3.8. 네트워킹 구성

프로세스

1. OpenShift Dev Spaces용 프로젝트를 사전 생성합니다.

   $ oc create project openshift-devspaces

2. TLS 시크릿을 생성합니다.

   $ oc create secret TLS <tls_secret_name> \ 1
   --key <key_file> \ 2
   --cert <cert_file> \ 3
   -n openshift-devspaces

   1

   TLS 시크릿 이름

   2

   개인 키가 있는 파일

   3

   인증서가 있는 파일

3. 보안에 필요한 레이블을 추가합니다.

   $ oc label secret <tls_secret_name> \ 1
   app.kubernetes.io/part-of=che.eclipse.org -n openshift-devspaces

   1

   TLS 시크릿 이름

4. CheCluster 사용자 정의 리소스를 구성합니다. 3.1.2절. “CLI를 사용하여 CheCluster 사용자 정의 리소스 구성”을 참조하십시오.

   spec:
     networking:
       hostname: <hostname>     1
       tlsSecretName: <secret>  2

   1

   사용자 지정 Red Hat OpenShift Dev Spaces 서버 호스트 이름

   2

   TLS 시크릿 이름

5. OpenShift Dev Spaces가 이미 배포된 경우 모든 OpenShift Dev Spaces 구성 요소의 롤아웃이 완료될 때까지 기다립니다.

프로세스

1. 모든 CA 체인 PEM 파일을 custom-ca-certificates.pem 파일에 연결하고 Java 신뢰 저장소와 호환되지 않는 반환 문자를 제거합니다.

   $ cat ca-cert-for-devspaces-*.pem | tr -d '\r' > custom-ca-certificates.pem

2. 필요한 TLS 인증서를 사용하여 custom-ca-certificates 구성 맵을 생성합니다.

   $ oc create configmap custom-ca-certificates \
       --from-file=custom-ca-certificates.pem \
       --namespace=openshift-devspaces

3. custom-ca-certificates 구성 맵에 레이블을 지정합니다.

   $ oc label configmap custom-ca-certificates \
       app.kubernetes.io/component=ca-bundle \
       app.kubernetes.io/part-of=che.eclipse.org \
       --namespace=openshift-devspaces

4. 이전에 배포되지 않은 경우 OpenShift Dev Spaces를 배포합니다. 그렇지 않으면 OpenShift Dev Spaces 구성 요소 롤아웃이 완료될 때까지 기다립니다.
5. 변경 사항을 적용하려면 실행 중인 작업 공간을 다시 시작합니다.

검증 단계

1. 구성 맵에 사용자 정의 CA 인증서가 포함되어 있는지 확인합니다. 이 명령은 사용자 정의 CA 인증서를 PEM 형식으로 반환합니다.

   $ oc get configmap \
       --namespace=openshift-devspaces \
       --output='jsonpath={.items[0:].data.custom-ca-certificates\.pem}' \
       --selector=app.kubernetes.io/component=ca-bundle,app.kubernetes.io/part-of=che.eclipse.org

2. OpenShift Dev Spaces Pod에 ca-certs-merged 구성 맵을 마운트하는 볼륨이 포함되어 있는지 확인합니다.

   $ oc get pod \
       --selector=app.kubernetes.io/component=devspaces \
       --output='jsonpath={.items[0].spec.volumes[0:].configMap.name}' \
       --namespace=openshift-devspaces \
       | grep ca-certs-merged

3. OpenShift Dev Spaces 서버 컨테이너에 사용자 정의 CA 인증서가 있는지 확인합니다. 이 명령은 사용자 정의 CA 인증서를 PEM 형식으로 반환합니다.

   $ oc exec -t deploy/devspaces \
       --namespace=openshift-devspaces \
       -- cat /public-certs/custom-ca-certificates.pem

4. OpenShift Dev Spaces 서버 로그에서 가져온 인증서 수가 null이 아닌지 확인합니다.

   $ oc logs deploy/devspaces --namespace=openshift-devspaces \
       | grep custom-ca-certificates.pem

5. 인증서의 SHA256 지문을 나열합니다.

   $ for certificate in ca-cert*.pem ;
     do openssl x509 -in $certificate -digest -sha256 -fingerprint -noout | cut -d= -f2;
     done

6. OpenShift Dev Spaces 서버 Java truststore에 동일한 지문이 있는 인증서가 포함되어 있는지 확인합니다.

   $ oc exec -t deploy/devspaces --namespace=openshift-devspaces -- \
       keytool -list -keystore /home/user/cacerts \
       | grep --after-context=1 custom-ca-certificates.pem

7. 작업 공간을 시작하고, 생성된 프로젝트 이름(< workspace_namespace >)을 가져오고, 작업 공간이 시작될 때까지 기다립니다.

8. che-trusted-ca-certs 구성 맵에 사용자 정의 CA 인증서가 포함되어 있는지 확인합니다. 이 명령은 사용자 정의 CA 인증서를 PEM 형식으로 반환합니다.

   $ oc get configmap che-trusted-ca-certs \
       --namespace=<workspace_namespace> \
       --output='jsonpath={.data.custom-ca-certificates\.custom-ca-certificates\.pem}'

9. 작업 공간 Pod가 che-trusted-ca-certs 구성 맵을 마운트하는지 확인합니다.

   $ oc get pod \
       --namespace=<workspace_namespace> \
       --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
       --output='jsonpath={.items[0:].spec.volumes[0:].configMap.name}' \
       | grep che-trusted-ca-certs

10. Universal-developer-image 컨테이너(또는 Workspace devfile에 정의된 컨테이너)가 che-trusted-ca-certs 볼륨을 마운트하는지 확인합니다.

    $ oc get pod \
        --namespace=<workspace_namespace> \
        --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
        --output='jsonpath={.items[0:].spec.containers[0:]}' \
        | jq 'select (.volumeMounts[].name == "che-trusted-ca-certs") | .name'

11. 작업 공간 Pod 이름 < workspace_pod_name >을 가져옵니다.

    $ oc get pod \
        --namespace=<workspace_namespace> \
        --selector='controller.devfile.io/devworkspace_name=<workspace_name>' \
        --output='jsonpath={.items[0:].metadata.name}' \

12. 작업 공간 컨테이너에 사용자 정의 CA 인증서가 있는지 확인합니다. 이 명령은 사용자 정의 CA 인증서를 PEM 형식으로 반환합니다.

    $ oc exec <workspace_pod_name> \
        --namespace=<workspace_namespace> \
        -- cat /public-certs/custom-ca-certificates.custom-ca-certificates.pem