt > certs.pem
   $ awk 'BEGIN {counter=0;} /BEGIN CERT/{counter++} { print > "proxy-cert-" counter ".pem"}' < certs.pem

   명령을 실행한 후 작업 디렉터리에 proxy-cert-1.pem,proxy-cert-2.pem 및 proxy-cert-3.pem 의 3개의 파일이 있어야 합니다.

2. 루트 인증서가 관리자가 지정한 것과 동일한지 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl x509 -in <path>/root-cert.pem -text -noout > /tmp/root-cert.crt.txt

   터미널 창에서 다음 구문을 실행합니다.

   $ openssl x509 -in ./proxy-cert-3.pem -text -noout > /tmp/pod-root-cert.crt.txt

   터미널 창에서 다음 구문을 실행하여 인증서를 비교합니다.

   $ diff -s /tmp/root-cert.crt.txt /tmp/pod-root-cert.crt.txt

   다음과 같은 결과가 표시됩니다. /tmp/root-cert.crt.txt 및 /tmp/pod-root-cert.crt.txt 파일은 동일합니다.

3. CA 인증서가 관리자가 지정한 것과 동일한지 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl x509 -in <path>/ca-cert.pem -text -noout > /tmp/ca-cert.crt.txt

   터미널 창에서 다음 구문을 실행합니다.

   $ openssl x509 -in ./proxy-cert-2.pem -text -noout > /tmp/pod-cert-chain-ca.crt.txt

   터미널 창에서 다음 구문을 실행하여 인증서를 비교합니다.

   $ diff -s /tmp/ca-cert.crt.txt /tmp/pod-cert-chain-ca.crt.txt

   다음과 같은 결과가 표시됩니다. /tmp/ca-cert.crt.txt 및 /tmp/pod-cert-chain-ca.crt.txt 파일은 동일합니다.

4. 루트 인증서에서 워크로드 인증서로의 인증서 체인을 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl verify -CAfile <(cat <path>/ca-cert.pem <path>/root-cert.pem) ./proxy-cert-1.pem

   /proxy-cert-1.pem 결과가 표시됩니다. OK

1. 시크릿 cacerts를 제거합니다. 이 예제에서 istio-system 은 Service Mesh Control Plane 프로젝트의 이름입니다.

   $ oc delete secret cacerts -n istio-system

2. ServiceMeshControlPlane 리소스에서 자체 서명된 루트 인증서로 서비스 메시를 재배포합니다.

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true