4.12. 클라이언트 연결을 위한 Operator 기반 브로커 배포 구성

프로세스

1. 브로커 배포에 사용할 ActiveMQArtemis CR(사용자 정의 리소스)을 편집합니다.

2. resourceTemplates 속성을 사용하여 수락자에 대해 생성된 서비스에 주석을 답니다. 예를 들면 다음과 같습니다.

   spec:
     ...
     resourceTemplates:
       - selector:
           kind: Service
           name: amq-broker-myacceptor-0-svc
         annotations:
           service.beta.openshift.io/serving-cert-secret-name: myacceptor-ptls
     ...

   Copy to Clipboard Toggle word wrap

   resourceTemplates.selector.kind

   사용자 지정이 적용되는 리소스 유형을 Service 로 지정합니다.

   resourceTemplates.selector.name

   주석을 적용할 서비스의 이름을 지정합니다. 수락 서비스의 이름 형식은 < CR name><acceptor name><ordinal>-svc, 여기서:

   • <CR name> name은 CR의 metadata.name 속성 값입니다.
   • <acceptor name>은 어셉터의 이름입니다. 이 예제에서는 어셉터 이름이 myacceptor 라고 가정합니다.
   • <ordinal>은 StatefulSet에서 브로커 Pod에 할당된 서수입니다.

   resourceTemplates.annotations

   service.beta.openshift.io/serving-cert-secret-name: < secret >의 주석을 지정합니다. 여기서 <secret>은 Openshift가 서비스에 생성하는 시크릿의 이름입니다.

   참고

   시크릿 이름은 acceptor 이름과 일치해야 하며 -ptls 접미사가 있어야 합니다. Operator에서 시크릿을 생성하기 전에 CR을 배포할 수 있도록 하려면 특정 접미사가 필요합니다.

3. CR의 sslSecret' 속성에서 브로커 인증서가 포함된 보안을 지정합니다. 예를 들면 다음과 같습니다.

   spec:
     acceptors:
       - name: myacceptor
         protocols: CORE
         port: 61626
         sslEnabled: true
         sslSecret: myacceptor-ptls

   Copy to Clipboard Toggle word wrap

4. brokerProperties 속성에서 인증서가 Openshift에서 갱신될 때마다 새 인증서를 자동으로 로드하도록 브로커를 구성합니다. 예를 들면 다음과 같습니다.

   spec:
     ...
     brokerProperties
     - "acceptorConfigurations.myacceptor.params.sslAutoReload=true"
      ...

   Copy to Clipboard Toggle word wrap
5. 서비스 제공 인증서의 공개 키를 각 클라이언트의 신뢰 저장소에 추가합니다.

6. 브로커와 클라이언트 간에 mTLS 인증을 구성하려면 다음 단계를 완료합니다.

   1. 브로커가 신뢰할 각 클라이언트의 인증서가 포함된 신뢰 번들을 생성하고 시크릿(예:trusted-clients-bundle )에 신뢰 번들을 추가합니다.

   2. 브로커 CR에 구성된 승인자에서 needClientAuth 속성을 추가하고 클라이언트 인증을 요구하도록 true 로 설정합니다. 예를 들면 다음과 같습니다.

      spec:
        ..
        acceptors:
          - name: myacceptor
            protocols: all
            port: 62666
            sslEnabled: true
            sslSecret: myacceptor-ptls
            needClientAuth: true
        ..

      Copy to Clipboard Toggle word wrap

   3. 각 수락자의 trustSecret 속성에서 클라이언트 인증서의 신뢰 번들이 포함된 보안을 지정합니다. 예를 들면 다음과 같습니다.

      spec:
        ..
        acceptors:
          - name: new-acceptor
            protocols: all
            port: 62666
            sslEnabled: true
            sslSecret: myacceptor-ptls
            needClientAuth: true
            trustSecret: trusted-clients-bundle
        ..

      Copy to Clipboard Toggle word wrap
7. CR을 저장합니다.

프로세스

1. 자체 서명된 발행자를 정의하는 YAML 파일(예: self-signed-issuer.yaml )을 생성합니다. 발행자는 인증서 서명 요청을 준수하여 서명된 인증서를 생성할 수 있는 CA(인증 기관)를 나타내는 Openshift 리소스입니다.

   다음 예제 yaml은 자체 서명된 발급자를 생성하여 이를 사용하여 인증 기관(CA) 인증서를 생성할 수 있습니다. CA 인증서는 cert-manager Operator에서 관리할 수 있습니다.

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-issuer
   spec:
     selfSigned: {}

   Copy to Clipboard Toggle word wrap

2. 루트 CA 인증서를 정의하는 YAML 파일(예: root-ca.yaml )을 생성합니다.

   issuerRef.name 필드에서 사용자가 생성한 자체 서명된 발급자인 root-issuer 의 이름을 지정합니다. 예를 들면 다음과 같습니다.

