1.2. 인증서

Red Hat Advanced Cluster Management에서 실행되는 서비스에 필요한 모든 인증서는 Red Hat Advanced Cluster Management를 설치하는 동안 생성됩니다. 인증서는 OpenShift 플랫폼의 다음 구성 요소에 의해 생성 및 관리됩니다.

OpenShift Service Serving 인증서
Red Hat Advanced Cluster Management webhook 컨트롤러
Kubernetes Certificates API
OpenShift 기본 수신

필수 액세스: 클러스터 관리자

인증서 관리에 대해 자세히 알아보려면 계속 읽으십시오.

참고: 사용자는 인증서 교체 및 업데이트를 담당합니다.

1.2.1. Red Hat Advanced Cluster Management hub 클러스터 인증서

OpenShift 기본 수신 인증서는 허브 클러스터 인증서로 간주됩니다. Red Hat Advanced Cluster Management를 설치한 후 관찰 가능 구성 요소에서 관찰 가능 인증서를 생성하고 사용하여 허브 클러스터와 관리 클러스터 간의 트래픽에 상호 TLS를 제공합니다. 관찰 가능 인증서와 관련된 Kubernetes 시크릿입니다.

open-cluster-management-observability 네임스페이스에는 다음 인증서가 포함되어 있습니다.
- observability-server-ca-certs: 서버 측 인증서에 서명하기 위한 CA 인증서
- observability-client-ca-certs: 클라이언트 측 인증서에 서명하기 위한 CA 인증서
- observability-server-certs: observability-observatorium-api 배포에서 사용하는 서버 인증서
- observability-grafana-certs: observability-rbac-query-proxy 배포에서 사용하는 클라이언트 인증서
open-cluster-management-addon-observability 네임스페이스에는 관리 클러스터에서 다음 인증서가 포함됩니다.
- observability-managed-cluster-certs: hub 서버에 observability-server-ca-certs 와 동일한 서버 CA 인증서
- observability-controller-open-cluster-management.io-observability-signer-client-cert: metrics-collector-deployment에서 사용하는 클라이언트 인증서

CA 인증서는 5년 동안 유효하며 다른 인증서는 1년 동안 유효합니다. 모든 관찰 인증서는 만료 시 자동으로 새로 고쳐집니다. 다음 목록을 보고 인증서가 자동으로 갱신될 때의 영향을 파악합니다.

나머지 유효 시간이 73 일을 넘지 않으면 비 CA 인증서가 자동으로 갱신됩니다. 인증서가 갱신되면 관련 배포의 Pod가 자동 다시 시작하여 업데이트된 인증서를 사용합니다.
유효한 남은 시간이 1년을 넘지 않으면 CA 인증서가 자동으로 갱신됩니다. 인증서가 갱신되면 이전 CA는 삭제되지 않지만 업데이트된 CA와 공존합니다. 이전 인증서와 갱신된 인증서는 모두 관련 배포에서 사용되며 계속 작동합니다. 이전 CA 인증서는 만료될 때 삭제됩니다.
인증서가 갱신되면 hub 클러스터와 관리 클러스터 간의 트래픽이 중단되지 않습니다.

다음 Red Hat Advanced Cluster Management Hub 클러스터 인증서 표를 확인하십시오.

표 1.1. Red Hat Advanced Cluster Management hub 클러스터 인증서
네임스페이스	시크릿 이름	Pod 레이블
open-cluster-management	channels-apps-open-cluster-management-webhook-svc-ca	app=multicluster-operators-channel	open-cluster-management
channels-apps-open-cluster-management-webhook-svc-signed-ca	app=multicluster-operators-channel	open-cluster-management	multicluster-operators-application-svc-ca
app=multicluster-operators-application	open-cluster-management	multicluster-operators-application-svc-signed-ca	app=multicluster-operators-application
open-cluster-management-hub	registration-webhook-serving-cert signer-secret	필요하지 않음	open-cluster-management-hub

1.2.2. Red Hat Advanced Cluster Management 관리 인증서

Red Hat Advanced Cluster Management 관리 인증서 및 관련 시크릿이 포함된 구성 요소 Pod의 요약된 목록은 다음 표를 참조하십시오.

