클러스터에 서비스 자격 증명을 수동으로 바인딩하기

시작하기 전에:

• 다음 역할을 보유하고 있는지 확인하십시오.
  • 편집기 또는 관리자 IBM Cloud IAM 플랫폼 액세스 역할 서비스를 바인딩하려는 클러스터에 대해.
  • 서비스를 바인딩하려는 Kubernetes 네임스페이스에 대한 작성자 또는 관리자 IBM Cloud IAM 서비스 액세스 역할입니다.
• 계정에 로그인하십시오. If applicable, target the appropriate resource group. 클러스터에 대한 컨텍스트를 설정하십시오.

다음 단계를 완료하여 클러스터에 서비스 자격 증명을 수동으로 추가할 수 있습니다.

1. 클러스터에 추가하려는 서비스의 인스턴스 이름을 확인하세요.

   ibmcloud resource service-instances
   

2. 서비스 키를 작성합니다. 자세한 내용은 명령 참조를 참조하세요.

   ibmcloud resource service-key-create NAME [ROLE] --instance-name SERVICE_INSTANCE
   

3. Credentials 부분을 복사하여 확장자가 없는 파일인 creds 에 저장합니다.

4. Kubernetes 를 생성하고, 방금 생성한 자격 증명 파일을 사용합니다.

   kubectl create secret generic my-secret --from-file=path/to/creds
   

service bind CLI를 사용하여 클러스터에 서비스 추가하기

바인딩할 때 기존 서비스 자격 증명을 사용할 수 있나요?

service bind 명령을 실행할 때 선택적으로 --key 매개 변수를 지정하고 기존 서비스 자격 증명의 이름을 제공할 수 있습니다. IBM Cloud 서비스 바인딩은 기존 서비스 자격 증명으로 Kubernetes 비밀을 자동으로 생성합니다.

기존 자격 증명이 일회성 보기 자격 증명인 경우 어떻게 하나요?

service bind 명령은 일회용 보기 자격 증명을 직접 가져오는 것을 지원하지 않습니다. 따라서 service bind 명령을 사용하려면 --key 매개 변수를 지정하지 마세요. --key 없이 명령을 실행하면 새 자격 증명 집합이 만들어집니다.

일회성 보기인 자격 증명을 사용하려면 서비스를 클러스터에 수동으로 바인딩해야 합니다. 이 옵션을 사용하면 기존의 일회성 보기 자격 증명을 사용할 수 있습니다.

프라이빗 클라우드 서비스 엔드포인트를 사용하는 서비스 인증 정보를 사용하려면 어떻게 해야 합니까?

기본적으로 service bind 명령은 퍼블릭 클라우드 서비스 엔드포인트로 서비스 자격 증명을 만듭니다. 프라이빗 클라우드 서비스 엔드포인트를 사용하려면 프라이빗 클라우드 서비스 엔드포인트를 사용하는 서비스에 대한 서비스 인증 정보를 수동으로 작성한 후 --key 옵션을 사용하여 기존 서비스 인증 정보의 이름을 지정해야 합니다. 자신의 자격 증명을 가져올 계획이라면 기존 자격 증명이 일회성 보기 자격 증명이 아닌지 확인하세요. 자세한 내용은 일회성 자격 증명을 참조하세요.

서비스가 아직 프라이빗 클라우드 서비스 엔드포인트를 지원하지 않을 수도 있습니다. 개인 전용 클러스터가 존재하는 경우 프라이빗 클라우드 서비스 엔드포인트를 사용하는 서비스 인증 정보를 사용하거나 공인 IP 주소 및 포트를 열어 서비스에 연결해야 합니다.

다음 섹션에서 서비스 자격 증명을 클러스터에 바인딩하는 단계를 검토하세요.

IBM Cloud 서비스 바인딩을 사용하여 IBM Cloud 서비스에 대한 서비스 인증 정보를 자동으로 작성하고 Kubernetes 시크릿에 이 인증 정보를 저장합니다.

서비스에서 프라이빗 클라우드 서비스 엔드포인트를 지원하는 경우에는 프라이빗 클라우드 서비스 엔드포인트로 서비스 자격 증명을 수동으로 만든 다음 --key 옵션을 사용하여 자격 증명의 이름을 지정할 수 있습니다.

시작하기 전에:

• 다음 역할을 보유하고 있는지 확인하십시오.
  • 편집기 또는 관리자 IBM Cloud IAM 플랫폼 액세스 역할 서비스를 바인딩하려는 클러스터에 대해.
  • 서비스를 바인딩하려는 Kubernetes 네임스페이스에 대한 작성자 또는 관리자 IBM Cloud IAM 서비스 액세스 역할입니다.
• 계정에 로그인하십시오. If applicable, target the appropriate resource group. 클러스터에 대한 컨텍스트를 설정하십시오.

