Red Hat OpenShift 인증서 회전

Red Hat OpenShift for VMware는 보안 목적으로 주기적으로 교체해야 하는 kubelet 클라이언트 인증서를 사용합니다. Red Hat OpenShift는 주로 로테이션 프로세스를 자동화하지만 CSR(인증서 서명 요청)에 대한 수동 승인이 필요합니다.따라서 만료된 인증서를 피하려면 Red Hat OpenShift 인증서 교체 일정을 이해하는 것이 중요합니다.

설치 중에 작성된 초기 인증서는 작성 후 24시간이 지나면 만료됩니다.IBM 의 자동화 프로세스( Red Hat OpenShift )를 설치하면 처음 30시간 동안 바스티온에서 스크립트를 실행하여 이 초기 로테이션을 위한 CSR 승인을 처리합니다.이 스크립트의 이름은 /root/approve-csr.sh이며 해당 로그 파일의 이름은 /root/approve-csr.log입니다.

스크립트가 정상적으로 실행되려면 초기 인증서 교체가 완료될 때까지 초기 kubeadmin 인증 정보가 동일해야 합니다. 처음 24시간 동안 kubeadmin 인증 정보를 변경하지 마십시오.인증 정보가 변경되면 초기 인증서 교체에 대한 CSR을 모니터하고 승인해야 합니다.자세한 내용은 머신에 대한 CSR 승인하기를 참조하세요.

첫 번째 인증서 로테이션이 완료될 때까지 Red Hat OpenShift 클러스터 가상 머신(VM) 또는 바스티온( VM )을 다시 시작하지 마세요.

초기 인증서 교체 후에는 30일마다 인증서가 갱신됩니다.모든 인증서 교체에 대해 CSR을 승인하는 프로세스를 설정해야 합니다.Red Hat® 에 따르면 CSR이 만료 기간의 80%에 도달하면 승인할 수 있으며, 이는 CSR의 유효 기간으로부터 약 25일이 지난 시점입니다.

CSR을 제때 승인하지 않아 인증서가 만료되는 경우, 만료된 컨트롤 플레인 인증서를 복구하여 Red Hat OpenShift 클러스터를 다시 작동시킬 수 있습니다. 자세한 내용은 만료된 컨트롤 플레인 인증서 복구하기를 참고하세요.

Red Hat OpenShift VM 크기 조정

1. SSH를 사용하여 bastion VM에 로그인하십시오.
2. root 사용자 되기: sudo -i
3. 대상 VM을 종료하십시오. ssh core@<vm-ip> sudo shutdown -h 0
4. VM의 전원이 꺼져 있으면 vCenter Server에서 VM 크기를 조정하십시오.
5. VM의 전원을 켜십시오.
6. Red Hat OpenShift 콘솔에서 컴퓨팅 > 노드로 이동하여 재시작한 VM 이 준비 상태가 될 때까지 기다립니다.
7. 모든 VM에 대해 이전 단계를 완료하십시오.

Red Hat OpenShift 바스티온에서 SSH 키 변경하기 VM

설치 중에 생성되는 SSH 키 쌍은 Red Hat OpenShift 바스티온 VM 에 있습니다.SSH 키 쌍의 위치는 Red Hat OpenShift 서비스 상세정보 페이지에 표시됩니다. 이 SSH 키는 비밀번호 없이도 bastion에서 SSH 로그인이 허용되도록 모든 클러스터에 설치되어 있습니다.

기존 키를 대체하도록 새 SSH 키 쌍을 생성하고 사용하는 것이 좋습니다.새로운 SSH 키 쌍을 생성하는 방법에 대한 자세한 내용은 Red Hat OpenShift 설치 후 SSH 키를 업데이트하는 방법을 참조하세요. bastion VM에서 명령을 실행해야 합니다. bastion에 로그인에 대한 자세한 정보는 bastion 세부사항을 참조하십시오.

더 많은 작업자로 Red Hat OpenShift 클러스터 확장하기

작업자 VM을 더 추가하여 Red Hat OpenShift 클러스터를 확장하려면 다음 단계를 완료하세요:

1. RHCOREOS 템플릿에서 VM 워커를 만듭니다:

   1. VM 이 다른 Red Hat OpenShift 작업자 VM과 동일한 네트워크에 연결되어 있는지 확인합니다.
   2. 구성 단계가 더 필요하므로 아직 VM 의 전원을 켜지 마세요.

2. 요새에서 일꾼 점화 파일을 준비합니다:

   1. bastion에 로그인에 대한 자세한 정보는 bastion 세부사항을 참조하십시오.
   2. bastion의 설치 디렉토리에서 worker.ign이라는 작업자 ignition 파일을 찾으십시오. base64 -w0 worker.ign > worker.ign.b64 명령을 사용하여 이 파일의 base64 버전을 작성하십시오. 다음 단계에서는 새로 만든 worker.ign.b64 파일의 콘텐츠를 사용합니다.

