인증 위치 엔드포인트 트래픽

모든 엔드포인트 트래픽은 기본적으로 암호화됩니다. 그러나 소스 및 대상 인증을 구현하기 위해 사용자 고유의 인증서를 제공하도록 선택할 수 있습니다. TLS 또는 HTTPS 엔드포인트의 경우, 엔드포인트 요청 흐름에 구성이 필요한 두 개의 TLS 연결이 존재합니다. 첫 번째 ‘ TLS ’ 핸드셰이크는 소스와 Satellite 링크 서비스 간에 이루어집니다. 두 번째 ‘ TLS ’ 핸드셰이크는 Satellite 링크 서비스와 사용자의 목적지 또는 대상 서버 간에 이루어집니다. 이러한 연결 중 하나 또는 둘 다에 대한 인증서를 제공할 수 있습니다.

엔드포인트 인증 설정을 구성하지 않으면 엔드포인트 트래픽은 여전히 암호화되지만 Satellite Link는 전송 서비스 역할만 합니다. 이는 TCP 또는 HTTP 프로토콜을 사용하는 엔드포인트에도 적용됩니다. 프로토콜이 TLS 또는 HTTPS 인 엔드포인트의 경우, Satellite Link 을 경유하는 트래픽은 기본적으로 잘 알려진 내장 인증서를 기반으로 단순 인증을 시도하게 되며, 이 인증서가 충분할 수도 있고 그렇지 않을 수도 있습니다.

다음 인증 옵션을 확인해 보십시오.

Satellite Link 서비스와 목적지 간의 간단한 인증: 대상 서버는 Satellite Link 서비스를 통해 자신을 인증합니다. 대상과 간단한 인증을 설정하려면, 해당 엔드포인트의 대상 프로토콜이 TLS 이어야 합니다. 대상의 서버 인증서가 잘 알려진 인증 기관에서 서명하지 않았거나 자체 서명이 아닌 경우, 대상의 서버 인증서의 유효성을 검사하기 위해 신뢰할 수 있는 CA 인증서 또는 체인을 구성해야 합니다.
Satellite Link 서비스를 통한 간편 인증: Satellite Link 서비스는 소스에 대해 스스로를 인증합니다. Satellite Link 서비스를 사용하여 단순 인증을 설정하려면, 엔드포인트의 소스 프로토콜을 TLS 또는 HTTPS 로 설정해야 합니다. 인증서 구성은 엔드포인트의 대상 유형에 따라 달라집니다.; 대상 유형이 '클라우드'인 엔드포인트의 경우, Satellite Link 서비스가 소스와 인증하는 데 사용할 서버 인증서와 키를 제공해야 합니다. 서버 인증서가 잘 알려진 서명 기관에서 서명하지 않은 경우, 소스 환경에 CA 루트 인증서도 설치해야 합니다.; 대상 유형이 '위치'인 엔드포인트의 경우, Satellite Link는 DigiCert가 서명한 자체 인증서를 사용하므로 Satellite Link 서비스 인증서를 구성하지 않아도 됩니다. DigiCert certificates are 호환 with all modern browsers and platforms but if your source has no root CA certificate, you will need to 다운로드 one from DigiCert and install it in your source environment.
Satellite Link 대상 서버 간의 상호 인증: 상호 인증을 사용하면 대상 서버는 Satellite Link 서비스에 자신을 인증하고, Satellite Link 서비스는 대상 서버에 자신을 인증해야 합니다. Satellite Link 서비스와 대상 서버 간 상호 인증을 설정하려면 단순 대상 인증의 경우와 동일한 방식으로 Satellite Link 서비스 인증을 구성해야 합니다. 하지만 Satellite Link 서비스가 대상과 인증하는 데 사용하는 클라이언트 인증서와 키도 제공해야 합니다.
소스와 Satellite Link 서비스 간의 상호 인증: 상호 인증을 사용하면 Satellite Link 서비스는 소스에 대해 자신을 인증하고, 소스는 Satellite Link 서비스에 대해 자신을 인증해야 합니다. 소스와 Satellite Link 서비스 간에 상호 인증을 설정하려면 단순 소스 인증의 경우와 동일한 방식으로 Satellite Link 서비스 인증을 구성해야 합니다. 그러나 Satellite Link 서비스가 소스의 클라이언트 인증서의 유효성을 검사하는 데 사용하는 CA 인증서도 구성해야 합니다.
원본과 Satellite Link 서비스, Satellite Link 대상 서버 간의 상호 인증: Satellite Link 서비스와 대상 서버에 대한 요청이 모두 인증됩니다. 트래픽이 허용되기 전에 두 번의 ‘ TLS ’ 핸드셰이크가 검증되어야 합니다. 이 설정을 위해, 소스 프로토콜을 TLS 또는 HTTPS 로, 대상 프로토콜을 TLS 로 지정하여 엔드포인트를 생성하십시오. 그런 다음 위에서 설명한 대로 소스 및 대상 상호 인증 사례에 모두 필요한 인증서를 제공합니다.