클러스터에 IBM Cloud 서비스를 추가하려면 다음을 수행하십시오.

1. IBM Cloud 서비스의 인스턴스를 작성하십시오.

   • 몇몇 IBM Cloud 서비스는 일부 지역에서만 사용 가능합니다. 서비스가 클러스터와 동일한 지역에서 사용 가능한 경우에만 클러스터에 서비스를 바인드할 수 있습니다. 또한 워싱턴 DC 구역에서 서비스 인스턴스를 작성하려면 CLI를 사용해야 합니다.
   • IAM 사용 서비스의 경우: 서비스 인스턴스는 클러스터와 동일한 리소스 그룹에 작성해야 합니다. 서비스는 하나의 리소스 그룹에서만 작성할 수 있으며 이후에는 변경할 수 없습니다.
   • 서비스 이름이 myservice 또는 example.com 형식인지 확인하십시오. 공백과 밑줄은 허용되지 않습니다.

2. 작성한 서비스 유형을 확인하고 서비스 인스턴스 이름을 기록해 두십시오.

   ibmcloud resource service-instances
   

   출력 예

   NAME                          Location   State    Type               Tags
   <iam_service_instance_name>   <region>   active   service_instance
   

3. 서비스를 추가하는 데 사용할 클러스터 네임스페이스를 식별하십시오.

   kubectl get namespaces
   

4. 서비스를 클러스터에 바인드하여 퍼블릭 클라우드 서비스 엔드포인트를 사용하고 Kubernetes 시크릿에 인증 정보를 저장하는 서비스에 대한 서비스 인증 정보를 작성하십시오. 기존 서비스 자격 증명이 있는 경우 --key 옵션을 사용하여 자격 증명의 이름을 지정합니다. IAM 사용 서비스의 경우 자격 증명은 Writer 서비스 액세스 역할로 자동으로 만들어지지만 --role 옵션을 사용하여 다른 서비스 액세스 역할을 지정할 수 있습니다. --key 옵션을 사용하는 경우 --role 옵션을 포함하지 마십시오.

   자체 자격 증명을 가져오려는 경우 기존 자격 증명이 일회성 보기 자격 증명이 아닌지 확인하거나 서비스 자격 증명을 클러스터에 수동으로 저장하는 권장 방법을 사용하세요. 자세한 내용은 일회성 자격 증명을 참조하세요.

   ibmcloud ks cluster service bind --cluster <cluster_name_or_ID> --namespace <namespace> --service <service_instance_name> [--key <service_instance_key>] [--role <IAM_service_role>]
   

   서비스 인증 정보 작성이 성공하면 이름이 binding-<service_instance_name>인 Kubernetes 시크릿이 작성됩니다.

   출력 예

   ibmcloud ks cluster service bind --cluster mycluster --namespace mynamespace --service cleardb
   Binding service instance to namespace...
   OK
   Namespace:         mynamespace
   Secret name:     binding-<service_instance_name>
   

5. Kubernetes 시크릿의 서비스 인증 정보를 확인하십시오.

   1. 시크릿의 세부사항을 가져오고 바인딩 값을 기록해 두십시오. 바인딩 값은 base64 인코딩되어 있으며, JSON 형식으로 서비스 인스턴스의 인증 정보를 보관합니다.

      kubectl get secrets binding-<service_instance_name> --namespace=<namespace> -o yaml
      

      출력 예

      apiVersion: v1
      data:
      binding: <binding>
      kind: Secret
      metadata:
        annotations:
          service-instance-id: 1111aaaa-a1aa-1aa1-1a11-111aa111aa11
          service-key-id: 2b22bb2b-222b-2bb2-2b22-b22222bb2222
        creationTimestamp: 2018-08-07T20:47:14Z
        name: binding-<service_instance_name>
        namespace: <namespace>
        resourceVersion: "6145900"
        selfLink: /api/v1/namespaces/default/secrets/binding-mycloudant
        uid: 33333c33-3c33-33c3-cc33-cc33333333c
      type: Opaque
      

   2. 바인딩 값을 디코딩하십시오.

      echo "<binding>" | base64 -D
      

      출력 예

      {"apikey":"<API_key>","host":"<ID_string>-bluemix.cloudant.com","iam_apikey_description":"Auto generated apikey during resource-key operation for Instance - crn:v1:bluemix:public:cloudantnosqldb:us-south:a/<ID_string>::","iam_apikey_name":"auto-generated-apikey-<ID_string>","iam_role_crn":"crn:v1:bluemix:public:iam::::serviceRole:Writer","iam_serviceid_crn":"crn:v1:bluemix:public:iam-identity::a/1234567890brasge5htn2ec098::serviceid:ServiceId-<ID_string>","password":"<ID_string>","port":443,"url":"https://<ID_string>-bluemix.cloudant.com","username":"123b45da-9ce1-4c24-ab12-rinwnwub1294-bluemix"}
      

   3. 선택사항: 이전 단계에서 디코딩한 서비스 인증 정보를 IBM Cloud 대시보드에서 서비스 인스턴스에 대해 찾은 서비스 인증 정보와 비교하십시오.

