7장. 전송 암호화 제공
OpenShift Serverless Serving 전송 암호화를 활성화하여 TLS를 사용하여 보안 및 암호화된 HTTPS 연결을 통해 데이터를 전송할 수 있습니다.
OpenShift Serverless Serving 전송 암호화는 기술 프리뷰 기능 전용입니다. 기술 프리뷰 기능은 Red Hat 프로덕션 서비스 수준 계약(SLA)에서 지원되지 않으며 기능적으로 완전하지 않을 수 있습니다. 따라서 프로덕션 환경에서 사용하는 것은 권장하지 않습니다. 이러한 기능을 사용하면 향후 제품 기능을 조기에 이용할 수 있어 개발 과정에서 고객이 기능을 테스트하고 피드백을 제공할 수 있습니다.
Red Hat 기술 프리뷰 기능의 지원 범위에 대한 자세한 내용은 기술 프리뷰 기능 지원 범위를 참조하십시오.
전송 암호화 제공은 Kourier에서 Ingress 계층으로만 사용할 수 있습니다. Red Hat OpenShift Service Mesh의 경우 서비스 메시 mTLS 기능을 사용하여 암호화된 트래픽을 확인합니다.
7.1. Serving 전송 암호화 개요
OpenShift Serverless Serving 전송 암호화에는 다음 세 부분이 있습니다.
- 외부 도메인 암호화
-
클러스터 외부에 있는 수신 계층의 암호화입니다. 예를 들어
myapp-<namespace>.example.com과 같은 클러스터 외부 도메인은 다음과 같습니다. - 클러스터 로컬 암호화
-
클러스터 내부 수신 계층의 암호화입니다. 예를 들어
myapp.<namespace>.svc.cluster.local과 같은 클러스터 로컬도메인입니다. - 시스템 내부 암호화
-
ingress-gateway,activator및queue-proxyKnative 내부 구성 요소 간의 전송 암호화입니다.
Kubernetes PreStopHooks, metadata, metrics를 포함한 컨트롤 플레인 트래픽에는 사용자 데이터가 포함되어 있지 않으며 암호화되지 않습니다.
서로 다른 부분은 서로 독립적이며 개별적으로 활성화 및 비활성화할 수 있습니다. 동일하거나 다른 인증 기관(CA)을 사용하여 필요한 인증서에 서명할 수 있습니다.
다이어그램은 전송 암호화에 대한 자세한 내용은 OpenShift Serverless Serving 전송 암호화를 참조하십시오.
7.1.1. 외부 도메인 암호화
외부 도메인의 전송 암호화는 OpenShift Container Platform 인그레스 또는 Red Hat OpenShift Service Mesh 중 하나인 클러스터의 수신 계층에 의해 처리됩니다.
7.1.2. 클러스터 로컬 암호화
클러스터 로컬 암호화를 사용하면 클러스터 로컬 도메인에 대한 전송 암호화를 사용할 수 있습니다. 다음과 같은 속성이 있습니다.
-
CN(Certificate Common Name) 또는 SAN(Subject Alternative Name)에는 Knative 서비스의 클러스터 로컬 도메인(예:
myapp.namespace.svc.cluster.local,myapp.namespace.svc,myapp.namespace)이 포함되어 있습니다. -
ingress-controller구성 요소의 cluster-local 끝점은 SNI를 사용하여 인증서를 선택합니다. -
인증서를 생성하려면 Knative에서
cert-manager를 사용합니다. 이 에서는 기능이 작동하도록 설치하고 구성해야 합니다. 자세한 내용은 cert-manager Operator for Red Hat OpenShift 에서 참조하십시오.
호출자는 클러스터 로컬 인증서에 서명한 CA를 신뢰해야 합니다. OpenShift Serverless의 범위를 벗어납니다.
7.1.3. 시스템 내부 암호화
system-internal 암호화는 ingress-gateway,activator 및 queue-proxy Knative 내부 구성 요소에 대한 전송 암호화를 활성화합니다. 이러한 구성 요소는 이 구성이 사용될 때 TLS 끝점을 호스팅합니다.
이 기능을 사용하려면 다음 사전 요구 사항을 충족해야 합니다.
-
OpenShift Serverless에서 인증서를 가져오려면
cert-manager를 설치하고 구성해야 합니다. - 특정 SAN은 각 연결을 확인하는 데 사용됩니다. 각 구성 요소는 인증서에 서명한 CA를 신뢰해야 합니다. 이 요구 사항을 충족하기 위해 OpenShift Serverless 시스템 구성 요소는 CA 번들을 사용하고 신뢰합니다. 클러스터 관리자가 CA 번들을 제공해야 합니다.
