허용 목록을 통해 ibmcloud, ibmcloud oc 및 ibmcloud cr 명령을 실행하기

기업 네트워크 정책에 따라 프록시나 허용 목록을 통해 로컬 시스템에서 공용 엔드포인트로의 액세스가 차단된 경우, ibmcloud``, ibmcloud oc 및 ibmcloud cr 명령을 실행하려면 IBM Cloud, Red Hat OpenShift on IBM Cloud 및 IBM Cloud Container Registry 에 대한 TCP 액세스를 허용해야 합니다.

1. 허용 목록에서 cloud.ibm.com 의 443번 포트에 대한 액세스를 허용하십시오.

2. 이 API 엔드포인트를 통해 IBM Cloud에 로그인하여 연결을 확인하십시오.

   ibmcloud login -a https://cloud.ibm.com/
   

3. 허용 목록에서 containers.cloud.ibm.com 의 443번 포트에 대한 액세스를 허용하십시오.

4. 연결을 확인하십시오. 액세스가 올바르게 구성된 경우 다음과 유사한 메시지가 출력에 표시됩니다.

   curl https://containers.cloud.ibm.com/global/v1/versions
   

   출력 예

   {"kubernetes":[{"major":1,"minor":19,"patch":16,"default":false,"end_of_service":""},{"major":1,"minor":20,"patch":13,"default":false,"end_of_service":""},{"major":1,"minor":21,"patch":7,"default":true,"end_of_service":""},{"major":1,"minor":22,"patch":4,"default":false,"end_of_service":""}],"openshift":[{"major":3,"minor":11,"patch":542,"default":false,"end_of_service":"2022-06-06T12:00:00+0000"},{"major":4,"minor":6,"patch":47,"default":false,"end_of_service":""},{"major":4,"minor":7,"patch":37,"default":false,"end_of_service":""},{"major":4,"minor":8,"patch":21,"default":true,"end_of_service":""}]}
   

5. 허용 목록에서, 사용 예정인 IBM Cloud Container Registry 리전에 대한 443번 포트 접근을 허용하십시오. 글로벌 레지스트리는 IBM 제공 공용 이미지를 저장하고 지역 레지스트리는 사용자의 개인용 이미지 또는 공용 이미지를 저장합니다. 허용 목록이 IP 기반인 경우, 이 표를 확인하면 IBM Cloud Container Registry 지역 서비스 엔드포인트에 대한 액세스를 허용할 때 어떤 IP 주소가 허용되는지 확인할 수 있습니다.

6. 연결을 확인하십시오. 다음은 미국 동부 및 미국 남부 지역 레지스트리의 예제입니다. 액세스가 올바르게 구성되면 해당 일의 메시지가 출력에 리턴됩니다. 메시지가 없는 경우 204가 리턴됩니다.

   curl -i https://us.icr.io/api/v1/messages
   

허용 목록 뒤에서 oc 명령 실행

기업 네트워크 정책에 따라 프록시나 허용 목록을 통해 로컬 시스템에서 공용 엔드포인트에 대한 액세스가 차단된 경우, oc 명령을 실행하려면 클러스터에 대한 TCP 액세스를 허용해야 합니다.

클러스터가 작성될 때 서비스 엔드포인트 URL의 포트는 30000 - 32767 내에서 무작위로 지정됩니다. 작성될 수 있는 모든 클러스터에 포트 범위 30000 - 32767을 공개하거나 기존의 특정 클러스터에 대해 액세스를 허용하도록 선택할 수 있습니다.

시작하기 전에 ibmcloud oc 명령 실행을 위한 액세스를 허용하십시오.

특정 클러스터에 대한 액세스를 허용하려면 다음을 수행하십시오.

1. IBM Cloud에 로그인하십시오. 프롬프트가 표시되면 IBM Cloud 인증 정보를 입력하십시오. 연합 계정이 있는 경우, --sso 옵션을 포함하십시오.

   ibmcloud login [--sso]
   

2. 클러스터가 default 외의 리소스 그룹에 속해 있는 경우에는 해당 리소스 그룹을 대상으로 지정하십시오. 각 클러스터가 속하는 리소스 그룹을 보려면 ibmcloud oc cluster ls를 실행하십시오. 참고: 해당 리소스 그룹에 대해 Viewer 역할 이상의 역할을 갖고 있어야 합니다.

   ibmcloud target -g RESOURCE_GROUP_NAME
   

3. 클러스터의 이름을 가져오십시오.

   ibmcloud oc cluster ls
   

4. 클러스터에 대한 서비스 엔드포인트 URL을 검색하십시오.

