4.2. cert-manager 설치

프로세스

1. 다음 명령을 실행하여 로컬 Helm 리포지토리에 Cryostat 스택 차트 리포지터리를 추가합니다.

   $ helm repo add jetstack https://charts.jetstack.io --force-update

2. 다음 명령을 실행하여 istio-csr 차트를 설치합니다.

   $ helm upgrade cert-manager-istio-csr jetstack/cert-manager-istio-csr \
       --install \
       --namespace cert-manager \
       --wait \
       --set "app.tls.rootCAFile=/var/run/secrets/istio-csr/ca.pem" \
       --set "volumeMounts[0].name=root-ca" \
       --set "volumeMounts[0].mountPath=/var/run/secrets/istio-csr" \
       --set "volumes[0].name=root-ca" \
       --set "volumes[0].secret.secretName=istio-root-ca" \
       --set "app.istio.namespace=istio-system"

프로세스

1. istio-csr 배포에 대한 모든 Istio 버전을 지정합니다. "istio-csr deployment"를 참조하십시오.

2. 다음 명령을 실행하여 로컬 Helm 리포지토리에 Cryostat 스택 차트를 추가합니다.

   $ helm repo add jetstack https://charts.jetstack.io --force-update

3. 다음 명령을 실행하여 버전 이름으로 istio-csr 차트를 설치합니다.

   $ helm upgrade cert-manager-istio-csr jetstack/cert-manager-istio-csr \
       --install \
       --namespace cert-manager \
       --wait \
       --set "app.tls.rootCAFile=/var/run/secrets/istio-csr/ca.pem" \
       --set "volumeMounts[0].name=root-ca" \
       --set "volumeMounts[0].mountPath=/var/run/secrets/istio-csr" \
       --set "volumes[0].name=root-ca" \
       --set "volumes[0].secret.secretName=istio-root-ca" \
       --set "app.istio.namespace=istio-system" \
       --set "app.istio.revisions={default-v1-23-0}"

   참고

   버전 이름은 < istio-name>-v<major_version>-<minor_version>-<patch_version > 형식을 사용합니다. 예: default-v1-23-0.

프로세스

1. 다음 예에 표시된 대로 Istio 오브젝트를 생성합니다.

   istio.yaml 오브젝트의 예

   apiVersion: sailoperator.io/v1alpha1
   kind: Istio
   metadata:
     name: default
   spec:
     version: v1.23.0
     namespace: istio-system
     values:
       global:
         caAddress: cert-manager-istio-csr.cert-manager.svc:443
       pilot:
         env:
           ENABLE_CA_SERVER: "false"
         volumeMounts:
           - mountPath: /tmp/var/run/secrets/istiod/tls
             name: istio-csr-dns-cert
             readOnly: true

   참고

   버전 기반 업데이트 전략을 사용하여 CSR 에이전트를 설치한 경우 Istio 오브젝트 YAML에 다음을 추가해야 합니다.

   kind: Istio
   metadata:
     name: default
   spec:
     updateStrategy:
       type: RevisionBased

2. 다음 명령을 실행하여 Istio 리소스를 생성합니다.

   $ oc apply -f istio.yaml

3. 다음 명령을 실행하여 Istio 오브젝트가 준비될 때까지 기다립니다.

   $ oc wait --for=condition=Ready istios/default -n istio-system

프로세스

1. 다음 명령을 실행하여 샘플 네임스페이스를 생성합니다.

   $ oc new-project sample

2. 다음 명령을 실행하여 활성 Istio 버전을 찾습니다.

   $ oc get istiorevisions

3. 다음 명령을 실행하여 활성 버전의 injection 레이블을 샘플 네임스페이스에 추가합니다.

   $ oc label namespace sample istio.io/rev=<your-active-revision-name> --overwrite=true

4. 다음 명령을 실행하여 샘플 httpbin 서비스를 배포합니다.

   $ oc apply -n sample -f https://raw.githubusercontent.com/openshift-service-mesh/istio/refs/heads/master/samples/httpbin/httpbin.yaml

5. 다음 명령을 실행하여 샘플 절전 애플리케이션을 배포합니다.

   $ oc apply -n sample -f https://raw.githubusercontent.com/istio/istio/refs/heads/master/samples/sleep/sleep.yaml

6. 다음 명령을 실행하여 두 애플리케이션 모두 준비될 때까지 기다립니다.

   $ oc rollout status -n sample deployment httpbin sleep

7. 다음 명령을 실행하여 sleep 애플리케이션이 httpbin 서비스에 액세스할 수 있는지 확인합니다.

   $ oc exec "$(oc get pod -l app=sleep -n sample \
        -o jsonpath={.items..metadata.name})" -c sleep -n sample -- \
        curl http://httpbin.sample:8000/ip -s -o /dev/null \
        -w "%{http_code}\n"

   성공적인 출력 예

   200

8. 다음 명령을 실행하여 httpbin 서비스의 워크로드 인증서를 출력하고 출력을 확인합니다.

   $ istioctl proxy-config secret -n sample $(oc get pods -n sample -o jsonpath='{.items..metadata.name}' --selector app=httpbin) -o json | jq -r '.dynamicActiveSecrets[0].secret.tlsCertificate.certificateChain.inlineBytes' | base64 --decode | openssl x509 -text -noout

   출력 예

   ...
   Issuer: O = cert-manager + O = cluster.local, CN = istio-ca
   ...
   X509v3 Subject Alternative Name:
     URI:spiffe://cluster.local/ns/sample/sa/httpbin