5장. OpenShift Service Mesh 및 cert-manager

프로세스

1. 다음 명령을 실행하여 istio-system 네임스페이스를 생성합니다.

   $ oc create namespace istio-system

2. 다음 명령을 실행하여 cert-manager Operator를 패치하여 istio-csr 에이전트를 설치합니다.

   $ oc -n cert-manager-operator patch subscription openshift-cert-manager-operator \
     --type='merge' -p \
     '{"spec":{"config":{"env":[{"name":"UNSUPPORTED_ADDON_FEATURES","value":"IstioCSR=true"}]}}}'

3. istio-csr 에이전트에 대한 Issuer 오브젝트를 생성하여 root CA(인증 기관) 발행자를 생성합니다.

   1. 다음 명령을 실행하여 istio-csr 에이전트를 설치하기 위한 새 프로젝트를 생성합니다.

      $ oc new-project istio-csr

   2. 다음 예와 유사한 Issuer 오브젝트를 생성합니다.

      참고

      자체 서명된 발행자는 데모, 테스트 또는 개념 증명 환경을 위한 것입니다. 프로덕션 배포의 경우 안전하고 신뢰할 수 있는 CA를 사용합니다.

      issuer.yaml 파일 예

      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: selfsigned
        namespace: istio-system
      spec:
        selfSigned: {}
      ---
      apiVersion: cert-manager.io/v1
      kind: Certificate
      metadata:
        name: istio-ca
        namespace: istio-system
      spec:
        isCA: true
        duration: 87600h
        secretName: istio-ca
        commonName: istio-ca
        privateKey:
          algorithm: ECDSA
          size: 256
        subject:
          organizations:
            - cluster.local
            - cert-manager
        issuerRef:
          name: selfsigned
          kind: Issuer
          group: cert-manager.io
      ---
      apiVersion: cert-manager.io/v1
      kind: Issuer
      metadata:
        name: istio-ca
        namespace: istio-system
      spec:
        ca:
          secretName: istio-ca

   3. 다음 명령을 실행하여 오브젝트를 생성합니다.

      $ oc apply -f issuer.yaml

   4. 다음 명령을 실행하여 istio-ca 인증서에 "Ready" 상태 조건이 포함될 때까지 기다립니다.

      $ oc wait --for=condition=Ready certificates/istio-ca -n istio-system

4. IstioCSR 사용자 지정 리소스를 생성합니다.

   1. 다음 예와 유사한 IstioCSR 사용자 지정 리소스를 생성합니다.

      istioCSR.yaml 파일 예

      apiVersion: operator.openshift.io/v1alpha1
      kind: IstioCSR
      metadata:
        name: default
        namespace: istio-csr
      spec:
        istioCSRConfig:
          certManager:
            issuerRef:
              name: istio-ca
              kind: Issuer
              group: cert-manager.io
          istiodTLSConfig:
            trustDomain: cluster.local
          istio:
            namespace: istio-system

   2. 다음 명령을 실행하여 istio-csr 에이전트를 생성합니다.

      $ oc create -f istioCSR.yaml

   3. 다음 명령을 실행하여 istio-csr 배포가 준비되었는지 확인합니다.

      $ oc get deployment -n istio-csr

5. istio 리소스를 설치합니다.

   참고

   이 구성은 Istio에 대한 기본 제공 CA 서버를 비활성화하고 istiod 에서 istio-csr 에이전트로 인증서 서명 요청을 전달합니다. istio-csr 에이전트는 cert-manager Operator에서 istiod 및 mesh 워크로드 모두에 대한 인증서를 가져옵니다. istio-csr 에이전트에서 생성한 istiod TLS 인증서는 사용할 알려진 위치의 포드에 마운트됩니다.

   1. 다음 예와 유사한 Istio 오브젝트를 생성합니다.

      istio.yaml 파일 예

      apiVersion: sailoperator.io/v1
      kind: Istio
      metadata:
        name: default
      spec:
        version: v1.24-latest
        namespace: istio-system
        values:
          global:
            caAddress: cert-manager-istio-csr.istio-csr.svc:443
          pilot:
            env:
              ENABLE_CA_SERVER: "false"

   2. 다음 명령을 실행하여 Istio 리소스를 생성합니다.

      $ oc apply -f istio.yaml

   3. 다음 명령을 실행하여 istio 리소스에 "Ready" 상태 조건이 표시되는지 확인합니다.

      $ oc wait --for=condition=Ready istios/default -n istio-system

1. 네임스페이스를 생성합니다.

   1. 다음 명령을 실행하여 apps-1 네임스페이스를 생성합니다.

      $ oc new-project apps-1

   2. 다음 명령을 실행하여 apps-2 네임스페이스를 생성합니다.

      $ oc new-project apps-2

2. 네임스페이스에 istio-injection=enabled 라벨을 추가합니다.

   1. 다음 명령을 실행하여 apps-1 네임스페이스에 istio-injection=enabled 레이블을 추가합니다.

      $ oc label namespaces apps-1 istio-injection=enabled

   2. 다음 명령을 실행하여 apps-2 네임스페이스에 istio-injection=enabled 레이블을 추가합니다.

      $ oc label namespaces apps-2 istio-injection=enabled

3. 네임스페이스에 httpbin 애플리케이션을 배포합니다.

   1. 다음 명령을 실행하여 apps-1 네임스페이스에 httpbin 앱을 배포합니다.

      $ oc apply -n apps-1 -f https://raw.githubusercontent.com/openshift-service-mesh/istio/release-1.24/samples/httpbin/httpbin.yaml

   2. 다음 명령을 실행하여 apps-2 네임스페이스에 httpbin 앱을 배포합니다.