   • 개인 서비스 엔드포인트 URL만 채워진 경우 이 URL을 가져오십시오. 권한 부여된 클러스터 사용자는 사설 네트워크에서 이 엔드포인트를 통해 마스터에 액세스할 수 있습니다.
   • 공용 서비스 엔드포인트 URL 및 개인 서비스 엔드포인트 URL이 모두 채워진 경우 URL 둘 다 가져오십시오. 권한 부여된 클러스터 사용자는 공용 네트워크의 공용 엔드포인트 또는 사설 네트워크의 개인 엔드포인트를 통해 마스터에 액세스할 수 있습니다.

   ibmcloud oc cluster get --cluster CLUSTER_NAME_OR_ID
   

   출력 예

   ...
   Public Service Endpoint URL:    https://c3.<region>.containers.cloud.ibm.com:30426
   Private Service Endpoint URL:   https://c3-private.<region>.containers.cloud.ibm.com:31140
   ...
   

5. 이전 단계에서 가져온 서비스 엔드포인트 URL 및 포트에 액세스를 허용하십시오. 허용 목록이 IP 기반인 경우, 이 표를 확인하면 서비스 엔드포인트 URL에 대한 액세스를 허용할 때 어떤 IP 주소가 허용되는지 확인할 수 있습니다.

6. 연결을 확인하십시오.

   • 퍼블릭 클라우드 서비스 엔드포인트가 사용으로 설정된 경우:

