CLI를 사용하여 헤드램프 애드온 설치하기

1. container-service 플러그인을 최신 버전으로 업데이트하십시오.

   ibmcloud update && ibmcloud plugin update container-service
   

2. 클러스터를 대상으로 지정하십시오.

   ibmcloud ks cluster config --cluster CLUSTER_NAME_OR_ID
   

3. headlamp 추가 기능을 사용으로 설정하십시오.

   ibmcloud ks cluster addon enable headlamp --cluster CLUSTER_NAME_OR_ID
   

4. 헤드램프 애드온의 상태가 ‘ Addon Ready ’인지 확인하십시오.

   ibmcloud ks cluster addon ls --cluster CLUSTER_NAME_OR_ID
   

   출력 예:

   NAME       Version   Health State   Health Status
   headlamp   0.1.0     normal         Addon Ready
   

5. 헤드램프 유닛이 작동하는지 확인하십시오.

   kubectl get pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

CLI로 헤드램프 애드온 비활성화하기

1. 헤드램프 애드온을 비활성화합니다.

   ibmcloud ks cluster addon disable headlamp --cluster <cluster_name_or_ID>
   

2. 추가 기능이 제거되었는지 확인하십시오.

   ibmcloud ks cluster addon ls --cluster <cluster_name_or_ID>
   

시작하기 전에

• 관리 Istio 추가 기능을 사용으로 설정합니다.
• kubectl 를 해당 클러스터를 대상으로 설정합니다.

1. headlamp-values ( ConfigMap ) 파일을 편집하여 Headlamp 애드온이 생성하는 기본 Ingress 리소스를 비활성화하십시오.

   kubectl edit cm -n ibm-system headlamp-values
   

   애드온이 기본 NGINX 및 Traefik Ingress 리소스를 생성하지 못하도록 하려면 data 섹션에 다음 내용을 추가하십시오.

   data:
     values.yaml: |-
       createDefaultPublicIngressNginx: false
       createDefaultPrivateIngressNginx: false
       createDefaultPublicIngressTraefik: false
       createDefaultPrivateIngressTraefik: false
   

2. 업데이트된 값이 클러스터 전체에 반영될 때까지 최대 5분 정도 기다려 주십시오.

3. 기본 Ingress 리소스가 제거되었는지 확인하십시오.

   kubectl get ingress -n ibm-system
   

4. istio-ingressgateway 로드 밸런서의 IP 주소(클래식 클러스터) 또는 호스트 이름(VPC 클러스터)을 확인합니다.

   • 클래식 클러스터:

       kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].ip}'
       ```
   * VPC 클러스터:
   ```sh {: pre}
       kubectl get service istio-ingressgateway -n istio-system -o jsonpath='{.status.loadBalancer.ingress[0].hostname}'
       ```
   명령어의 반환 값이 비어 있다면, 로드 밸런서가 아직 프로비저닝되지 않은 것입니다. 서비스에 공용 IP가 할당되어 있는지 확인하고, 서비스 이벤트에서 로드 밸런서 할당량 제한과 같은 오류가 있는지 확인하십시오.
   {: note}
   
   ```sh {: pre}
   kubectl describe service istio-ingressgateway -n istio-system
   

5. IBM 에서 제공하는 서브도메인을 생성하여 로드 밸런서의 IP 주소(클래식) 또는 호스트 이름(VPC)을 등록합니다. TLS 시크릿에 대해 istio-system 네임스페이스를 지정하여, TLS 인증서를 istio-ingressgateway 에서 사용할 수 있도록 하십시오.

   • 클래식 클러스터:

