사용자 정의 도메인에 Certbot과 Let's Encrypt 서비스를 어떻게 사용할 수 있나요?

엔터프라이즈 환경에서 회사 도메인 관리자와 함께 작업하여 필요한 인증서를 확보하십시오. 그러나 사용자 지정 도메인을 관리할 수 있고 빠른 인증서를 원한다면 Certbot 과 Let's Encrypt 서비스를 사용하여 인증서를 얻을 수 있습니다

1. Certbot을 설치하십시오. Certbot은 CA와 서버 간의 상호작용을 자동화하기 위한 ACME(Automatic Certificate Management Environment) 프로토콜의 클라이언트입니다. Let's Encrypt 서비스는 이 클라이언트를 사용하여 도메인 소유권을 확인하고 인증서를 발행합니다. Certbot 설명서 에서 소프트웨어로 " Other "를 선택하고 워크스테이션의 운영 체제를 선택하여 Certbot 명령줄을 설치하는 데 필요한 정보를 얻으십시오.

2. 다음 명령을 실행하여 인증서를 생성합니다. 이 예제 명령은 example.com 및 www.example.com 사용자 정의 도메인에 대한 인증서를 작성합니다. 사용자 고유의 사용자 정의 도메인에 대한 명령을 업데이트해야 합니다.

   certbot certonly --manual --preferred-challenges dns --email webmaster@example.com --server https://acme-v02.api.letsencrypt.org/directory --agree-tos --domain example.com --domain www.example.com
   

3. 도메인을 소유하는지 확인하려면 이전 단계에서 요청한 도메인에 대해 TXT 레코드를 Certbot 도구 출력과 함께 제공된 값으로 설정하십시오 (예: _acme_challenge.example.com 및 _acme_challenge.ww.example.com). TXT 레코드를 설정한 후 Certbot 명령을 계속하십시오.

4. Certbot은 Let's Encrypt에서 서명한 인증서를 검색합니다. 인증서가 저장되는 위치는 Certbot 출력에서 제공됩니다. fullchain.pem 및 privkey.pem 파일을 찾으십시오.

Ubuntu 시스템에서 Certbot을 실행하는 예제 명령

sudo certbot certonly --manual --preferred-challenges dns --email webmaster@example.com --server https://acme-v02.api.letsencrypt.org/directory --agree-tos --domain example.com --domain www.example.com

example.com 및 www.example.com 에 대한 인증서 요청의 예제 출력

- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name:
_acme-challenge.example.com.
with the following value:
<MASKED>
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Please deploy a DNS TXT record under the name:
_acme-challenge.www.example.com
with the following value:
<MASKED>
(This must be set up in addition to the previous challenges; do not remove,
replace, or undo the previous challenge tasks yet. Note that you might be
asked to create multiple distinct TXT records with the same name. This is
permitted by DNS standards.)
Before continuing, verify the TXT record has been deployed. Depending on the DNS
provider, this may take some time, from a few seconds to multiple minutes. You can
check if it has finished deploying with aid of online tools, such as the Google
Admin Toolbox: https://toolbox.googleapps.com/apps/dig/#TXT/_acme-challenge.www.example.com.
Look for one or more bolded line(s) below the line ';ANSWER'. It should show the
value(s) you've just added.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
Press Enter to Continue
Successfully received certificate.
Certificate is saved at: /etc/letsencrypt/live/example.com/fullchain.pem
Key is saved at: /etc/letsencrypt/live/example.com/privkey.pem
This certificate expires on 2023-02-01.
These files will be updated when the certificate renews.
NEXT STEPS:
- This certificate will not be renewed automatically. Autorenewal of --manual certificates requires the use of an authentication hook script (--manual-auth-hook) but one was not provided. To renew this certificate, repeat this same certbot command before the certificate's expiry date.
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
If you like Certbot, please consider supporting our work by:
 * Donating to ISRG / Let's Encrypt: https://letsencrypt.org/donate
 * Donating to EFF: https://eff.org/donate-le
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

인증서가 준비되었습니다.

CIS 에서 받은 원본 인증서를 사용자 지정 도메인에 사용하려면 어떻게 해야 하나요?

신뢰할 수 있는 공인 CA에서 인증서와 키를 받으면 서명되어 안전하게 보호됩니다. CA와 협력하여 사용자 지정 도메인에 대한 서명된 SSL/TLS 인증서를 받습니다.