       curl --insecure <public_service_endpoint_URL>/version
       ```
       명령 예
       ```sh {: pre}
       curl --insecure https://c3.<region>.containers.cloud.ibm.com:31142/version
       ```
       출력 예
       ```json {: screen}
       {
           "major": "1",
           "minor": "7+",
           "gitVersion": "v1.7.4-2+eb9172c211dc41",
           "gitCommit": "eb9172c211dc4108341c0fd5340ee5200f0ec534",
           "gitTreeState": "clean",
           "buildDate": "2017-11-16T08:13:08Z",
           "goVersion": "go1.8.3",
           "compiler": "gc",
           "platform": "linux/amd64"
       }
       ```
   * 프라이빗 클라우드 서비스 엔드포인트만 사용되는 경우, IBM Cloud 사설 네트워크를 사용하거나 VPN 연결을 통해 사설 네트워크에 연결하여 마스터에 대한 연결을 확인해야 합니다. **참고**: 사용자가 VPN 또는 IBM Cloud&reg; Direct Link 연결을 통해 마스터에 액세스할 수 있도록, [마스터 엔드포인트를 사설 로드 밸런서를 통해 노출해야](/docs/openshift?topic=openshift-cluster-access-private-vpc) 합니다.
   ```sh {: pre}
       curl --insecure <private_service_endpoint_URL>/version
       ```
       명령 예
       ```sh {: pre}
       curl --insecure https://c3-private.<region>.containers.cloud.ibm.com:31142/version
       ```
       출력 예
       ```json {: screen}
       {
           "major": "1",
           "minor": "7+",
           "gitVersion": "v1.7.4-2+eb9172c211dc41",
           "gitCommit": "eb9172c211dc4108341c0fd5340ee5200f0ec534",
           "gitTreeState": "clean",
           "buildDate": "2017-11-16T08:13:08Z",
           "goVersion": "go1.8.3",
           "compiler": "gc",
           "platform": "linux/amd64"
       }
       ```
   

7. 선택사항: 노출해야 하는 각 클러스터에 대해 이러한 단계를 반복하십시오.

허용 목록 뒤에서 calicoctl 명령 실행

기업 네트워크 정책에 따라 프록시나 허용 목록을 통해 로컬 시스템에서 공용 엔드포인트에 대한 액세스가 차단된 경우, calicoctl 명령을 실행하려면 Calico 명령에 대해 TCP 에 대한 액세스를 허용해야 합니다.

시작하기 전에 ibmcloud 명령 및 oc 명령 실행에 대한 액세스를 허용하십시오.

1. oc 명령을 허용하는 데 사용한 마스터 URL에서 IP 주소를 검색하십시오.

2. etcd의 포트를 가져오십시오.

   oc get cm -n kube-system cluster-info -o yaml | grep etcd_host
   

3. 마스터 URL IP 주소와 etcd 포트를 통해 Calico 정책에 대한 액세스를 허용하십시오.

허용 목록에서 Red Hat OpenShift 이미지 레지스트리에 대한 액세스 허용

내부 이미지 레지스트리를 위한 보안 외부 경로를 설정하거나, VPC 클러스터 내에서 내부 이미지 레지스트리를 백업하는 IBM Cloud Object Storage 버킷에 액세스하려면, 기업 허용 목록에서 내부 레지스트리 및 IBM Cloud Object Storage 엔드포인트에 대한 액세스를 허용해야 합니다.

1. 내부 Red Hat OpenShift 이미지 레지스트리에 대한 외부 라우트를 작성하는 경우 회사 네트워크에서 image-registry-openshift-image-registry.<cluster_name>-<ID_string>.<region>.containers.appdomain.cloud 라우트에 액세스할 수 있도록 *.containers.appdomain.cloud 도메인에 대한 액세스를 허용하십시오.

2. VPC 클러스터: 내부 IBM Cloud Object Storage 이미지 레지스트리를 백업하는 Red Hat OpenShift 버킷에 액세스해야 하는 경우 또는 회사 네트워크에서 IBM Cloud Object Storage에 액세스해야 하는 경우 *.cloud-object-storage.appdomain.cloud 도메인에 대한 액세스를 허용하십시오.

클러스터에서 다른 서비스로의 수신 허용

클러스터에서 다른 서비스로 들어오는 트래픽을 허용하려면, 해당 서비스의 허용 목록이나 온프레미스 허용 목록을 수정하십시오.

1. 클러스터가 작성된 작업자 구역 및 VPC를 가져오십시오.

   ibmcloud oc cluster get -c <cluster>
   

   출력 예

   ...
   Worker Zones:                   us-south-1, us-south-2, us-south-3
   Ingress Subdomain:              vpc-prod.us-south.containers.appdomain.cloud
   Ingress Secret:                 vpc-prod
   Creator:                        -
   Public Service Endpoint URL:    https://c2.us-south.containers.cloud.ibm.com:20267
   Private Service Endpoint URL:   https://c2.private.us-south.containers.cloud.ibm.com:20267
   Pull Secrets:                   enabled in the default namespace
   VPCs:                           ff537d43-a5a4-4b65-9627-17eddfa5237b
   ...
   

2. 찾은 작업자 구역 및 VPC에 대해, 각 작업자 구역의 VPC 서브넷에서 퍼블릭 게이트웨이를 사용으로 설정했는지 확인하십시오.

