2.6. Pod에 민감한 데이터 제공

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   예를 들면 다음과 같습니다.

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque 1
   data:
     username: dXNlci1uYW1l
     password: cGFzc3dvcmQ=

   1

   불투명 보안을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안 생성 방법" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "secret을 보안 생성 방법" 섹션에 설명된 대로 보안을 환경 변수로 사용하거나 secret 볼륨을 사용하여 파일로 사용하는 Pod를 생성합니다.

절차

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   보안 오브젝트 의 예:

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-sa-sample
     annotations:
       kubernetes.io/service-account.name: "sa-name" 1
   type: kubernetes.io/service-account-token 2

   1

   기존 서비스 계정 이름을 지정합니다. ServiceAccount 및 Secret 오브젝트를 모두 생성하는 경우 ServiceAccount 오브젝트를 먼저 생성합니다.

   2

   서비스 계정 토큰 보안을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안 생성 방법" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "secret을 보안 생성 방법" 섹션에 설명된 대로 보안을 환경 변수로 사용하거나 secret 볼륨을 사용하여 파일로 사용하는 Pod를 생성합니다.

절차

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   보안 오브젝트 의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-basic-auth
   type: kubernetes.io/basic-auth 1
   data:
   stringData: 2
     username: admin
     password: t0p-Secret

   1

   기본 인증 보안을 지정합니다.

   2

   사용할 기본 인증 값을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안 생성 방법" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "secret을 보안 생성 방법" 섹션에 설명된 대로 보안을 환경 변수로 사용하거나 secret 볼륨을 사용하여 파일로 사용하는 Pod를 생성합니다.

절차

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   보안 오브젝트 의 예:

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-ssh-auth
   type: kubernetes.io/ssh-auth 1
   data:
     ssh-privatekey: | 2
             MIIEpQIBAAKCAQEAulqb/Y ...

   1

   SSH 인증 보안을 지정합니다.

   2

   SSH 키/값 쌍을 사용할 SSH 자격 증명으로 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안 생성 방법" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "secret을 보안 생성 방법" 섹션에 설명된 대로 보안을 환경 변수로 사용하거나 secret 볼륨을 사용하여 파일로 사용하는 Pod를 생성합니다.

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   Docker 구성 보안 오브젝트 의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-cfg
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfig:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   시크릿이 Docker 구성 파일을 사용하도록 지정합니다.

   2

   base64로 인코딩된 Docker 구성 파일의 출력

   Docker 구성 JSON 시크릿 오브젝트의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-json
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfigjson:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   시크릿이 Docker 구성 JSONfile을 사용하도록 지정합니다.

   2

   base64로 인코딩된 Docker 구성 JSON 파일의 출력

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안 생성 방법" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "secret을 보안 생성 방법" 섹션에 설명된 대로 보안을 환경 변수로 사용하거나 secret 볼륨을 사용하여 파일로 사용하는 Pod를 생성합니다.

1. 서비스에 대한 Pod 사양을 편집합니다.

2. 보안에 사용할 이름으로 service.beta.openshift.io/serving-cert-secret-name 주석을 추가합니다.

   kind: Service
   apiVersion: v1
   metadata:
     name: my-service
     annotations:
         service.beta.openshift.io/serving-cert-secret-name: my-cert 1
   spec:
     selector:
       app: MyApp
     ports:
     - protocol: TCP
       port: 80
       targetPort: 9376

   인증서 및 키는 PEM 형식이며 각각 tls.crt 및 tls.key에 저장됩니다.

3. 서비스를 생성합니다.

   $ oc create -f <file-name>.yaml

4. 보안이 생성되었는지 확인합니다.

   1. 모든 보안 목록을 확인합니다.

      $ oc get secrets

      출력 예

      NAME                     TYPE                                  DATA      AGE
      my-cert                  kubernetes.io/tls                     2         9m

   2. 보안에 대한 세부 정보를 확인합니다.

      $ oc describe secret my-cert

      출력 예

      Name:         my-cert
      Namespace:    openshift-console
      Labels:       <none>
      Annotations:  service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
                    service.beta.openshift.io/originating-service-name: my-service
                    service.beta.openshift.io/originating-service-uid: 640f0ec3-afc2-4380-bf31-a8c784846a11
                    service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
      
      Type:  kubernetes.io/tls
      
      Data
      ====
      tls.key:  1679 bytes
      tls.crt:  2595 bytes

5. 해당 보안을 사용하여 Pod 사양을 편집합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-service-pod
   spec:
     containers:
     - name: mypod
       image: redis
       volumeMounts:
       - name: foo
         mountPath: "/etc/foo"
     volumes:
     - name: foo
       secret:
         secretName: my-cert
         items:
         - key: username
           path: my-group/my-username
           mode: 511

   사용 가능한 경우 Pod가 실행됩니다. 인증서는 내부 서비스 DNS 이름인 <service.name>.<service.namespace>.svc에 적합합니다.

   인증서/키 쌍은 만료 시기가 다가오면 자동으로 교체됩니다. 보안의 service.beta.openshift.io/expiry 주석에서 RFC3339 형식으로 된 만료 날짜를 확인합니다.

   참고

   대부분의 경우 서비스 DNS 이름 <service.name>.<service.namespace>.svc는 외부에서 라우팅할 수 없습니다. <service.name>.<service.namespace>.svc는 주로 클러스터 내 또는 서비스 내 통신과 경로 재암호화에 사용됩니다.