       ibmcloud ks nlb-dns create classic --cluster <cluster_name_or_ID> --ip <istio_ingressgateway_IP> --secret-namespace istio-system
       ```
   * VPC 클러스터:
   ```sh {: pre}
       ibmcloud ks nlb-dns create vpc-gen2 --cluster <cluster_name_or_ID> --lb-host <istio_ingressgateway_hostname> --secret-namespace istio-system
       ```
   

6. 서브도메인이 생성되었는지 확인하고, 서브도메인과 ‘ SSL ’ 인증서 비밀 이름을 기록해 둡니다.

   ibmcloud ks nlb-dns ls --cluster <cluster_name_or_ID>
   

   클래식 클러스터의 출력 예:

   Subdomain                                                                               IP(s)              SSL Cert Status   SSL Cert Secret Name                            Secret Namespace
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     ["168.1.1.1"]      created           mycluster-a1b2cdef345678g9hi012j3kl4567890-0001 istio-system
   

   VPC 클러스터의 출력 예:

   Subdomain                                                                               Target(s)                                     SSL Cert Status   SSL Cert Secret Name                            Secret Namespace
   mycluster-a1b2cdef345678g9hi012j3kl4567890-0001.us-south.containers.appdomain.cloud     1234abcd-us-south.lb.appdomain.cloud          created           mycluster-a1b2cdef345678g9hi012j3kl4567890-0001 istio-system
   

   클러스터에 NLB-DNS 항목이 여러 개 있는 경우, ‘ Target(s) ’ 또는 ‘ IP(s) ’ 열의 값을 ‘ istio-ingressgateway ’ 로드 밸런서 주소와 대조하고, ‘ Secret Namespace ’ 열에 ‘ istio-system ’이 표시되는지 확인하여 이전 단계에서 생성한 하위 도메인을 식별하십시오.

7. Headlamp용 Gateway 및 VirtualService 을 정의하는 headlamp-istio.yaml 이라는 파일을 생성합니다. <subdomain> 을 이전 단계에서 확인한 하위 도메인으로, <ssl_cert_secret_name> 을 SSL 인증서의 비밀 이름으로 각각 대체하십시오.

   TLS 인증서 비밀은 istio-system 네임스페이스에서 생성됩니다. istio-ingressgateway 는 해당 네임스페이스에서 ‘ credentialName ’ 필드에 명시된 비밀을 읽어옵니다. Gateway 리소스에 인증서 값을 복사하지 마십시오.

   apiVersion: networking.istio.io/v1
   kind: Gateway
   metadata:
     name: headlamp-gateway
     namespace: ibm-system
   spec:
     selector:
       istio: ingressgateway
     servers:
     - port:
         number: 443
         name: https
         protocol: HTTPS
       tls:
         mode: SIMPLE
         credentialName: <ssl_cert_secret_name>
       hosts:
       - <subdomain>
   ---
   apiVersion: networking.istio.io/v1
   kind: VirtualService
   metadata:
     name: headlamp
     namespace: ibm-system
   spec:
     hosts:
     - <subdomain>
     gateways:
     - headlamp-gateway
     http:
     - route:
       - destination:
           host: headlamp.ibm-system.svc.cluster.local
           port:
             number: 80
   

8. Gateway 및 VirtualService 리소스를 적용하십시오.

   kubectl apply -f headlamp-istio.yaml
   

9. 6단계에서 기록해 둔 하위 도메인을 사용하여 웹 브라우저에서 Headlamp 대시보드를 엽니다.

   https://<subdomain>
   

   명령줄에서 연결 상태를 확인하려면 다음 명령을 실행하십시오. -k 옵션을 사용하면 테스트 중에만 인증서 검증을 건너뛸 수 있습니다. 실제 운영 환경에서는 -k 를 사용하지 마십시오.

   curl -k -s -o /dev/null -w "%{http_code}\n" https://<subdomain>
   

헤드램프 대시보드에 액세스할 수 없습니다

헤드램프 대시보드에 액세스할 수 없는 경우 다음을 확인하세요:

1. 애드온이 설치되어 있고 정상적으로 작동하는지 확인하십시오.

   ibmcloud ks cluster addon ls --cluster <cluster_name_or_ID>
   

2. 헤드램프 유닛이 작동하는지 확인하십시오.

   kubectl get pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

3. ingress 리소스가 올바르게 구성되었는지 확인하십시오.

   kubectl get ingress -n ibm-system
   

4. 공개 전용 클러스터의 경우, 네트워크 보안 규칙에서 공개 IAM 엔드포인트로의 아웃바운드 HTTPS 연결이 허용되는지 확인하십시오. 필요한 경우, ‘공용 엔드포인트를 통해 Headlamp 애드온에 OIDC 활성화’ 문서를 참조하여 OIDC 구성을 업데이트하십시오.

인증 실패

헤드램프 대시보드에 액세스할 때 인증에 실패하는 경우:

1. 클러스터에 액세스하는 데 필요한 IAM 권한이 있는지 확인합니다.

2. 브라우저에서 https://iam.cloud.ibm.com 에 액세스할 수 있는지 확인합니다.

3. 브라우저 쿠키를 삭제하고 다시 시도하세요.

4. 클러스터에 OIDC 클라이언트 ID 비밀 번호가 있는지 확인합니다.

   kubectl get secret clientid-secrets -n ibm-system
   

파드가 실행 중이 아닙니다

헤드램프 포드가 실행되고 있지 않은 경우:

1. 포드 상태 및 이벤트를 확인합니다.

   kubectl describe pods -n ibm-system -l app.kubernetes.io/name=addon-headlamp
   

2. 포드 로그에서 오류가 있는지 확인하십시오.

   kubectl logs -n ibm-system -l app.kubernetes.io/name=addon-headlamp