엔드포인트 인증을 위해 사용자 고유의 인증서를 제공하도록 선택하는 경우, 사용자는 인증서를 순환하고 만기 날짜를 관리할 책임이 있습니다. 인증서가 만료되면 트래픽이 중단됩니다.

CLI에서 인증 설정

source 옵션은 소스와 Satellite Link 서비스 간의 TLS 핸드셰이크를 의미합니다. dest 옵션은 Satellite Link 서비스와 대상 서버 간의 TLS 핸드셰이크를 의미합니다. 이러한 연결 중 하나 또는 둘 다에 대한 인증서를 제공할 수 있습니다. 지정되지 않은 설정은 기본값으로 설정됩니다.

ibmcloud sat endpoint authn 명령어는 Satellite Link 서비스에 대한 인증서를 설정하는 데만 사용되며, 이 서비스는 소스 측에서는 서버 역할을, 대상 측에서는 클라이언트 역할을 수행합니다. 또한 해당 애플리케이션 환경에서 소스(클라이언트) 및 대상(서버)에 대한 인증서를 구성해야 할 수도 있습니다.

다음의 예시 시나리오를 살펴보십시오.

Satellite Link 서비스와 목적지 간의 간단한 인증

HTTPS 서버에 대한 HTTPS 엔드포인트를 만듭니다.

ibmcloud sat endpoint create
  --location ID \
  --name myEndpoint \
  --dest-hostname example.com \
  --dest-port 443 \
  --source-protocol HTTPS \
  --dest-type location

대상 서버와 간단한 TLS 연결을 설정합니다.

이 예제는 대상 서버의 인증서를 유효성 검증하기 위해 신뢰할 수 있는 CA의 인증서를 제공합니다.
```
ibmcloud sat endpoint authn set \
  --location ID \
  --endpoint myEndpoint \
  --dest-tls-mode simple \
  --dest-ca-cert-file /path/to/serverCACerts.pem
```
인증서가 만료되기 전에 기존 인증 인증서를 새 인증서로 대체하여 인증서를 순환시키십시오. 지정하신 인증서만 교체됩니다.
```
ibmcloud sat endpoint authn rotate \
  --location ID \
  --endpoint myEndpoint \
  --dest-ca-cert-file /path/to/serverCACerts.pem
```

Satellite Link 서비스를 통한 간편 인증

location 또는 cloud 의 엔드포인트 --dest-type 에서 작동할 수 있는 대부분의 구성과 달리, 이 구성은 위치 대상 엔드포인트에 대한 소스 인증서 설정이 지원되지 않으므로 --dest-type cloud 을 사용해야 합니다.

HTTP 서버에 대한 HTTPS 엔드포인트를 만듭니다.

ibmcloud sat endpoint create \
  --location ID \
  --name myEndpoint \
  --dest-hostname example.com \
  --dest-port 80 \
  --dest-protocol TCP \
  --source-protocol HTTPS \
  --dest-type cloud

소스와 Satellite Link 서비스 간에 간단한 TLS 를 구성합니다.

이 예에서는 Satellite Link 서비스가 소스를 인증하기 위한 서버 인증서를 제공합니다.

ibmcloud sat endpoint authn set \
  --location ID \
  --endpoint myEndpoint \
  --source-tls-mode simple \
  --source-cert-file /path/to/serverCertificate.pem \
  --source-key-file /path/to/serverKey.pem

인증서가 만료되기 전에 기존 인증 인증서를 새 인증서로 대체하여 인증서를 순환시키십시오. 지정하신 인증서만 교체됩니다.

ibmcloud sat endpoint authn rotate \
  --location ID \
  --endpoint myEndpoint \
  --source-cert-file /path/to/serverCertificate.pem \
  --source-key-file /path/to/serverKey.pem

Satellite Link 서비스와 목적지 간의 상호 인증

HTTPS 서버에 대한 HTTP 엔드포인트를 만듭니다.

ibmcloud sat endpoint create \
  --location ID \
  --name myEndpoint \
  --dest-hostname example.com \
  --dest-port 443 \
  --dest-protocol TLS \
  --source-protocol HTTP \
  --dest-type location

대상 서버와 상호 TLS 를 구성하십시오.

단순 인증 예제와 유사하게 --dest-ca-cert-file 대상 서버의 인증서의 유효성을 검사합니다. 상호 TLS 핸드셰이크를 수행하기 위해 --dest-cert-file 및 --dest-key-file 가 사용됩니다.
```
ibmcloud sat endpoint authn set \
  --location ID \
  --endpoint myEndpoint \
  --dest-tls-mode mutual \
  --dest-cert-file /path/to/clientCertificate.pem \
  --dest-key-file /path/to/clientKey.pem \
  --dest-ca-cert-file /path/to/serverCACerts.pem
```

인증서가 만료되기 전에 기존 인증 인증서를 새 인증서로 대체하여 인증서를 순환시키십시오. 지정하신 인증서만 교체됩니다.

ibmcloud sat endpoint authn rotate \
  --location ID \
  --endpoint myEndpoint \
  --dest-cert-file /path/to/clientCertificate.pem \
  --dest-key-file /path/to/clientKey.pem \
  --dest-ca-cert-file /path/to/serverCACerts.pem

소스와 Satellite Link 서비스 간의 상호 인증

HTTP 서버에 대한 HTTPS 엔드포인트를 만듭니다.

ibmcloud sat endpoint create \
  --location ID \
  --name myEndpoint \
  --dest-hostname example.com \
  --dest-port 80 \
  --dest-protocol TCP \
  --source-protocol HTTPS \
  --dest-type cloud

소스와 Satellite Link 서비스 간의 상호 TLS 를 구성합니다.

