Red Hat Summit Red Hat Summit지원콘솔개발자평가판 시작연락처

1.2. 인증서

Red Hat Advanced Cluster Management에서 실행되는 서비스에 필요한 모든 인증서는 Red Hat Advanced Cluster Management를 설치하는 동안 생성됩니다. 인증서는 OpenShift 플랫폼의 다음 구성 요소에 의해 생성 및 관리됩니다.

  • OpenShift Service Serving 인증서
  • Red Hat Advanced Cluster Management webhook 컨트롤러
  • Kubernetes Certificates API
  • OpenShift 기본 수신

필수 액세스: 클러스터 관리자

인증서 관리에 대해 자세히 알아보려면 계속 읽으십시오.

참고: 사용자는 인증서 교체 및 업데이트를 담당합니다.

1.2.1. Red Hat Advanced Cluster Management hub 클러스터 인증서
링크 복사

OpenShift 기본 수신 인증서는 허브 클러스터 인증서로 간주됩니다. Red Hat Advanced Cluster Management를 설치한 후 관찰 가능 구성 요소에서 관찰 가능 인증서를 생성하고 사용하여 허브 클러스터와 관리 클러스터 간의 트래픽에 상호 TLS를 제공합니다. 관찰 가능 인증서와 관련된 Kubernetes 시크릿입니다.

  • open-cluster-management-observability 네임스페이스에는 다음 인증서가 포함되어 있습니다.

    • observability-server-ca-certs: 서버 측 인증서에 서명하기 위한 CA 인증서
    • observability-client-ca-certs: 클라이언트 측 인증서에 서명하기 위한 CA 인증서
    • observability-server-certs: observability-observatorium-api 배포에서 사용하는 서버 인증서
    • observability-grafana-certs: observability-rbac-query-proxy 배포에서 사용하는 클라이언트 인증서

  • open-cluster-management-addon-observability 네임스페이스에는 관리 클러스터에서 다음 인증서가 포함됩니다.

    • observability-managed-cluster-certs: hub 서버에 observability-server-ca-certs 와 동일한 서버 CA 인증서
    • observability-controller-open-cluster-management.io-observability-signer-client-cert: metrics-collector-deployment에서 사용하는 클라이언트 인증서

CA 인증서는 5년 동안 유효하며 다른 인증서는 1년 동안 유효합니다. 모든 관찰 인증서는 만료 시 자동으로 새로 고쳐집니다. 다음 목록을 보고 인증서가 자동으로 갱신될 때의 영향을 파악합니다.

  • 나머지 유효 시간이 73 일을 넘지 않으면 비 CA 인증서가 자동으로 갱신됩니다. 인증서가 갱신되면 관련 배포의 Pod가 자동 다시 시작하여 업데이트된 인증서를 사용합니다.
  • 유효한 남은 시간이 1년을 넘지 않으면 CA 인증서가 자동으로 갱신됩니다. 인증서가 갱신되면 이전 CA는 삭제되지 않지만 업데이트된 CA와 공존합니다. 이전 인증서와 갱신된 인증서는 모두 관련 배포에서 사용되며 계속 작동합니다. 이전 CA 인증서는 만료될 때 삭제됩니다.
  • 인증서가 갱신되면 hub 클러스터와 관리 클러스터 간의 트래픽이 중단되지 않습니다.

다음 Red Hat Advanced Cluster Management Hub 클러스터 인증서 표를 확인하십시오.

Expand
표 1.1. Red Hat Advanced Cluster Management hub 클러스터 인증서
네임스페이스시크릿 이름Pod 레이블 

open-cluster-management

channels-apps-open-cluster-management-webhook-svc-ca

app=multicluster-operators-channel

open-cluster-management

channels-apps-open-cluster-management-webhook-svc-signed-ca

app=multicluster-operators-channel

open-cluster-management

multicluster-operators-application-svc-ca

app=multicluster-operators-application

open-cluster-management

multicluster-operators-application-svc-signed-ca

app=multicluster-operators-application

open-cluster-management-hub

registration-webhook-serving-cert signer-secret

필요하지 않음

open-cluster-management-hub

1.2.2. Red Hat Advanced Cluster Management 관리 인증서
링크 복사

Red Hat Advanced Cluster Management 관리 인증서 및 관련 시크릿이 포함된 구성 요소 Pod의 요약된 목록은 다음 표를 참조하십시오.

Expand
표 1.2. Red Hat Advanced Cluster Management 관리 인증서가 포함된 Pod
네임스페이스시크릿 이름(해당되는 경우)

open-cluster-management-agent-addon

cluster-proxy-open-cluster-management.io-proxy-agent-signer-client-cert

open-cluster-management-agent-addon

cluster-proxy-service-proxy-server-certificates

1.2.2.1. 관리형 클러스터 인증서
링크 복사

인증서는 허브 클러스터로 관리되는 클러스터를 인증하는 데 사용됩니다. 따라서 이러한 인증서와 관련된 문제 해결 시나리오를 알고 있어야 합니다. 자세한 내용은 추가 리소스 섹션의 인증서 변경 주제 이후에 가져온 클러스터 문제 해결에 대한 링크를 선택합니다.