표 1.2. Red Hat Advanced Cluster Management 관리 인증서가 포함된 Pod
네임스페이스	시크릿 이름(해당되는 경우)
open-cluster-management-agent-addon	cluster-proxy-open-cluster-management.io-proxy-agent-signer-client-cert
open-cluster-management-agent-addon	cluster-proxy-service-proxy-server-certificates

1.2.2.1. 관리형 클러스터 인증서

인증서는 허브 클러스터로 관리되는 클러스터를 인증하는 데 사용됩니다. 따라서 이러한 인증서와 관련된 문제 해결 시나리오를 알고 있어야 합니다. 자세한 내용은 추가 리소스 섹션의 인증서 변경 주제 이후에 가져온 클러스터 문제 해결에 대한 링크를 선택합니다.

관리형 클러스터 인증서가 자동으로 새로 고쳐집니다.

1.2.3. 추가 리소스

인증서 정책 컨트롤러를 사용하여 관리 클러스터에서 인증서 정책을 생성하고 관리합니다. 자세한 내용은 인증서 정책 컨트롤러 를 참조하십시오.
SSL 인증서를 사용하여 개인 호스팅 Git 서버에 안전하게 연결하는 방법에 대한 자세한 내용은 보안 HTTPS 연결에 사용자 정의 CA 인증서 사용을 참조하십시오.

자세한 내용은 OpenShift Service Serving 인증서 를 참조하십시오.
OpenShift Container Platform 기본 인그레스는 hub 클러스터 인증서로 간주됩니다. 자세한 내용은 OpenShift 기본 수신 인증서 교체 를 참조하십시오.
주제는 인증서 개요 를 참조하십시오.
위험 및 규정 준수 페이지로 돌아갑니다.

1.2.4. 자체 관찰 가능성 인증 기관(CA) 인증서 가져오기

Kubernetes용 Red Hat Advanced Cluster Management를 설치하면 기본적으로 관찰을 위한 CA(인증 기관) 인증서만 제공됩니다. Red Hat Advanced Cluster Management에서 생성한 기본 관찰 기능 CA 인증서를 사용하지 않으려면 관찰 기능을 활성화하기 전에 자체 관찰 가능한 CA 인증서를 가져오도록 선택할 수 있습니다.

1.2.4.1. OpenSSL 명령을 사용하여 CA 인증서 생성

관찰 기능에는 두 개의 CA 인증서가 필요합니다. 하나는 서버 측이고 다른 하나는 클라이언트 측에 사용됩니다.

다음 명령을 사용하여 CA RSA 개인 키를 생성합니다.

openssl genrsa -out serverCAKey.pem 2048
openssl genrsa -out clientCAKey.pem 2048

개인 키를 사용하여 자체 서명된 CA 인증서를 생성합니다. 다음 명령을 실행합니다.

openssl req -x509 -sha256 -new -nodes -key serverCAKey.pem -days 1825 -out serverCACert.pem
openssl req -x509 -sha256 -new -nodes -key clientCAKey.pem -days 1825 -out clientCACert.pem

1.2.4.2. BYO 관찰 기능 CA 인증서와 연결된 보안 생성

보안을 생성하려면 다음 단계를 완료합니다.

인증서 및 개인 키를 사용하여 observability-server-ca-certs 시크릿을 생성합니다. 다음 명령을 실행합니다.

oc -n open-cluster-management-observability create secret tls observability-server-ca-certs --cert ./serverCACert.pem --key ./serverCAKey.pem

인증서 및 개인 키를 사용하여 observability-client-ca-certs 시크릿을 생성합니다. 다음 명령을 실행합니다.

oc -n open-cluster-management-observability create secret tls observability-client-ca-certs --cert ./clientCACert.pem --key ./clientCAKey.pem

1.2.4.3. 추가 리소스

이 페이지의 시작 부분으로 돌아가서 BYO(Bringing Your Own) 인증 기관(CA) 인증서.
인증서 관리 개요 로 돌아갑니다.

1.2.5. 인증서 관리

인증서를 새로 고침, 교체, 회전 및 나열하는 방법에 대한 정보를 계속 읽습니다.

1.2.5.1. Red Hat Advanced Cluster Management Webhook 인증서 새로 고침

Red Hat Advanced Cluster Management 서비스에서 생성 및 관리하는 인증서인 Red Hat Advanced Cluster Management 관리 인증서를 새로 고칠 수 있습니다.

Red Hat Advanced Cluster Management에서 관리하는 인증서를 새로 고치려면 다음 단계를 완료합니다.