   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: root-ca
     namespace: cert-manager
   spec:
     isCA: true
     commonName: "amq.io.root"
     secretName: root-ca-secret
     subject:
       organizations:
       - "www.amq.io"
     issuerRef:
       name: root-issuer
       kind: ClusterIssuer

   Copy to Clipboard Toggle word wrap

   인증서는 root-ca-secret 이라는 시크릿의 Privacy Enhanced mail (PEM) 형식으로 생성됩니다.

3. 루트 CA에서 서명한 인증서 발행을 위한 CA 발행자를 정의하는 YAML 파일(예: root-ca-issuer.yaml )을 생성합니다. 예를 들면 다음과 같습니다.

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: root-ca-issuer
   spec:
     ca:
       secretName: root-ca-secret

   Copy to Clipboard Toggle word wrap

4. 브로커 인증서를 정의하는 YAML 파일(예: broker-cert.yaml )을 생성합니다.

   issuerRef.Name 필드에서 루트 CA에서 서명한 인증서를 발행하기 위해 생성한 발급자인 root-ca-issuer 의 이름을 지정합니다. 예를 들면 다음과 같습니다.

   apiVersion: cert-manager.io/v1
   kind: Certificate
   Metadata:
    name: broker-cert
   spec:
    isCA: false
    commonName: “amq.io”
    dnsNames:
      - “amq-broker-ss-0.amq-broker-svc-rte-default.cluster.local
      - “amq-broker-ss-1.amq-broker-svc-rte-default.cluster.local
    secretName: broker-cert-secret
    subject:
      organizations:
      - “www.amq.io”
    issuerRef:
      name: root-ca-issuer
      kind: ClusterIssuer

   Copy to Clipboard Toggle word wrap

5. YAML 파일에서 발행자 및 인증서에 대해 정의한 사용자 정의 리소스를 배포하여 해당 OpenShift 오브젝트를 생성합니다. 예를 들면 다음과 같습니다.

   $ oc create -f  self-signed-issuer.yaml
   $ oc create -f  root-ca.yaml
   $ oc create -f  root-ca-issuer.yaml
   $ oc create -f  broker-cert.yaml

   Copy to Clipboard Toggle word wrap
6. 브로커 배포를 위해 ActiveMQArtemis CR을 편집합니다.

7. 보안하려는 각 수락자의 sslSecret 속성에 브로커 인증서가 포함된 보안을 지정합니다. 예를 들면 다음과 같습니다.

   spec:
     ..
     acceptors:
       - name: new-acceptor
         protocols: all
         port: 62666
         sslEnabled: true
         needClientAuth: false
         sslSecret: broker-cert-secret
     ..

   Copy to Clipboard Toggle word wrap

8. brokerProperties 속성에서 cert-manager Operator가 Openshift용 cert-manager Operator에 의해 갱신될 때마다 수락자에 대한 새 브로커 인증서를 자동으로 로드하도록 브로커를 구성합니다. 예를 들면 다음과 같습니다.

   spec:
     ...
     brokerProperties
     - "acceptorConfigurations.new-acceptor.params.sslAutoReload=true"
      ...

   Copy to Clipboard Toggle word wrap
9. 클라이언트가 브로커를 신뢰할 수 있도록 이 예제 프로세스의 root-ca-secret 시크릿에 생성된 브로커 인증서에 서명한 루트 CA 인증서를 각 클라이언트의 신뢰 저장소에 추가합니다.

10. 브로커와 클라이언트 간에 mTLS 인증을 구성하려면 다음 단계를 완료합니다.

    1. Kubernetes용 Trust Manager를 사용하여 브로커가 신뢰하려는 각 클라이언트의 인증서가 포함된 신뢰 번들을 생성하고 시크릿(예:trusted-clients-bundle )에 신뢰 번들을 추가합니다. 신뢰 번들을 생성하는 방법에 대한 자세한 내용은 trust-manager 설명서 를 참조하십시오.

    2. 브로커 CR에 구성된 승인자에서 needClientAuth 속성을 추가하고 클라이언트 인증을 요구하도록 true 로 설정합니다. 예를 들면 다음과 같습니다.

       spec:
         ..
         acceptors:
           - name: new-acceptor
             protocols: all
             port: 62666
             sslEnabled: true
             sslSecret: broker-cert-secret
             needClientAuth: true
         ..

       Copy to Clipboard Toggle word wrap

    3. 각 수락자의 trustSecret 속성에서 클라이언트 인증서의 신뢰 번들이 포함된 보안을 지정합니다. 예를 들면 다음과 같습니다.

       spec:
         ..
         acceptors:
           - name: new-acceptor
             protocols: all
             port: 62666
             sslEnabled: true
             sslSecret: broker-cert-secret
             needClientAuth: true
             trustSecret: trusted-clients-bundle
         ..

       Copy to Clipboard Toggle word wrap
11. CR을 저장합니다.