관리형 클러스터 인증서가 자동으로 새로 고쳐집니다.

1.2.3. 추가 리소스
링크 복사

1.2.4. 자체 관찰 가능성 인증 기관(CA) 인증서 가져오기
링크 복사

Kubernetes용 Red Hat Advanced Cluster Management를 설치하면 기본적으로 관찰을 위한 CA(인증 기관) 인증서만 제공됩니다. Red Hat Advanced Cluster Management에서 생성한 기본 관찰 기능 CA 인증서를 사용하지 않으려면 관찰 기능을 활성화하기 전에 자체 관찰 가능한 CA 인증서를 가져오도록 선택할 수 있습니다.

1.2.4.1. OpenSSL 명령을 사용하여 CA 인증서 생성
링크 복사

관찰 기능에는 두 개의 CA 인증서가 필요합니다. 하나는 서버 측이고 다른 하나는 클라이언트 측에 사용됩니다.

  • 다음 명령을 사용하여 CA RSA 개인 키를 생성합니다. 

    openssl genrsa -out serverCAKey.pem 2048
openssl genrsa -out clientCAKey.pem 2048
    Copy to Clipboard Toggle word wrap

  • 개인 키를 사용하여 자체 서명된 CA 인증서를 생성합니다. 다음 명령을 실행합니다. 

    openssl req -x509 -sha256 -new -nodes -key serverCAKey.pem -days 1825 -out serverCACert.pem
openssl req -x509 -sha256 -new -nodes -key clientCAKey.pem -days 1825 -out clientCACert.pem
    Copy to Clipboard Toggle word wrap

1.2.4.2. BYO 관찰 기능 CA 인증서와 연결된 보안 생성
링크 복사

보안을 생성하려면 다음 단계를 완료합니다.

  1. 인증서 및 개인 키를 사용하여 observability-server-ca-certs 시크릿을 생성합니다. 다음 명령을 실행합니다. 

    oc -n open-cluster-management-observability create secret tls observability-server-ca-certs --cert ./serverCACert.pem --key ./serverCAKey.pem
    Copy to Clipboard Toggle word wrap

  2. 인증서 및 개인 키를 사용하여 observability-client-ca-certs 시크릿을 생성합니다. 다음 명령을 실행합니다. 

    oc -n open-cluster-management-observability create secret tls observability-client-ca-certs --cert ./clientCACert.pem --key ./clientCAKey.pem
    Copy to Clipboard Toggle word wrap

1.2.4.3. 추가 리소스
링크 복사

1.2.5. 인증서 관리
링크 복사

인증서를 새로 고침, 교체, 회전 및 나열하는 방법에 대한 정보를 계속 읽습니다.

1.2.5.1. Red Hat Advanced Cluster Management Webhook 인증서 새로 고침
링크 복사

Red Hat Advanced Cluster Management 서비스에서 생성 및 관리하는 인증서인 Red Hat Advanced Cluster Management 관리 인증서를 새로 고칠 수 있습니다.

Red Hat Advanced Cluster Management에서 관리하는 인증서를 새로 고치려면 다음 단계를 완료합니다.

  1. 다음 명령을 실행하여 Red Hat Advanced Cluster Management 관리 인증서와 연결된 보안을 삭제합니다. 

    oc delete secret -n <namespace> <secret>
    1
    Copy to Clipboard Toggle word wrap
    1
    & lt;namespace& gt ; 및 <secret >을 사용하려는 값으로 바꿉니다.

  2. 다음 명령을 실행하여 Red Hat Advanced Cluster Management 관리 인증서와 연결된 서비스를 다시 시작합니다. 

    oc delete pod -n <namespace> -l <pod-label>
    1
    Copy to Clipboard Toggle word wrap
    1
    & lt;namespace > 및 < pod-label >을 Red Hat Advanced Cluster Management 관리 클러스터 인증서 테이블의 값으로 바꿉니다.

    참고: pod-label 을 지정하지 않으면 재시작해야 하는 서비스가 없습니다. 보안이 다시 생성되고 자동으로 사용됩니다.

1.2.5.2. alertmanager 경로에 대한 인증서 교체
링크 복사

OpenShift 기본 수신 인증서를 사용하지 않으려면 alertmanager 경로를 업데이트하여 alertmanager 인증서를 교체할 수 있습니다. 다음 단계를 완료합니다.

