IBM-제공된 Ingress 하위 도메인에 대해 TLS 비밀 설정하기

IBM 는 클러스터에 Kubernetes 비밀로 저장된 기본 TLS 인증서와 인그레스 하위 도메인을 제공하며, 이 인증서는 인그레스 리소스에서 지정할 수 있습니다. IBM 제공 TLS 인증서는 LetsEncrypt에 의해 서명되고 IBM에 의해 완벽히 관리됩니다.

IBM에서 제공하는 Ingress 하위 도메인 와일드카드, *.<cluster_name>-<globally_unique_account_HASH>-0000.<region>.containers.appdomain.cloud가 클러스터에 기본적으로 등록되어 있습니다. IBM에서 제공하는 TLS 인증서는 와일드카드 인증서이며 와일드카드 하위 도메인에 사용할 수 있습니다.

IBM-제공된 인그레스 하위 도메인에 기본 TLS 인증서를 사용하려면 다음 단계를 따르세요.

1. 기본 TLS 인증서가 저장되어 있는 비밀의 이름을 가져옵니다. 이는 Ingress 리소스의 spec.tls 섹션에서 지정하는 시크릿 이름입니다.

   ibmcloud oc cluster get -c CLUSTER | grep Ingress
   

   출력 예

   Ingress Subdomain:      mycluster-<hash>-0000.us-south.containers.appdomain.cloud
   Ingress Secret:         mycluster-<hash>-0000
   

2. 시크릿 세부사항을 보고 CRN값을 기록하십시오. TLS 인증서의 CRN입니다. 클러스터에 기본 인스턴스가 없는 경우 [Secrets Manager] 인스턴스가 없는 경우, 시크릿에 CRN이 없는 것입니다. 자세한 내용은 다음 단계의 참고 사항을 확인하십시오.

   ibmcloud oc ingress secret get -c CLUSTER --name SECRET_NAME --namespace openshift-ingress
   

3. Ingress 리소스 또는 앱이 존재하는 각 네임스페이스에서 기본 TLS 인증서에 대한 비밀을 만듭니다. --cert-crn 명령 옵션으로 TLS 인증서 CRN을 지정합니다.

   ibmcloud oc ingress secret create --cluster CLUSTER_NAME_OR_ID --cert-crn CRN --name SECRET_NAME --namespace openshift-ingress
   

   비밀을 명령어로 ibmcloud oc ingress secret create 복사하려면 클러스터에 기본 Secrets Manager 인스턴스가 등록되어 있어야 합니다. Secrets Manager 인스턴스가 없고 시크릿이 클러스터에 직접 작성된 경우, 시크릿에 필수 CRN 값이 없으므로 OpenShiftoc 플러그인 명령어를 사용하여 수동으로 복사해야 합니다.

사용자 정의 하위 도메인에 대한 TLS 비밀 설정하기

Ingress 리소스에 사용자 정의 하위 도메인을 정의하는 경우에는 자체 TLS 인증서를 사용하여 TLS 종료를 관리할 수 있습니다. TLS 인증서를 저장할 Kubernetes 비밀을 만든 다음 이 비밀을 앱이 있는 각 네임스페이스로 가져와야 합니다.

에 사용자 지정 TLS 인증서를 저장하면 Secrets Manager 에 저장하면 인증서를 클러스터의 Kubernetes 시크릿으로 직접 가져올 수 있습니다.

1. 인그레스 리소스가 있는 네임스페이스에서 TLS 인증서에 대한 비밀을 만들거나 가져옵니다. 예를 들어 다음 명령을 실행하여 Secrets Manager 에서 클러스터로 비밀을 가져올 수 있습니다. --cert-crn 명령 옵션으로 TLS 인증서의 CRN을 지정합니다.

   명령어로 ibmcloud oc ingress secret create 인증서를 가져오려면 클러스터에 등록된 기본 Secrets Manager 인스턴스가 있어야 합니다. Secrets Manager 인스턴스가 없고 시크릿이 클러스터에 직접 작성된 경우, 시크릿에 필수 CRN 값이 없으므로 OpenShiftoc 플러그인 명령어를 사용하여 수동으로 복사해야 합니다.

   ibmcloud oc ingress secret create --name SECRET_NAME --cluster CLUSTER_NAME_OR_ID --cert-crn CERTIFICATE_CRN --namespace openshift-ingress
   

2. 앱이 있는 각 네임스페이스에 대해 이전 단계를 반복하십시오.

