7.3. OpenShift Serverless 전송 암호화 설정

프로세스

1. 자체 서명된 ClusterIssuer 사용자 정의 리소스(CR)를 생성합니다.

   ClusterIssuer CR의 예

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: knative-serving-selfsigned-issuer
   spec:
     selfSigned: {}

2. 다음 명령을 실행하여 ClusterIssuer CR을 적용합니다.

   $ oc apply -f <filename>

3. ClusterIssuer CR을 참조하는 루트 인증서를 생성합니다.

   루트 인증서 예

   apiVersion: cert-manager.io/v1
   kind: Certificate
   metadata:
     name: knative-serving-selfsigned-ca
     namespace: cert-manager 1
   spec:
     secretName: knative-serving-ca 2
   
     isCA: true
     commonName: selfsigned-ca
     privateKey:
       algorithm: ECDSA
       size: 256
   
     issuerRef:
       name: knative-serving-selfsigned-issuer
       kind: ClusterIssuer
       group: cert-manager.io

   1

   기본적으로 cert-manager Operator for Red Hat OpenShift 네임 스페이스 cert-manager.

   2

   나중에 Knative Serving의 ClusterIssuer CR에 사용되는 시크릿 이름입니다.

4. 다음 명령을 실행하여 인증서 CR을 적용합니다.

   $ oc apply -f <filename>

프로세스

1. Serving용 knative-serving-ca-issuer ClusterIssuer 를 생성합니다.

   apiVersion: cert-manager.io/v1
   kind: ClusterIssuer
   metadata:
     name: knative-serving-ca-issuer
   spec:
     ca:
       secretName: knative-serving-ca 1

   1

   OpenShift Serverless Serving 구성 요소에서 새 인증서에 사용할 수 있는 인증서가 포함된cert-manager Operator for Red Hat OpenShift 네임 스페이스(기본적으로 cert-manager)의 시크릿 이름입니다.

2. 다음 명령을 실행하여 ClusterIssuer 리소스를 적용합니다.

   $ oc apply -f <filename>

1. 사용할 ClusterIssuer 발행자를 지정합니다.

   • clusterLocalIssuerRef: Ingress에 사용되는 cluster-local-domain 인증서에 대한 issuer입니다.
   • systemInternalIssuerRef: Knative 내부 구성 요소에서 사용하는 system-internal-tls 인증서에 대한 인증서의 경우 발행자입니다.

2. 사용할 전송 암호화 기능 지정:

   • cluster-local-domain-tls: cluster-local 도메인에 대한 전송 암호화 기능 사용
   • system-internal-tls: OpenShift Serverless Serving 내부 구성 요소에 대한 전송 암호화 기능을 활성화합니다.

프로세스

1. KnativeServing 리소스에서 전송 암호화를 활성화합니다.

   apiVersion: operator.knative.dev/v1beta1
   kind: KnativeServing
   metadata:
     name: knative-serving
     namespace: knative-serving
   spec:
     ...
     config:
       certmanager:
         clusterLocalIssuerRef: |
           kind: ClusterIssuer
           name: knative-serving-ca-issuer 1
         systemInternalIssuerRef: |
           kind: ClusterIssuer
           name: knative-serving-ca-issuer 2
       network:
         cluster-local-domain-tls: Enabled 3
         system-internal-tls: Enabled 4

   1

   각 기능에 대한 클러스터 발행자를 정의합니다. 동일하거나 개별 클러스터 발행자를 사용할 수 있습니다.

   2

   클러스터 발행자를 정의합니다.

   3

   cluster-local-domain-tls 기능을 활성화합니다. 이 및 기타 기능은 개별적으로 활성화하거나 비활성화할 수 있습니다.

   4

   system-internal-tls 기능을 활성화합니다.

2. 다음 명령을 실행하여 KnativeServing 리소스를 적용합니다.

   $ oc apply -f <filename>

3. 필요한 경우 Ingress 컨트롤러의 defaultCertificate 값을 변경합니다.

   apiVersion: operator.openshift.io/v1
   kind: IngressController
    ...
   spec:
     defaultCertificate:
       name: ca-ingress-cert

4. defaultCertificate 값을 변경한 경우 KnativeServing 사용자 정의 리소스의 openshift-ingress-default-certificate 필드에 사용자 정의 인증서 이름을 지정해야 합니다.

   예를 들어 사용자 정의 인증서 이름이 ca-ingress-cert 인 경우 다음 구성을 추가합니다.

   ...
   spec:
     config:
       network:
         system-internal-tls: Enabled
         openshift-ingress-default-certificate: "ca-ingress-cert"
   ...

5. cluster-local-domain-tls 또는 system-internal-tls 를 활성화한 경우 다음 명령을 실행하여 컨트롤러 구성 요소를 다시 시작합니다.

   중요

   cluster-local-domain-tls 또는 system-internal-tls 기능이 활성화된 경우 Knative Serving cert-manager 통합을 활성화하려면 컨트롤러 구성 요소를 다시 시작해야 합니다.

   $ oc rollout restart deploy/controller -n knative-serving

6. system-internal-tls 를 활성화한 경우 다음 명령을 실행하여 Activator 구성 요소를 다시 시작합니다.

   중요

   system-internal-tls 기능이 활성화되면 런타임 중에 사용할 수 없으므로 활성화 구성 요소를 다시 시작하여 내부 웹 서버를 재구성해야 합니다.

   $ oc rollout restart deploy/activator -n knative-serving