이 예에서는 Satellite Link 서비스가 소스를 인증하기 위한 서버 인증서와 소스의 클라이언트 인증서의 유효성을 검사하기 위한 신뢰할 수 있는 CA의 인증서를 제공합니다.
```
ibmcloud sat endpoint authn set \
  --location ID \
  --endpoint myEndpoint \
  --source-tls-mode mutual \
  --source-cert-file /path/to/serverCertificate.pem \
  --source-key-file /path/to/serverKey.pem \
  --source-ca-cert-file /path/to/clientCACerts.pem
```

인증서가 만료되기 전에 기존 인증 인증서를 새 인증서로 대체하여 인증서를 순환시키십시오. 지정하신 인증서만 교체됩니다.

ibmcloud sat endpoint authn rotate \
  --location ID \
  --endpoint myEndpoint \
  --source-cert-file /path/to/serverCertificate.pem \
  --source-key-file /path/to/serverKey.pem \
  --source-ca-cert-file /path/to/clientCACerts.pem

소스 및 대상 모두에서 상호 인증

HTTPS 서버에 대한 HTTPS 엔드포인트를 만듭니다.

ibmcloud sat endpoint create \
  --location ID \
  --name myEndpoint \
  --dest-hostname example.com \
  --dest-port 443 \
  --source-protocol HTTPS \
  --dest-type location

소스 서버와 대상 서버 모두와 상호 TLS 인증을 구성하십시오.

이 예에서는 원본과 Satellite Link 서비스 간은 물론 Satellite Link 서비스와 대상 서버 간에도 상호 인증이 가능합니다.

ibmcloud sat endpoint authn set \
  --location ID \
  --endpoint myEndpoint \
  --source-tls-mode mutual \
  --source-ca-cert-file /path/to/clientCACerts.pem \
  --dest-tls-mode mutual \
  --dest-cert-file /path/to/clientCertificate.pem \
  --dest-key-file /path/to/clientKey.pem \
  --dest-ca-cert-file /path/to/serverCACerts.pem

인증서가 만료되기 전에 기존 인증 인증서를 새 인증서로 대체하여 인증서를 순환시키십시오. 지정하신 인증서만 교체됩니다.

ibmcloud sat endpoint authn rotate \
  --location ID \
  --endpoint myEndpoint \
  --source-ca-cert-file /path/to/clientCACerts.pem \
  --dest-cert-file /path/to/clientCertificate.pem \
  --dest-key-file /path/to/clientKey.pem \
  --dest-ca-cert-file /path/to/serverCACerts.pem

인증 설정 표시

ibmcloud sat endpoint authn get 명령은 엔드포인트에 대해 구성된 인증 설정을 표시하는 데 사용할 수 있습니다. 예를 들어, 다음 명령어를 사용하면 엔드포인트 myEndpoint 에 대해 현재 구성된 TLS 모드와 인증서를 확인할 수 있습니다.

ibmcloud sat endpoint authn get --location ID --endpoint myEndpoint

소스 및 대상 상호 인증 예시와 같이 myEndpoint 구성했다고 가정하면 이 명령은 다음과 유사한 출력을 생성합니다.

OK
Destination TLS Mode:          mutual
Destination Certificate:       /path/to/clientCertificate.pem
Destination Key:               /path/to/clientKey.pem
Destination CA Certificates:   /path/to/serverCACerts.pem
Source TLS Mode:               mutual
Source Certificate:            -
Source Key:                    -
Source CA Certificates:        /path/to/clientCACerts.pem

인증서 제거

ibmcloud sat endpoint authn set 명령은 하나 이상의 기존 인증서를 제거하는 데 사용할 수 있습니다. set 명령은 명령의 옵션에 지정된 인증서를 제외한 모든 인증서를 제거합니다. 예를 들어 다음 명령은 엔드포인트 myEndpoint 에 대해 현재 구성된 모든 인증서를 제거합니다.

ibmcloud sat endpoint authn set --location ID --endpoint myEndpoint

다른 인증서는 변경하지 않고 일부 인증서만 제거하려는 경우, 다른 인증서의 현재 값으로 옵션을 전달해야 합니다. 예를 들어 다음 명령을 사용하여 현재 설정되어 있는 source 인증서를 제거하고 dest 인증서는 변경하지 않을 수 있습니다.

ibmcloud sat endpoint authn set \
  --location ID \
  --endpoint myEndpoint \
  --dest-tls-mode mutual \
  --dest-cert-file /path/to/current/clientCertificate.pem \
  --dest-key-file /path/to/current/clientKey.pem \
  --dest-ca-cert-file /path/to/current/serverCACerts.pem