클러스터에 TLS 비밀이 아닌 시크릿 만들기

명령에 --type Opaque 옵션을 지정하여 TLS 이외의 비밀을 만듭니다 ibmcloud oc ingress secret create 명령에 지정합니다. Opaque 유형을 사용하면 여러 개의 비인증서 CRN값을 포함할 수 있습니다. --type 옵션이 지정되지 않은 경우, 기본적으로 TLS 가 적용됩니다. 자세한 정보 및 추가 명령 옵션은 CLI 참조 를 참조하십시오.

다음 예제 명령은 Opaque 유형이 지정된 TLS 이외의 비밀을 만듭니다. TLS 이외의 비밀에는 적어도 하나의 비밀 필드가 필요합니다. --field 옵션을 지정하는 방법은 사용자가 작성하는 시크릿의 유형에 따라 다양합니다.

ibmcloud oc ingress secret create -c cluster-test --name example-secret --namespace openshift-ingress --field crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1 --type Opaque

시크릿이 작성되었는지 확인하려면 네임스페이스의 모든 시크릿을 나열하십시오.

kubectl get secret -n default

다음 예제는 출력 결과를 보여줍니다.

NAME                   TYPE                                  DATA   AGE
all-icr-io             kubernetes.io/dockerconfigjson        1      41h
default-token-8t6xw    kubernetes.io/service-account-token   3      41h
example-secret         Opaque                                        3m

TLS 이외의 비밀 필드 관리

비밀 필드는 TLS 비밀이 아닌 키-값 쌍으로 저장되는 필드입니다. TLS 이외의 비밀 필드를 확인, 추가, 업데이트 또는 제거하려면 다음 예시를 참조하세요.

kubectl get secret -n default example-secret -o yaml

apiVersion: v1
data:
  arbitraryFVT: AAAaaAAaAAA1AAAaaAAa
  userCredsFVT_password: aAAaa1aaaA=
  userCredsFVT_username: aAAaaa==
kind: Secret
metadata:
  annotations:
    ingress.cloud.ibm.com/cert-source: ibm
    razee.io/build-url: https://url.com
    razee.io/source-url: https://url.com
  creationTimestamp: "2022-11-08T19:45:05Z"
  name: example-secret
  namespace: default
  resourceVersion: "111111"
  uid: 1aaa1111-1a11-111a-a1a1-11111a1a1a1a
type: Opaque

ibmcloud oc ingress secret field add --cluster example-cluster --name example-iam-secret --namespace openshift-ingress  --field crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa-1a11-111a-aa1a-1111aa1aa111:secret:111a1111-11a1-11aa-a1a1-111aa12345aa --field custom_iam_name=crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa-1a11-111a-aa1a-1111aa1aa111:secret:111a1111-11a1-11aa-a1a1-111aa12345aa --field prefix=crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa-1a11-111a-aa1a-1111aa1aa111:secret:111a1111-11a1-11aa-a1a1-111aa12345aa

data:
  api_key: bmZrUHR1VS1fNVpMOExsTmIxeTdQcXFTSENMc2pTUjRsNTQyTzZkZ2ZQMkk=  # Default field type using the default `api_key` field name
  custom_iam_name: bmZrUHR1VS1fNVpMOExsTmIxeTdQcXFTSENMc2pTUjRsNTQyTzZkZ2ZQMkk=  # Named field type using the specified `custom_iam_name` field name.
  iam_api_key: bmZrUHR1VS1fNVpMOExsTmIxeTdQcXFTSENMc2pTUjRsNTQyTzZkZ2ZQMkk= # Prefixed field type using the `iam` name in Secrets Manager followed by the `api_key` default name.

ibmcloud oc ingress secret update --cluster example-cluster --name example-secret --namespace openshift-ingress

ibmcloud oc ingress secret field rm -c example-cluster --name example-secret --namespace openshift-ingress --field-name example-Field

kubectl get secret -n default example-secret -o yaml