      $ oc apply -n apps-2 -f https://raw.githubusercontent.com/openshift-service-mesh/istio/release-1.24/samples/httpbin/httpbin.yaml

4. 네임스페이스에 절전 애플리케이션을 배포합니다.

   1. 다음 명령을 실행하여 apps-1 네임스페이스에 절전 애플리케이션을 배포합니다.

      $ oc apply -n apps-1 -f https://raw.githubusercontent.com/openshift-service-mesh/istio/release-1.24/samples/sleep/sleep.yaml

   2. 다음 명령을 실행하여 apps-2 네임스페이스에 절전 애플리케이션을 배포합니다.

      $ oc apply -n apps-2 -f https://raw.githubusercontent.com/openshift-service-mesh/istio/release-1.24/samples/sleep/sleep.yaml

5. 생성된 앱에 사이드카가 삽입되었는지 확인합니다.

   1. 다음 명령을 실행하여 생성된 앱에 apps-1 네임스페이스에 사이드카가 삽입되었는지 확인합니다.

      $ oc get pods -n apps-1

   2. 다음 명령을 실행하여 생성된 앱에 apps-2 네임스페이스에 사이드카가 삽입되어 있는지 확인합니다.

      $ oc get pods -n apps-2

6. 다음 예와 유사한 메시 전체 mTLS(Transport Layer Security) 정책을 생성합니다.

   참고

   엄격한 mTLS 모드에서 PeerAuthentication 을 활성화하면 인증서가 올바르게 배포되고 워크로드 간에 mTLS 통신이 작동하는지 확인합니다.

   peer_auth.yaml 예제 파일

   apiVersion: security.istio.io/v1beta1
   kind: PeerAuthentication
   metadata:
     name: default
     namespace: istio-system
   spec:
     mtls:
       mode: STRICT

7. 다음 명령을 실행하여 mTLS 정책을 적용합니다.

   $ oc apply -f peer_auth.yaml

8. 다음 명령을 실행하여 apps-1/sleep 앱이 apps-2/httpbin 서비스에 액세스할 수 있는지 확인합니다.

   $ oc -n apps-1 exec "$(oc -n apps-1 get pod \
     -l app=sleep -o jsonpath={.items..metadata.name})" \
     -c sleep -- curl -sIL http://httpbin.apps-2.svc.cluster.local:8000

   출력 예

   HTTP/1.1 200 OK
   access-control-allow-credentials: true
   access-control-allow-origin: *
   content-security-policy: default-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' camo.githubusercontent.com
   content-type: text/html; charset=utf-8
   date: Wed, 18 Jun 2025 09:20:55 GMT
   x-envoy-upstream-service-time: 14
   server: envoy
   transfer-encoding: chunked

9. 다음 명령을 실행하여 apps-2/sleep 앱이 apps-1/httpbin 서비스에 액세스할 수 있는지 확인합니다.

   $ oc -n apps-2 exec "$(oc -n apps-1 get pod \
     -l app=sleep -o jsonpath={.items..metadata.name})" \
     -c sleep -- curl -sIL http://httpbin.apps-2.svc.cluster.local:8000

   출력 예

   HTTP/1.1 200 OK
   access-control-allow-credentials: true
   access-control-allow-origin: *
   content-security-policy: default-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' camo.githubusercontent.com
   content-type: text/html; charset=utf-8
   date: Wed, 18 Jun 2025 09:21:23 GMT
   x-envoy-upstream-service-time: 16
   server: envoy
   transfer-encoding: chunked

10. 다음 명령을 실행하여 httpbin 워크로드 인증서가 예상대로 일치하는지 확인합니다.

    $ istioctl proxy-config secret -n apps-1 \
      $(oc get pods -n apps-1 -o jsonpath='{.items..metadata.name}' --selector app=httpbin) \
      -o json | jq -r '.dynamicActiveSecrets[0].secret.tlsCertificate.certificateChain.inlineBytes' \
      | base64 --decode | openssl x509 -text -noout

    출력 예

    ...
    Issuer: O = cert-manager + O = cluster.local, CN = istio-ca
    ...
    X509v3 Subject Alternative Name:
    URI:spiffe://cluster.local/ns/apps-1/sa/httpbin

프로세스

1. 다음 명령을 실행하여 IstioCSR 사용자 정의 리소스를 제거합니다.

   $ oc -n <istio-csr_project_name> delete istiocsrs.operator.openshift.io default

2. 관련 리소스를 제거합니다.

   1. 다음 명령을 실행하여 클러스터 scoped-resources를 나열합니다.

      $ oc get clusterrolebindings,clusterroles -l "app=cert-manager-istio-csr,app.kubernetes.io/name=cert-manager-istio-csr"

      나중에 참조할 수 있도록 나열된 리소스의 이름을 저장합니다.

   2. 다음 명령을 실행하여 istio-csr 에이전트에서 배포한 네임스페이스의 리소스를 나열합니다.

      $ oc get certificate,deployments,services,serviceaccounts -l "app=cert-manager-istio-csr,app.kubernetes.io/name=cert-manager-istio-csr" -n <istio_csr_project_name>

      나중에 참조할 수 있도록 나열된 리소스의 이름을 저장합니다.

   3. 다음 명령을 실행하여 Red Hat OpenShift Service Mesh 또는 Istio 배포된 네임스페이스의 리소스를 나열합니다.

      $ oc get roles,rolebindings \
        -l "app=cert-manager-istio-csr,app.kubernetes.io/name=cert-manager-istio-csr" \
        -n <istio_csr_project_name>

      나중에 참조할 수 있도록 나열된 리소스의 이름을 저장합니다.

   4. 이전 단계에서 나열된 각 리소스에 대해 다음 명령을 실행하여 리소스를 삭제합니다.

      $ oc -n <istio_csr_project_name> delete <resource_type>/<resource_name>