  1. 다음 명령을 사용하여 관찰 가능 인증서를 검사합니다. 

    openssl x509  -noout -text -in ./observability.crt
    Copy to Clipboard Toggle word wrap
  2. 인증서의CN(Common Name)을 alertmanager 로 변경합니다.
  3. alertmanager 경로의 호스트 이름으로 csr.cnf 구성 파일의 SAN을 변경합니다.

  4. open-cluster-management-observability 네임스페이스에 다음 두 개의 시크릿을 생성합니다. 다음 명령을 실행합니다. 

    oc -n open-cluster-management-observability create secret tls alertmanager-byo-ca --cert ./ca.crt --key ./ca.key

oc -n open-cluster-management-observability create secret tls alertmanager-byo-cert --cert ./ingress.crt --key ./ingress.key
    Copy to Clipboard Toggle word wrap

1.2.5.3. 게이트키퍼 웹 후크 인증서 교체
링크 복사

게이트키퍼 웹 후크 인증서를 교체하려면 다음 단계를 완료합니다.

  1. 다음 명령을 사용하여 인증서가 포함된 보안을 편집합니다. 

    oc edit secret -n openshift-gatekeeper-system gatekeeper-webhook-server-cert
    Copy to Clipboard Toggle word wrap
  2. data 섹션에서 다음 콘텐츠를 삭제합니다. ca.crt,ca.key,tls.crt, tls.key.key .

  3. 다음 명령을 사용하여 gatekeeper-controller-manager Pod를 삭제하여 게이트키퍼 웹 후크 서비스를 다시 시작합니다. 

    oc delete pod -n openshift-gatekeeper-system -l control-plane=controller-manager
    Copy to Clipboard Toggle word wrap

게이트키퍼 웹 후크 인증서가 교체되었습니다.

1.2.5.4. 인증서 교체 확인
링크 복사

다음 단계를 사용하여 인증서가 순환되었는지 확인합니다.

  1. 확인할 시크릿을 식별합니다.
  2. tls.crt 키를 확인하여 인증서를 사용할 수 있는지 확인합니다.

  3. 다음 명령을 사용하여 인증서 정보를 표시합니다. 

    oc get secret <your-secret-name> -n open-cluster-management -o jsonpath='{.data.tls\.crt}' | base64 -d | openssl x509 -text -noout
    Copy to Clipboard Toggle word wrap

    & lt;your-secret-name >을 확인 중인 보안 이름으로 바꿉니다. 필요한 경우 네임스페이스 및 JSON 경로도 업데이트합니다.

  4. 출력에서 유효한 세부 정보를 확인합니다. 다음 유효성 검사 예제를 확인합니다. 

    Validity
            Not Before: Jul 13 15:17:50 2023 GMT
    1 
    
            Not After : Jul 12 15:17:50 2024 GMT
    2
    Copy to Clipboard Toggle word wrap
    1
    Not Before 값은 인증서를 교체한 날짜와 시간입니다.
    2
    Not After 값은 인증서 만료 날짜 및 시간입니다.

1.2.5.5. 허브 클러스터 관리 인증서 나열
링크 복사

내부적으로 OpenShift Service Serving 인증서 서비스를 사용하는 허브 클러스터 관리 인증서 목록을 볼 수 있습니다. 다음 명령을 실행하여 인증서를 나열합니다. 

for ns in multicluster-engine open-cluster-management ; do echo "$ns:" ; oc get secret -n $ns -o custom-columns=Name:.metadata.name,Expiration:.metadata.annotations.service\\.beta\\.openshift\\.io/expiry | grep -v '<none>' ; echo ""; done
Copy to Clipboard Toggle word wrap

자세한 내용은 추가 리소스 의 OpenShift Service Serving 인증서 섹션을 참조하십시오.

참고: 관찰 기능이 활성화된 경우 인증서가 생성되는 추가 네임스페이스가 있습니다.

1.2.5.6. 추가 리소스
링크 복사

Red Hat logoGithubredditYoutubeTwitter

자세한 정보

평가판, 구매 및 판매

커뮤니티

Red Hat 문서 정보

Red Hat을 사용하는 고객은 신뢰할 수 있는 콘텐츠가 포함된 제품과 서비스를 통해 혁신하고 목표를 달성할 수 있습니다. 최신 업데이트를 확인하세요.

보다 포괄적 수용을 위한 오픈 소스 용어 교체

Red Hat은 코드, 문서, 웹 속성에서 문제가 있는 언어를 교체하기 위해 최선을 다하고 있습니다. 자세한 내용은 다음을 참조하세요.Red Hat 블로그.

Red Hat 소개

Red Hat은 기업이 핵심 데이터 센터에서 네트워크 에지에 이르기까지 플랫폼과 환경 전반에서 더 쉽게 작업할 수 있도록 강화된 솔루션을 제공합니다.

Theme

© 2026 Red Hat맨 위로 이동