클러스터에서 CA 인증서 교체

클러스터에서 기존 인증 기관(CA) 인증서를 취소하고 새 CA 인증서를 발행하십시오.

설정을 안전하게 유지하려면 CA 인증서를 정기적으로 교체하는 것이 좋습니다. 인증서 로테이션의 가장 긴 단계에는 작업자 노드를 다시 로드하거나 교체하는 것이 포함되므로 작업자 노드를 업데이트할 때마다 CA 인증서를 로테이션하는 것이 좋습니다.

기본적으로 인증 기관(CA) 인증서는 마스터 API 서버와 같은 클러스터의 다양한 컴포넌트에 대한 보안 액세스를 위해 관리됩니다. 클러스터를 사용할 때 기존 CA에서 발급한 인증서를 취소할 수 있습니다. 예를 들어, 팀의 관리자는 인증서 서명 요청(CSR)을 사용하여 클러스터의 작업자 노드에 대해 클러스터의 CA에서 서명한 인증서를 수동으로 생성할 수 있습니다. 관리자가 조직을 떠나는 경우 클러스터에 대한 새 CA 및 인증서를 작성하고 이전 CA 및 인증서를 제거하여 더 이상 클러스터에 대한 관리자 액세스 권한이 없는지 확인할 수 있습니다.

1. 클러스터의 CA를 작성하십시오. 이 새 CA에서 서명한 인증서가 클러스터 마스터 컴포넌트에 대해 발급되고 API 서버가 새로 고쳐집니다.

   ibmcloud ks cluster ca create -c CLUSTER
   

2. 클러스터의 마스터 상태가 정상이고 API 서버 새로 고치기가 완료되었으며 모든 마스터 업데이트가 완료되었는지 확인하십시오. 마스터 API 서버를 새로 고치는 데 몇 분이 걸릴 수 있습니다.

   ibmcloud ks cluster get --cluster CLUSTER
   

3. CA 작성의 상태를 확인하십시오. 출력에서 조치가 완료됨 필드에 시간소인을 기록하십시오. 각 상태에 대한 설명은 인증서 상태 및 타임스탬프를 참조하세요.

   ibmcloud ks cluster ca status -c CLUSTER
   

   출력 예

   Status:             CA certificate created. Reload your worker nodes then begin the CA certificate rotation.
   Action Started:     2024-08-30T16:17:56+0000
   Action Completed:   2024-08-30T16:21:13+0000
   

4. 클러스터의 kubeconfig 파일에서 업데이트된 Kubernetes 구성 데이터 및 인증서를 다운로드하십시오.

   ibmcloud ks cluster config -c CLUSTER --admin --network
   

5. 새 인증서의 타임스탬프가 3단계에서 확인한 타임스탬프보다 늦은지 확인하십시오. 인증서의 발급일을 확인하려면 다음과 같은 도구를 사용할 수 있습니다. KeyCDN.

6. 이전 인증서를 사용하는 모든 도구 또는 웹훅을 업데이트합니다. 예를 들어 다음 중 하나 이상을 업데이트해야 할 수 있습니다.

   • 클러스터의 kubeconfig 파일에 있는 인증서를 자체 서비스에서 사용하는 경우 Jenkins.
   • calicoctl 를 사용하여 Calico 네트워크 정책을 관리하는 경우, 새 인증서를 사용하도록 서비스 및 자동화를 업데이트하세요.
   • 감사 로그를 IBM Cloud Logs 으로 전달하면 마스터 감사 웹훅에 대한 인증서를 업데이트합니다.
   • 비공개 네트워크를 통해 감사 로그를 전달하는 경우, 마스터 감사 웹훅의 인증서를 업데이트하세요.

7. 클래식 작업자 노드를 다시 로드하거나 VPC 작업자 노드를 대체하여 새 CA가 서명한 인증서를 선택하십시오.

8. 이전 인증서를 새 인증서로 교체하십시오. 클러스터의 이전 CA 인증서가 제거됩니다.

   ibmcloud ks cluster ca rotate -c CLUSTER
   

9. CA 인증서 회전의 상태를 확인하십시오.

   ibmcloud ks cluster ca status -c CLUSTER
   

   출력 예

   Status:             CA certificate rotation complete.
   Action Started:     2024-08-30T16:37:56+0000
   Action Completed:   2024-08-30T16:41:13+0000
   

10. 일부 클라이언트는 인증서 번들에서 만료된 CA 인증서를 허용하지 않을 수 있으므로 클러스터의 kubeconfig 파일에서 업데이트된 Kubernetes 구성 및 인증서를 다운로드하세요.

    ibmcloud ks cluster config -c CLUSTER --admin --network
    

11. 이전 인증서에 의존하는 도구를 업데이트하십시오. Travis 또는 Jenkins와 같은 사용자 자신의 서비스에서 클러스터의 kubeconfig 파일의 인증서를 사용하거나, calicoctl을 사용하여 Calico 네트워크 정책을 관리하는 경우에는 새 인증서를 사용하도록 서비스 및 자동화를 업데이트하십시오.