Cloud Internet Services (CIS) 을 사용하여 원본 인증서를 주문한 다음 CIS 을 구성하여 이 흐름에 따라 사용자 IP 주소를 애플리케이션 또는 기능에 전달할 수도 있습니다:

1. 원산지 인증서를 주문하세요:

   1. IBM Cloud 콘솔에서 리소스 목록으로 이동하여 Internet Services 인스턴스를 필터링합니다. 검색 결과에서 대상 인스턴스의 이름을 클릭하면 해당 상세정보 페이지를 볼 수 있습니다.
   2. CIS 인스턴스 상세 정보 페이지에서 오리진 페이지 (보안>오리진 )로 이동하여 주문을 클릭합니다.
   3. "주문 출처 인증서" 창에서 모든 기본값을 유지하고 작업할 도메인 이름을 입력합니다. 예를 들어, myapp.example.com입니다. 주문을 클릭하여 확인합니다.
   4. 오리진 인증서와 개인 키 값을 복사합니다. 도메인을 매핑할 때 이 정보가 필요합니다.

2. 유연한 엔드투엔드 TLS 모드를 구성하고 적용하세요.

   에지 인증서는 CIS 에서 제공합니다. 원본 인증서는 CIS 와 Code Engine 애플리케이션 또는 기능 간의 트래픽만 암호화하는 데 사용됩니다.

CIS 에서 DNS 레코드가 성공적으로 생성되면 CIS 에서 사용자 IP 주소를 애플리케이션 또는 기능에 전달하도록 구성했습니다.

콘솔에서 도메인 맵핑 보기

콘솔에서 애플리케이션 또는 기능에 대해 자동으로 생성된 모든 사용자 정의 도메인 맵핑 목록을 볼 수 있습니다. 기본적으로 테이블의 컨텐츠는 사용자 정의 도메인 맵핑으로 범위가 지정됩니다. 유형 필터를 사용하여 보기를 수정하십시오.

이 보기는 맵핑과 연관된 인증서의 만기에 대한 정보를 표시합니다. 인증서가 만료되면 도메인 맵핑을 사용하여 애플리케이션 또는 기능에 더 이상 연결할 수 없으며 이 조건으로 인해 SSL 오류가 발생합니다. 만료될 인증서가 있는 경우 업데이트된 인증서를 사용하도록 사용자 정의 도메인 맵핑을 업데이트 하십시오.

이 보기는 도메인 맵핑과 연관된 특정 애플리케이션 또는 기능에 대한 정보 및 도메인 맵핑의 유형에 대한 정보도 표시합니다. Code Engine 가 생성하는 매핑의 유형은 System-public, System-private, System-internal 일 수 있습니다. 사용자가 작성하는 사용자 정의 도메인 맵핑의 경우 유형은 Custom 입니다.

1. 프로젝트가 활성 상태가 되면 Code Engine 프로젝트 페이지에서 프로젝트 이름을 클릭합니다.
2. 개요 페이지에서 도메인 매핑을 클릭합니다.
3. 도메인 매핑 페이지에서 기존 애플리케이션이나 기능에 대해 정의된 도메인 매핑 목록을 확인합니다. Type 는 맵핑이 자동으로 생성되는지 또는 사용자 정의 도메인 맵핑인지 여부를 표시합니다.

CLI를 사용하여 도메인 맵핑 보기

CLI를 사용하여 애플리케이션 또는 기능에 대한 모든 사용자 정의 도메인 맵핑 목록을 보려면 ibmcloud ce domainmapping list 명령을 사용하십시오. 예를 들면 다음과 같습니다.

ibmcloud ce domainmapping list

출력 예

Listing domain mappings...
OK

Name              CNAME                                                        Target  Target-Type  Status  Secret Name  Age
www.example.com   custom.abcdabcdabc.us-south.codeengine.appdomain.cloud       myapp   app          ready   mytlssecret  36m

사용자가 작성하는 사용자 정의 도메인 맵핑 및 Code Engine 가 작성하는 자동으로 생성된 도메인 맵핑을 포함하여 애플리케이션 또는 기능에 대한 모든 도메인 맵핑 목록을 보려면 ibmcloud ce domainmapping list 명령과 함께 --all 옵션을 지정하십시오. 사용자 정의 도메인 맵핑은 CNAME 의 값을 표시합니다.

