2.4. 보안을 사용하여 Pod에 민감한 데이터 제공

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   예를 들면 다음과 같습니다.

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque 1
   data:
     username: <username>
     password: <password>

   1

   불투명 보안을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안을 생성하는 방법 이해" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "보안 생성 방법 이해" 섹션에 표시된 대로 보안 을 환경 변수 또는 파일로 사용하는 Pod를 생성합니다.

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   Secret 오브젝트의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-sa-sample
     annotations:
       kubernetes.io/service-account.name: "sa-name" 1
   type: kubernetes.io/service-account-token 2

   1

   기존 서비스 계정 이름을 지정합니다. ServiceAccount 및 Secret 오브젝트를 모두 생성하는 경우 ServiceAccount 오브젝트를 먼저 생성합니다.

   2

   서비스 계정 토큰 시크릿을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안을 생성하는 방법 이해" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "보안 생성 방법 이해" 섹션에 표시된 대로 보안 을 환경 변수 또는 파일로 사용하는 Pod를 생성합니다.

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   보안 오브젝트의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-basic-auth
   type: kubernetes.io/basic-auth 1
   data:
   stringData: 2
     username: admin
     password: <password>

   1

   기본 인증 보안을 지정합니다.

   2

   사용할 기본 인증 값을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안을 생성하는 방법 이해" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "보안 생성 방법 이해" 섹션에 표시된 대로 보안 을 환경 변수 또는 파일로 사용하는 Pod를 생성합니다.

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   보안 오브젝트의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-ssh-auth
   type: kubernetes.io/ssh-auth 1
   data:
     ssh-privatekey: | 2
             MIIEpQIBAAKCAQEAulqb/Y ...

   1

   SSH 인증 보안을 지정합니다.

   2

   사용할 SSH 자격 증명으로 SSH 키/값 쌍을 지정합니다.

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안을 생성하는 방법 이해" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "보안 생성 방법 이해" 섹션에 표시된 대로 보안 을 환경 변수 또는 파일로 사용하는 Pod를 생성합니다.

프로세스

1. 컨트롤 플레인 노드의 YAML 파일에 Secret 오브젝트를 생성합니다.

   Docker 구성 시크릿 오브젝트의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-cfg
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfig:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   보안이 Docker 구성 파일을 사용하도록 지정합니다.

   2

   base64로 인코딩된 Docker 구성 파일의 출력

   Docker 구성 JSON 시크릿 오브젝트의 예

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-json
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfigjson:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   보안이 Docker 구성 JSON 파일을 사용하도록 지정합니다.

   2

   base64로 인코딩된 Docker 구성 JSON 파일의 출력

2. 다음 명령을 사용하여 Secret 오브젝트를 생성합니다.

   $ oc create -f <filename>.yaml

3. Pod에서 보안을 사용하려면 다음을 수행합니다.

   1. "보안을 생성하는 방법 이해" 섹션에 표시된 대로 Pod의 서비스 계정을 업데이트하여 보안을 참조합니다.
   2. "보안 생성 방법 이해" 섹션에 표시된 대로 보안 을 환경 변수 또는 파일로 사용하는 Pod를 생성합니다.

프로세스

1. 워크로드 시크릿으로 이동합니다.

2. 생성 YAML 을 클릭합니다.

   1. 사양에 맞게 YAML을 수동으로 편집하거나 파일을 YAML 편집기로 끌어서 놓습니다. 예를 들면 다음과 같습니다.

      apiVersion: v1
      kind: Secret
      metadata:
        name: example
        namespace: <namespace>
      type: Opaque 1
      data:
        username: <base64 encoded username>
        password: <base64 encoded password>
      stringData: 2
        hostname: myapp.mydomain.com

      1

      이 예제에서는 불투명 보안을 지정합니다. 그러나 서비스 계정 토큰 시크릿, 기본 인증 시크릿, SSH 인증 시크릿 또는 Docker 구성을 사용하는 시크릿과 같은 다른 시크릿 유형이 표시될 수 있습니다.

      2

      stringData 맵의 항목이 base64로 변환된 후 해당 항목이 자동으로 data 맵으로 이동합니다. 이 필드는 쓰기 전용이며 값은 data 필드를 통해서만 반환됩니다.

3. 생성을 클릭합니다.

4. 워크로드에 시크릿 추가를 클릭합니다.

   1. 드롭다운 메뉴에서 추가할 워크로드를 선택합니다.
   2. 저장을 클릭합니다.

1. 서비스에 대한 Pod 사양을 편집합니다.

2. 보안에 사용할 이름과 함께 service.beta.openshift.io/serving-cert-secret-name 주석을 추가합니다.

   kind: Service
   apiVersion: v1
   metadata:
     name: my-service
     annotations:
         service.beta.openshift.io/serving-cert-secret-name: my-cert 1
   spec:
     selector:
       app: MyApp
     ports:
     - protocol: TCP
       port: 80
       targetPort: 9376

   인증서 및 키는 PEM 형식이며 각각 tls.crt 및 tls.key에 저장됩니다.

3. 서비스를 생성합니다.

   $ oc create -f <file-name>.yaml

4. 보안이 생성되었는지 확인합니다.

   1. 모든 보안 목록을 확인합니다.

      $ oc get secrets

      출력 예

      NAME                     TYPE                                  DATA      AGE
      my-cert                  kubernetes.io/tls                     2         9m

   2. 보안에 대한 세부 정보를 확인합니다.

      $ oc describe secret my-cert

      출력 예

      Name:         my-cert
      Namespace:    openshift-console
      Labels:       <none>
      Annotations:  service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
                    service.beta.openshift.io/originating-service-name: my-service
                    service.beta.openshift.io/originating-service-uid: 640f0ec3-afc2-4380-bf31-a8c784846a11
                    service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
      
      Type:  kubernetes.io/tls
      
      Data
      ====
      tls.key:  1679 bytes
      tls.crt:  2595 bytes

5. 해당 보안을 사용하여 Pod 사양을 편집합니다.

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-service-pod
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault
     containers:
     - name: mypod
       image: redis
       volumeMounts:
       - name: my-container
         mountPath: "/etc/my-path"
       securityContext:
         allowPrivilegeEscalation: false
         capabilities:
           drop: [ALL]
     volumes:
     - name: my-volume
       secret:
         secretName: my-cert
         items:
         - key: username
           path: my-group/my-username
           mode: 511

   사용 가능한 경우 Pod가 실행됩니다. 인증서는 내부 서비스 DNS 이름인 <service.name>.<service.namespace>.svc에 적합합니다.

   인증서/키 쌍은 만료 시기가 다가오면 자동으로 교체됩니다. 시크릿의 service.beta.openshift.io/expiry 주석에서 RFC3339 형식으로 된 만료 날짜를 확인합니다.

   참고

   대부분의 경우 서비스 DNS 이름 <service.name>.<service.namespace>.svc는 외부에서 라우팅할 수 없습니다. <service.name>.<service.namespace>.svc는 주로 클러스터 내 또는 서비스 내 통신과 경로 재암호화에 사용됩니다.