멀티 테넌시

네임스페이스 중 하나에서 Argo CD CR(사용자 정의 리소스)을 생성한 후 GitOps Operator는 이 네임스페이스에서 Argo CD를 시작하여 애플리케이션 전달에 사용할 수 있습니다. 초기 상태에서 이 인스턴스에는 설치된 동일한 네임스페이스에만 리소스를 배포할 수 있는 권한이 있습니다. 그러나 특정 요구 사항을 충족하도록 인스턴스를 구성해야 할 수도 있습니다.

GitOps Operator를 사용하면 Argo CD 인스턴스의 권한을 확장하여 Argo CD 애플리케이션 컨트롤러에서 리소스를 설치된 위치와 별도로 다른 네임스페이스에 배포할 수 있습니다.

Argo CD 애플리케이션 컨트롤러가 리소스를 다른 네임스페이스에 배포하려면 라벨을 지정하려면 Kubernetes 역할 및 역할 바인딩이 필요하며 네임스페이스 범위 인스턴스에서 관리할 네임스페이스를 지정합니다. GitOps Operator는 argocd.argoproj.io/managed-by 레이블을 사용하여 이러한 역할 및 역할 바인딩을 자동으로 생성할 수 있습니다. 이 레이블을 사용하고 값을 설정하여 관리되는 네임스페이스를 나타냅니다. 그런 다음 argocd.argoproj.io/managed-by 레이블을 사용하면 네임스페이스 범위 인스턴스 모드에서 GitOps Operator를 배포할 때 인스턴스에서 관리하는 모든 네임스페이스에 역할 및 역할 바인딩 세트가 생성됩니다.

기본적으로 managed-by 레이블을 사용하여 네임스페이스에 레이블을 지정할 때 GitOps Operator는 레이블이 지정된 네임스페이스의 Kubernetes 기본 admin 클러스터 역할과 동일한 Argo CD Application Controller 권한을 부여합니다. 그러나 Operator의 Subscription 리소스에서 각각 CONTROLLER_CLUSTER_ROLE 및 CONTROLLER_SERVER_ROLE 환경 변수를 사용하여 컨트롤러 및 서버 구성 요소에 사용되는 대체 클러스터 역할을 정의할 수 있습니다. 이러한 변수를 제공할 때 Operator는 네임스페이스에 기본 역할을 생성하지 않고 해당 클러스터 역할의 네임스페이스에 역할 바인딩만 생성합니다. 관리자는 권한을 완전히 제어할 수 있는 클러스터 역할을 생성할 수 있습니다.

클러스터 범위 인스턴스는 클러스터 전체에 리소스를 배포하고 관리하기 위한 것입니다.

클러스터 범위 인스턴스는 클러스터 수준 리소스에 액세스할 수 있으므로 일반적으로 클러스터 구성에 사용되는 것은 아닙니다. 특정 네임스페이스 범위의 Argo CD 인스턴스를 클러스터 범위가 되도록 선택할 수 있습니다. 인스턴스를 준비하려면 GitOps Operator의 Subscription 리소스를 수정해야 합니다.

Argo CD 내에서 멀티 테넌시 구성을 설정할 때 많은 주의를 기울여야 합니다. 예를 들어 클러스터 관리자가 여러 애플리케이션 제공 팀 간에 공유되고 클러스터 관리자가 관리하는 Argo CD 인스턴스를 설정하려는 사용 사례에서 사용자 지정 클러스터 범위 인스턴스가 필요할 수 있습니다.

비 클러스터 관리자는 서브스크립션 리소스에 액세스할 수 없으므로 인스턴스의 권한을 승격하고 클러스터 보안을 우회할 수 없습니다.

인스턴스가 클러스터 범위로 지정되면 Operator는 해당 네임스페이스에서 Argo CD Application Controller 및 서버 서비스 계정에 대한 클러스터 역할 및 클러스터 역할 바인딩 세트를 자동으로 생성합니다. 이 기본 역할은 표준 cluster-admin 역할과 동등하지 않습니다. 훨씬 더 작은 권한 세트가 제공됩니다. 이러한 권한은 필요에 따라 추가 클러스터 역할 또는 클러스터 역할 바인딩을 생성하여 확장할 수 있습니다.

GitOps Operator를 설치한 후 기본적으로 openshift-gitops 네임스페이스에서 클러스터 범위 인스턴스를 인스턴스화합니다. 이 인스턴스는 매우 신중하게 설정되며 클러스터 관리자가 특정 클러스터 구성 리소스를 관리할 수 있도록 하기 위한 것입니다.

기본 인스턴스에는 전체 cluster-admin 권한이 없습니다. 클러스터의 모든 리소스에 대한 읽기 액세스 권한이 있지만 제한된 리소스 세트만 배포할 수 있습니다.

Red Hat OpenShift GitOps의 액세스 제어는 다음과 같이 두 가지 수준으로 관리합니다.

이 두 액세스 제어와 구성 요소 간의 상호 작용은 고유하고 분리되어 있기 때문에 Argo CD로 다중 테넌트 솔루션을 설계할 때 권한 상승이 우려됩니다. 권한 에스컬레이션은 테넌트에서 애플리케이션 컨트롤러 서비스 계정의 증가된 권한을 활용하여 일반적으로 수행할 수 없는 작업을 수행할 수 있는 경우입니다. Argo CD RBAC 또는 Argo CD의 별도의 인스턴스를 사용하여 Argo CD 인스턴스에서 권한 에스컬레이션을 완화할 수 있습니다.

OpenShift Container Platform 프로젝트와 혼동되지 않도록 Argo CD 프로젝트는 애플리케이션을 그룹화하는 방법을 제공합니다. Argo CD 프로젝트를 사용하면 배포할 수 있는 리소스와 배포할 수 있는 위치와 관련하여 애플리케이션에 대한 제한을 지정할 수 있습니다. 또한 Argo CD CR(사용자 정의 리소스)의 글로벌 수준 대비 프로젝트 수준에서 보다 세밀하게 정의하여 Argo CD 역할 기반 액세스 제어(RBAC) 규칙 및 권한을 활성화할 수 있습니다.

Operator의 Argo CD CR에서 테넌트 RBAC를 전역적으로 정의할 수는 있지만 AppProject CR의 제한과 함께 테넌트 RBAC를 정의해야 합니다.

테넌트 수가 많은 경우 글로벌 RBAC를 사용하여 모든 테넌트를 관리하려고 하면 많은 반복이 발생할 수 있습니다.

테넌트의 여러 인스턴스가 있는 경우 테넌트 프로젝트에서 일부 프로젝트 구성이 일반적일 수 있습니다. 중복을 줄이고 유지 관리를 최소화하려면 공통 구성에 글로벌 프로젝트를 사용하고 테넌트 프로젝트에서 상속합니다.