6. 이제 서비스가 클러스터에 바인드되었으므로 Kubernetes 시크릿의 서비스 인증 정보에 액세스하도록 앱을 구성해야 합니다.

앱에서 서비스 인증 정보에 액세스

앱에서 IBM Cloud 서비스 인스턴스에 액세스하려면 Kubernetes 시크릿에 저장된 서비스 인증 정보를 앱에서 사용할 수 있도록 해야 합니다.

서비스 인스턴스의 인증 정보는 base64 인코딩되어 있으며, JSON 형식으로 시크릿 내에 저장됩니다. 시크릿의 데이터에 액세스하려면 다음 옵션 중에서 선택하십시오.

• 시크릿을 볼륨으로 팟(Pod)에 마운트
• 환경 변수의 시크릿 참조

시작하기 전에:

• kube-system 네임스페이스에 대한 작성자 또는 관리자 IBM Cloud IAM 서비스 액세스 권한이 있는지 확인합니다.
• 계정에 로그인하십시오. If applicable, target the appropriate resource group. 클러스터에 대한 컨텍스트를 설정하십시오.
• IBM Cloud 서비스를 클러스터에 추가하십시오.

클러스터에서 서비스 제거

클러스터에 바인드한 IBM Cloud 서비스를 사용하지 않으려는 경우, 클러스터에서 수동으로 Kubernetes 시크릿과 시크릿에 액세스하는 팟(Pod)을 제거할 수 있습니다.

1. 클러스터에 바인드된 서비스를 나열하고 서비스가 바인드된 서비스 및 네임스페이스의 이름을 기록하십시오.

   ibmcloud ks cluster service ls --cluster
   

   출력 예

   OK
   Service   Instance GUID                          Key                                                                  Namespace   
   myservice 12345ab1-1234-1abc-a12b-12abc12a12ab   kube-a1a12abcd12a123abc1a12ab1a1234ab7.abcdefg0p1abcd123lgg.default   default  
   

2. 서비스가 바인드된 네임스페이스의 Kubernetes 시크릿을 나열하고 이름이 binding-<service_name> 형식을 따르는 시크릿을 찾으십시오.

   kubectl get secrets -n <namespace> | grep Opaque
   

   출력 예

   binding-myservice   Opaque     1      3d23h
   

3. 시크릿에 액세스하는 모든 팟(Pod)을 검색하십시오.

   kubectl get pods --all-namespaces -o=jsonpath='{range .items[*]}{"\n"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.secret.secretName}{" "}{end}{end}' | grep "<secret_name>"
   

   CLI 출력이 비어 있으면 시크릿을 마운트하는 클러스터에 팟(Pod)이 없습니다.

4. 시크릿을 마운트하는 팟(Pod)이 있는 경우 팟(Pod) 또는 팟(Pod)을 관리하는 배치를 제거하거나 팟(Pod)과 배치 YAML을 업데이트하여 대신 다른 시크릿을 사용하십시오.

   • 팟(Pod) 또는 배치를 제거하려면 다음을 수행하십시오.

     kubectl delete pod <pod_name> -n <namespace>
     

     kubectl delete deployment <deployment_name> -n <namespace>
     

   • 기존 팟(Pod) 또는 배치를 업데이트하려면 다음을 수행하십시오.
     1. 팟(Pod) 또는 배치 YAML 파일을 가져오십시오.

        kubectl get pod <pod_name> -o yaml
        

        kubectl get deployment <deployment_name> -o yaml
        

     2. YAML 파일을 복사하고 spec.volumes 섹션에서 사용할 시크릿의 이름을 변경하십시오.
     3. 클러스터에 변경을 적용하십시오.

        kubectl apply -f pod.yaml
        

        kubectl apply -f deployment.yaml
        

     4. 업데이트된 볼륨 스펙을 사용하여 새 팟(Pod)이 작성되었는지 확인하십시오.

        kubectl get pods
        

        kubectl describe pod <pod_name>
        

5. 시크릿을 제거하십시오.

   kubectl delete secret <secret_name> -n <namespace>
   

6. 시크릿이 제거되었는지 확인하십시오.

   kubectl get secrets -n <namespace>
   

7. 선택사항입니다. IBM Cloud 서비스 인스턴스를 제거하십시오.

   ibmcloud resource service-instance-delete <service_name>