콘솔에서 도메인 맵핑 업데이트

www.example.com 에 대한 사용자 정의 도메인 맵핑에 곧 만료되는 인증서가 있다고 가정하십시오. 콘솔에서 도메인 맵핑을 업데이트하여 업데이트된 인증서를 사용하거나 맵핑에 대한 TLS 시크릿을 대체할 수도 있습니다. 프로젝트의 다른 애플리케이션 또는 기능을 가리키도록 도메인 맵핑을 업데이트할 수도 있습니다.

1. Code Engine 프로젝트 페이지에서 프로젝트로 이동합니다.
2. 개요 페이지에서 도메인 맵핑을 클릭하십시오.
3. 도메인 맵핑 페이지에서 조치 아이콘 > 편집 을 클릭하여 맵핑을 편집하십시오. 또는 정의된 사용자 정의 도메인의 행을 클릭하여 맵핑을 업데이트할 수 있습니다.
4. "도메인 매핑 업데이트" 창에서 이 도메인 매핑과 관련된 응용 프로그램이나 기능을 변경할 수 있습니다. 또는 이 매핑에 대한 TLS 비밀번호를 교체하거나 업데이트할 수 있습니다.
5. 변경사항을 저장하려면 업데이트를 클릭하십시오.

매핑을 업데이트한 후에는 가장 최근 변경 사항에 대한 도메인 매핑 목록을 볼 수 있습니다.

CLI를 사용하여 도메인 맵핑 업데이트

사용자 정의 도메인 맵핑을 업데이트하려면 ibmcloud ce domainmapping update 명령을 사용하십시오.

www.example.com 에 대한 사용자 정의 도메인 맵핑에 곧 만료되는 인증서가 있다고 가정하십시오. 업데이트된 인증서를 사용하도록 도메인 맵핑을 업데이트하거나 --tls-secret 옵션을 사용하여 맵핑에 대한 TLS 시크릿을 대체할 수도 있습니다. --target 옵션을 사용하여 도메인 매핑을 업데이트하여 프로젝트의 다른 애플리케이션이나 기능을 가리키도록 할 수도 있습니다.

다음 예는 www.example.com 사용자 지정 도메인 매핑을 업데이트하여 mytlssecret 라는 업데이트된 TLS 비밀번호를 사용하도록 합니다.

1. 로컬 워크스테이션의 mycertchain2.txt 및 myprivatekey2 파일에 있는 업데이트된 인증서와 개인 키 정보로 TLS 비밀 키( mytlssecret )를 업데이트합니다.

   ibmcloud ce secret update --name mytlssecret --cert-chain-file  mycertchain2.txt --private-key-file myprivatekey2.txt
   

   출력 예

   Updating secret mytlssecret..
   OK
   
   

2. 업데이트된 TLS 시크릿을 사용하도록 도메인 맵핑을 업데이트하십시오.

   ibmcloud ce domainmapping update --domain-name www.example.com --tls-secret mytlssecret2
   

   출력 예

   Getting domain mapping 'www.example.com.org'...
   Updating domain mapping 'www.example.com.org'...
   
   

콘솔에서 도메인 맵핑 삭제

콘솔에서 Custom 유형의 도메인 맵핑만 삭제할 수 있습니다. Code Engine 가 자동으로 생성하는 도메인 매핑은 삭제할 수 없습니다.

콘솔에서 사용자 정의 도메인 맵핑을 삭제하려면 다음을 수행하십시오.

1. Code Engine 프로젝트 페이지에서 프로젝트로 이동합니다.
2. 개요 페이지에서 도메인 맵핑 을 클릭하여 정의된 도메인 맵핑 목록을 보십시오.
3. (선택사항) 유형 을 클릭하여 유형별로 도메인 맵핑을 필터링하십시오.
4. 도메인 맵핑 페이지에서 애플리케이션 또는 함수에서 제거할 사용자 정의 도메인 맵핑을 삭제하십시오. 조치 아이콘 > 삭제 를 클릭하여 맵핑을 삭제하십시오.

CLI를 사용하여 도메인 맵핑 삭제

CLI를 사용하여 사용자 정의 도메인 맵핑을 삭제하려면 ibmcloud ce domainmapping delete 명령을 사용하십시오.