다음 명령을 실행하여 Red Hat Advanced Cluster Management 관리 인증서와 연결된 보안을 삭제합니다.
```
oc delete secret -n <namespace> <secret> 1
```
1
& lt;namespace& gt ; 및 <secret >을 사용하려는 값으로 바꿉니다.
다음 명령을 실행하여 Red Hat Advanced Cluster Management 관리 인증서와 연결된 서비스를 다시 시작합니다.
```
oc delete pod -n <namespace> -l <pod-label> 1
```
1
& lt;namespace > 및 < pod-label >을 Red Hat Advanced Cluster Management 관리 클러스터 인증서 테이블의 값으로 바꿉니다.
참고: pod-label 을 지정하지 않으면 재시작해야 하는 서비스가 없습니다. 보안이 다시 생성되고 자동으로 사용됩니다.

1.2.5.2. alertmanager 경로에 대한 인증서 교체

OpenShift 기본 수신 인증서를 사용하지 않으려면 alertmanager 경로를 업데이트하여 alertmanager 인증서를 교체할 수 있습니다. 다음 단계를 완료합니다.

다음 명령을 사용하여 관찰 가능 인증서를 검사합니다.
```
openssl x509  -noout -text -in ./observability.crt
```
인증서의CN(Common Name)을 alertmanager 로 변경합니다.
alertmanager 경로의 호스트 이름으로 csr.cnf 구성 파일의 SAN을 변경합니다.

open-cluster-management-observability 네임스페이스에 다음 두 개의 시크릿을 생성합니다. 다음 명령을 실행합니다.

oc -n open-cluster-management-observability create secret tls alertmanager-byo-ca --cert ./ca.crt --key ./ca.key

oc -n open-cluster-management-observability create secret tls alertmanager-byo-cert --cert ./ingress.crt --key ./ingress.key

1.2.5.3. 게이트키퍼 웹 후크 인증서 교체

게이트키퍼 웹 후크 인증서를 교체하려면 다음 단계를 완료합니다.

다음 명령을 사용하여 인증서가 포함된 보안을 편집합니다.
```
oc edit secret -n openshift-gatekeeper-system gatekeeper-webhook-server-cert
```
data 섹션에서 다음 콘텐츠를 삭제합니다. ca.crt,ca.key,tls.crt, tls.key.key .
다음 명령을 사용하여 gatekeeper-controller-manager Pod를 삭제하여 게이트키퍼 웹 후크 서비스를 다시 시작합니다.
```
oc delete pod -n openshift-gatekeeper-system -l control-plane=controller-manager
```

게이트키퍼 웹 후크 인증서가 교체되었습니다.

1.2.5.4. 인증서 교체 확인

다음 단계를 사용하여 인증서가 순환되었는지 확인합니다.

확인할 시크릿을 식별합니다.
tls.crt 키를 확인하여 인증서를 사용할 수 있는지 확인합니다.
다음 명령을 사용하여 인증서 정보를 표시합니다.
```
oc get secret <your-secret-name> -n open-cluster-management -o jsonpath='{.data.tls\.crt}' | base64 -d | openssl x509 -text -noout
```
& lt;your-secret-name >을 확인 중인 보안 이름으로 바꿉니다. 필요한 경우 네임스페이스 및 JSON 경로도 업데이트합니다.
출력에서 유효한 세부 정보를 확인합니다. 다음 유효성 검사 예제를 확인합니다.
```
Validity
            Not Before: Jul 13 15:17:50 2023 GMT 1
            Not After : Jul 12 15:17:50 2024 GMT 2
```
1
Not Before 값은 인증서를 교체한 날짜와 시간입니다.
2
Not After 값은 인증서 만료 날짜 및 시간입니다.

1.2.5.5. 허브 클러스터 관리 인증서 나열

내부적으로 OpenShift Service Serving 인증서 서비스를 사용하는 허브 클러스터 관리 인증서 목록을 볼 수 있습니다. 다음 명령을 실행하여 인증서를 나열합니다.

for ns in multicluster-engine open-cluster-management ; do echo "$ns:" ; oc get secret -n $ns -o custom-columns=Name:.metadata.name,Expiration:.metadata.annotations.service\\.beta\\.openshift\\.io/expiry | grep -v '<none>' ; echo ""; done

자세한 내용은 추가 리소스 의 OpenShift Service Serving 인증서 섹션을 참조하십시오.

참고: 관찰 기능이 활성화된 경우 인증서가 생성되는 추가 네임스페이스가 있습니다.

1.2.5.6. 추가 리소스

OpenShift Service Serving 인증서
인증서 관리 개요
이 페이지의 시작 부분으로 돌아가서 인증서 관리.