3. 서브넷의 퍼블릭 게이트웨이를 나열하십시오. 클러스터가 있는 구역 및 VPC의 경우 출력에서 서브넷에 대한 게이트웨이 유동 IP 주소를 기록해 놓으십시오.

   ibmcloud is public-gateways
   

   출력 예

   ID                                     Name                                       Status      Floating IP      VPC              Zone
   5d308ea5-9f32-43b3-aaae-194d5723a3e5   pgw-b9d45630-c053-11e9-b2f8-79328ce05e7e   available   169.XX.XXX.XX    test-vpc         us-south-1
   f8b95e43-a408-4dc8-a489-ed649fc4cfec   pgw-18a3ebb0-b539-11e9-9838-f3f4efa02374   available   169.XX.XXX.XX    prod             us-south-1
   2ba9a280-fffa-4b0c-bdca-7970f09f9b8a   pgw-73b62bc0-b53a-11e9-9838-f3f4efa02374   available   169.XX.XXX.XX    prod             us-south-2
   057ddef6-631f-4b22-89eb-1e99982a54fa   pgw-64c5cae0-0be2-11ea-8f26-e1565e79a36c   available   52.XX.XXX.XXX    prod             us-south-3
   

4. 서비스의 허용 목록이나 온프레미스 허용 목록에 공용 게이트웨이 IP 주소를 추가하여 인바운드 트래픽을 허용하십시오.

5. 트래픽 수신 또는 발신을 허용할 각 클러스터에 대해 이러한 단계를 반복하십시오.

다른 서비스에서 클러스터로의 송신 허용

다른 서비스에서 클러스터로 나가는 트래픽을 허용하려면 해당 서비스의 허용 목록이나 온프레미스 허용 목록을 수정하십시오.

1. 작업자 노드 서브넷 또는 작업자 노드 IP 주소를 가져오십시오.
   • 워커 노드 서브넷 CIDR: 클러스터 오토스케일러를 활성화하는 경우와 같이 클러스터 내 워커 노드의 수를 자주 변경할 것으로 예상되는 경우, 새로운 워커 노드가 추가될 때마다 허용 목록을 일일이 업데이트하는 것은 바람직하지 않을 수 있습니다. 대신 클러스터에서 사용하는 VPC 서브넷을 추가할 수 있습니다. VPC 서브넷은 다른 클러스터에 있는 작업자 노드와 공유될 수 있다는 점에 유의하십시오.
     1. 클러스터가 작성된 작업자 구역 및 VPC를 가져오십시오.

        ibmcloud oc cluster get -c <cluster>
        

        출력 예

        ...
        Worker Zones:                   us-south-1, us-south-2, us-south-3
        Ingress Subdomain:              vpc-prod.us-south.containers.appdomain.cloud
        Ingress Secret:                 vpc-prod
        Creator:                        -
        Public Service Endpoint URL:    https://c2.us-south.containers.cloud.ibm.com:20267
        Private Service Endpoint URL:   https://c2.private.us-south.containers.cloud.ibm.com:20267
        Pull Secrets:                   enabled in the default namespace
        VPCs:                           ff537d43-a5a4-4b65-9627-17eddfa5237b
        ...
        

     2. 클러스터가 있는 구역 및 VPC의 서브넷에 대한 서브넷 CIDR을 기록해 놓으십시오.

        ibmcloud is subnets
        

        출력 예

        ID                                     Name             Status      Subnet CIDR        Addresses   ACL                                                          Public Gateway                             VPC              Zone
        5f5787a4-f560-471b-b6ce-20067ac93439   vpc-prod-dal1    available   10.240.0.0/24      183/256     allow-all-network-acl-ff537d43-a5a4-4b65-9627-17eddfa5237b   -                                          prod             us-south-1
        e3c19786-1c54-4248-86ca-e60aab74ed62   vpc-prod-dal2    available   10.240.64.0/24     183/256     allow-all-network-acl-ff537d43-a5a4-4b65-9627-17eddfa5237b   -                                          prod             us-south-2
        2930a068-51cc-4eca-807b-3f296d0891b4   vpc-prod-dal3    available   10.240.128.0/24    249/256     allow-all-network-acl-ff537d43-a5a4-4b65-9627-17eddfa5237b   -                                          prod             us-south-3
        

   • 개별 작업자 노드 IP 주소: 하나의 앱만 실행하며 스케일링할 필요가 없는 소수의 작업자 노드가 있거나 하나의 작업자 노드만 추가하려는 경우에는 클러스터에 있는 모든 작업자 노드를 나열하고 기본 IP 주소를 기록해 두십시오. 이러한 작업자 노드만 추가됩니다. 클러스터에서 워커 노드를 삭제하거나 워커 노드를 추가하는 경우, 허용 목록을 그에 맞게 업데이트해야 합니다.

       ibmcloud oc worker ls --cluster <cluster_name_or_ID>
       ```
   

2. 서브넷 CIDR 또는 개별 워커 노드 IP 주소를 서비스의 허용 목록이나 온프레미스 환경의 아웃바운드 트래픽 허용 목록에 추가하십시오.
3. 트래픽 수신 또는 발신을 허용할 각 클러스터에 대해 이러한 단계를 반복하십시오.

공개 허용 목록에서 필수 포트 열기