4.5. OpenID Connect(OIDC) 프로토콜을 사용한 Ceph 대시보드 SSO

프로세스

1. mgmt-gateway 서비스를 배포합니다.

   구문

   ceph orch apply mgmt-gateway [--placement=DESTINATION_HOST] [--enable-auth=true]

   참고

   oauth2-proxy 를 사용하여 SSO를 활성화하려면 --enable-auth=true 매개변수가 필요합니다.

   예

   [ceph: root@host01 /]# ceph orch apply mgmt-gateway --placement=host01

2. 서비스가 올바르게 배포되었는지 확인합니다.

프로세스

1. mgmt-gateway 서비스에 대한 YAML 파일을 생성합니다.

   예

   [root@host01 ~]# touch mgmt-gateway.yaml

2. 다음 세부 정보를 포함하도록 YAML 파일을 편집합니다.

   중요

   다음 필드는 선택 사항입니다. ssl_protocols,ssl_ciphers, ssl_certificate. 생략하면 mgmt-gateway 서비스는 안전하고 안전한 구성을 사용합니다. 이러한 필드를 변경할 수 있지만 시스템 보안이 손상될 수 있으므로 주의해야 합니다.

   구문

   service_type: mgmt-gateway
   placement:
     hosts:
       - ceph-node-1
   spec:
    port: 9443
    ssl_protocols:   # Optional
      - TLSv1.3
    ssl_ciphers:     # Optional
      - AES128-SHA
      - AES256-SHA
      - RC4-SHA
    ssl_cert: |   # Optional
      -----BEGIN CERTIFICATE-----
      < YOU CERT DATA HERE >
      -----END CERTIFICATE-----
    ssl_key: |
     -----BEGIN RSA PRIVATE KEY-----
      < YOU PRIV KEY DATA HERE >
     -----END RSA PRIVATE KEY-----

   중요

   TLSv1.3 SSL 프로토콜을 사용합니다. TLSv1.3에는 기본적으로 보안 암호화 세트가 포함되어 있습니다. TLSv1.2는 지원되지만 이 프로토콜을 사용할 때 보안 암호의 하위 집합만 사용하는 것이 중요합니다. 약한 암호 또는 오래된 암호를 사용하면 시스템의 보안이 크게 손상될 수 있습니다.

   예

   service_type: mgmt-gateway
   service_id: gateway
   placement:
     hosts:
       - ceph0
   spec:
    port: 5000
    ssl_protocols:
      - TLSv1.3
      - ...
    ssl_ciphers:
      - AES128-SHA
      - AES256-SHA
      - ...
    ssl_cert: |
      -----BEGIN CERTIFICATE-----
      MIIDtTCCAp2gAwIBAgIYMC4xNzc1NDQxNjEzMzc2MjMyXzxvQ7EcMA0GCSqGSIb3
      DQEBCwUAMG0xCzAJBgNVBAYTAlVTMQ0wCwYDVQQIDARVdGFoMRcwFQYDVQQHDA5T
      [...]
      -----END CERTIFICATE-----
   ssl_key: |
      -----BEGIN PRIVATE KEY-----
      MIIEvQIBADANBgkqhkiG9w0BAQEFAASCBKcwggSjAgEAAoIBAQC5jdYbjtNTAKW4
      /CwQr/7wOiLGzVxChn3mmCIF3DwbL/qvTFTX2d8bDf6LjGwLYloXHscRfxszX/4h
      [...]
      -----END PRIVATE KEY-----

   다음 표에는 사양 파일의 mgmt-gateway 서비스 섹션(ceph.deployment.service_spec.MgmtGatewaySpec)과 관련된 필드가 나열되어 있습니다.

   Expand

   표 4.1. spec 파일의 Mgmt -gateway 특정 필드

   필드	설명
   disable_https	HTTPS를 비활성화하는 플래그입니다. True인 경우 서버는 비보안 HTTP를 사용합니다.
   enable_auth	SSO 인증을 활성화하는 플래그입니다. SSO 인증에 대해 oauth2-proxy가 활성화되어 있어야 합니다.
   네트워크	데몬이 해당 목록의 특정 네트워크에만 바인딩하도록 지시하는 네트워크 ID 목록입니다. 클러스터가 여러 네트워크에 분산된 경우 여러 네트워크를 추가할 수 있습니다.
   배치	오케스트레이터가 서비스를 배포하려면 데몬을 배포할 위치와 배포 횟수를 알아야 합니다. 이는 배치 사양의 역할입니다. 배치 사양은 명령줄 인수 또는 YAML 파일로 전달할 수 있습니다. 자세한 내용은 Ceph Orchestrator를 사용한 서비스 관리를 참조하십시오.
   port	서버가 수신 대기할 포트 번호입니다.
   server_tokens	응답의 플래그 제어 서버 토큰: on,off,build,string.
   ssl_cert	SSL 인증서를 포함하는 여러 줄 문자열입니다.
   ssl_key	SSL 키가 포함된 여러 줄 문자열입니다.
   ssl_ciphers	지원되는 보안 SSL 암호 목록입니다. 이 목록을 변경하면 시스템 보안이 저하될 수 있습니다.
   ssl_prefer_server_ciphers	클라이언트 암호보다 서버 암호를 선호: on,off.
   ssl_protocols	지원되는 SSL 프로토콜 목록입니다( nginx에서 지원됨).
   ssl_session_cache	SSL/TLS 세션이 캐시되는 기간: off,none,[builtin[:size]], [shared:name:size].
   ssl_session_tickets	세션 티켓을 제어하는 다중 옵션 플래그: on,off.
   ssl_session_timeout	SSL 세션 시간 초과 기간입니다. 구문: 시간(예: 5m).
   ssl_stapling	SSL stapling을 활성화하거나 비활성화하는 플래그: on,off.
   ssl_stapling_verify	SSL stapling의 확인을 제어하기 위한 플래그: on,off.

   Show more

3. 사양 파일을 적용합니다.

   구문

   [root@host01 ~]# ceph orch apply -i mgmt-gateway.yaml