사용자 지정 도메인 매핑만 삭제할 수 있으며, Code Engine 에서 생성된 도메인 매핑은 삭제할 수 없습니다. ibmcloud ce domainmapping list 명령을 실행하여 CLI에서 사용자 정의 도메인 맵핑 목록을 표시하십시오. 사용자 정의 도메인 맵핑에는 생성된 CNAME 레코드가 있습니다. CLI에서 ibmcloud ce domainmapping get 명령을 사용하여 지정된 사용자 정의 도메인 맵핑에 대해 생성된 CNAME 값을 얻을 수 있습니다.

ibmcloud ce domainmapping delete --domain-name www.example.com -f

출력 예

Deleting domain mapping 'www.example.com'...
OK

사용자 지정 도메인 매핑을 위한 CNAME 레코드 가져오기

Code Engine 는 정의된 사용자 정의 도메인 맵핑에 대한 CNAME 대상을 제공합니다.

Code Engine 콘솔에서 CNAME 레코드를 얻으려면 정의된 사용자 정의 도메인 맵핑을 열고 도메인 맵핑 업데이트 페이지를 보십시오. 다음 방법 중 하나로 도메인 맵핑 업데이트 페이지를 여십시오.

• 도메인 맵핑 테이블에서 정의된 사용자 정의 도메인의 행을 클릭하십시오.
• 조치 아이콘 > 편집 을 클릭하여 맵핑을 편집하십시오.

도메인 맵핑 업데이트 페이지에서 CNAME target 값을 얻을 수 있습니다. 예를 들어, www.example.com 맵핑에는 custom.abcdabcdabc.us-east.codeengine.appdomain.cloud CNAME값이 있습니다. 여기서 abcdabcdabc 는 자동으로 생성된 고유 ID이고 us-east 는 프로젝트의 영역입니다.

CLI를 사용하여 CNAME 레코드를 얻으려면 ibmcloud ce domainmapping get 명령을 사용하십시오. 예를 들어, 다음과 같습니다.

ibmcloud ce domainmapping get --domain-name www.example.com

출력 예

Getting domain mapping 'www.example.com'...
OK

Domain Name:  www.example.com
CNAME:        custom.abcdabcdabc.us-south.codeengine.appdomain.cloud
Target Name:  myapp
Target Type:  app
TLS Secret:   mytlssecret
Status:       ready

CNAME 대상이 있으면 사용자 정의 도메인의 DNS 설정에 CNAME 레코드 항목을 추가할 준비가 된 것입니다. 도메인 등록자를 사용하여 CNAME 레코드를 공개하면 인터넷에서 DNS 변경사항을 채우는 데 시간이 걸릴 수 있습니다.

Code Engine 애플리케이션으로 트래픽을 보내기 위해 CIS 에 DNS 레코드 추가하기

사용자 지정 도메인을 관리할 CIS 인스턴스가 있는 경우 다음과 같이 Code Engine 프로젝트를 가리키도록 DNS 레코드를 업데이트합니다. CIS 도메인 등록기관이 아닌 경우 단계는 다르지만 목표는 동일합니다. 즉, Code Engine 프로젝트 CNAME 엔드포인트를 가리키는 CNAME 유형의 DNS 레코드를 만드는 것입니다:

1. CIS 인스턴스 세부 정보 페이지에서 안정성>DNS로 이동합니다. DNS 레코드로 스크롤하여 추가를 클릭합니다.

2. '레코드 추가' 창에서:

   • 유형으로 CNAME을 선택합니다.
   • 하위 도메인을 설정합니다(예: myapp).
   • 이전에 복사한 CNAME 대상 값을 별칭 도메인 이름으로 입력합니다.
   • DNS 레코드에 대한 세부 정보 출력에 도메인 매핑이 별칭임을 나타내는지 확인합니다. 예를 들어, 다음과 유사한 메시지를 찾습니다: myapp.example.com is an alias of custom.<id>.<region>.codeeng.appdomain.cloud. 추가를 클릭하여 DNS 레코드 추가를 확인합니다.

   example.com 및 www.example.com 과 같이 여러 도메인과 하위 도메인을 등록해야 하는 경우 각 하위 도메인에 대해 단계를 반복해야 합니다. 둘 이상의 도메인을 커버하는 단일 인증서를 만드는 것을 고려할 수 있습니다. 그러나 하나의 인증서는 한 지역에서 한 번만 사용할 수 있습니다. 단일 지역의 두 개 이상의 프로젝트에서 사용자 지정 도메인을 사용하려는 경우에는 별도로 보관하세요.

이제 사용자 지정 도메인 매핑 작업에 익숙해졌으며, TLS 인증서와 개인 키가 있는 사용자 지정 도메인을 얻었습니다. Code Engine 에서 애플리케이션 이나 기능 에 대한 사용자 지정 도메인 매핑을 구성할 준비가 되었습니다.