3. VM 속성을 설정합니다:

   1. 시작하기 전에 VM 의 전원을 끄세요. 그런 다음 구성 매개변수 창으로 이동하여 새 작업자 VM 를 선택한 다음 작업 > 설정 편집을 클릭합니다.
   2. 설정 편집 창에서 VM 옵션 탭을 클릭하십시오. 왼쪽에서 고급을 클릭하여 창에서 고급 섹션을 펼치십시오. 그 후 왼쪽의 구성 매개변수로 스크롤하십시오.구성 편집을 클릭합니다.
   3. 구성 매개변수 창에 VM에 대한 기존 매개변수의 긴 목록이 있을 수 있습니다. 값을 추가하려면 구성 매개변수 추가를 클릭하십시오. 이름 및 값으로 레이블 지정된 두 개의 비어 있는 필드가 사용자가 완성할 수 있도록 표시됩니다. 다음 3단계에 이 프로세스를 사용합니다.
   4. guestinfo.ignition.config.data 이라는 값을 생성하고 앞서 생성한 base64-encoded 점화 구성 파일 worker.ign.b64 의 내용으로 설정합니다.
   5. guestinfo.ignition.config.data.encoding 이라는 값을 생성하고 base64 문자열로 설정합니다.
   6. disk.EnableUUID 이라는 값을 생성하고 TRUE 문자열로 설정합니다.
   7. 새 매개변수를 생성한 후 확인를 두 번 클릭하여 열린 창을 닫습니다.

4. 작업자 VM에 대한 DHCP 바인딩을 작성하십시오.

   1. NSX-T™에 로그인하십시오.
   2. 네트워킹 > 세그먼트로 이동하십시오.
   3. ocp-internal 세그먼트를 편집하십시오.
   4. DHCP 정적 바인딩을 펼치고 설정을 클릭하여 정적 바인딩 설정 창을 여십시오.
   5. 기존 바인딩의 목록을 검토하고 다음에 사용 가능한 IP 주소를 적어 놓으십시오.
   6. 나중에 필요한 정보를 살펴보려면 기존 작업자 바인딩 중 하나를 검토하십시오. 게이트웨이 주소 및 DHCP 옵션을 적어 두십시오. DHCP 옵션을 보려면 DHCP 옵션 옆에 있는 설정을 클릭하십시오. 옵션 창의 DHCP 옵션 선택 목록에서 일반 옵션을 선택합니다. 설정된 옵션을 적어 놓으십시오.
   7. 정적 바인딩 설정 창으로 돌아가려면 검토 중인 기존 바인딩을 닫으십시오.
   8. IPV4 정적 바인딩 추가를 클릭하십시오. 이전에 적어 놓은 DHCP 옵션을 포함하여 새 작업자에 대한 세부사항을 작성하십시오.
   9. 완료되면 저장을 클릭하여 변경사항을 커미트하십시오.

5. 로드 밸런서 풀에 작업자를 추가하십시오.

   1. 네트워킹 > 로드 밸런서 > 서버 풀로 이동하십시오.
   2. 서버 풀 편집 ocp-apps.
   3. 편집 창의 구성원/그룹 아래에 있는 파란색 숫자 링크를 클릭하십시오. 기본값은 3입니다.
   4. 서버 풀 멤버 구성 창이 열리면 멤버 추가를 클릭하십시오.
   5. 새 작업자의 이름 및 IP 주소를 입력하십시오. 포트 번호를 공백으로 두십시오.
   6. 저장을 클릭한 다음 신청하기을 클릭합니다.

6. 새 작업자에 대한 DNS 레코드를 만듭니다:

   1. VCF for Classic - Automated 인스턴스의 AD NS 서버에 로그인합니다.
   2. DNS Manager를 사용하여 새로운 A 레코드를 해당 ocp 구역에 추가하십시오.A 레코드를 생성할 때 연결된 PTR 레코드 생성 옵션이 선택되어 있는지 확인합니다.

7. bastion에서 인증서 서명 요청(CSR)을 승인하십시오. 새 작업자를 프로비저닝하는 동안 바스티온에서 CSR을 승인해야 할 수도 있습니다:

   1. root 사용자로 배스티온에 로그인하고 배스티온 설치 디렉터리로 변경합니다. 자세한 내용은 보루 세부 정보 를 참조하세요.

   2. 명령을 실행하려면 먼저 Red Hat OpenShift 으로 인증해야 합니다:

      • 인증이 구성되어 있지 않고 기본 kubeadmin 계정 및 비밀번호를 사용하는 경우 export KUBECONFIG=auth/kubeconfig 명령을 실행하고 ./oc whoami 명령을 실행하여 사용자가 인증되었는지 확인하십시오.
      • 다른 백엔드 또는 사용자가 인증된 경우 Red Hat OpenShift 문서에 설명된 대로 해당 계정 중 하나를 사용하여 로그인합니다(예: ./oc login 명령 실행).

   3. ./oc get nodes를 실행하여 새 작업자를 확인하십시오.준비 상태가 아닌 경우 ./oc get csr 명령을 사용하여 보류 중인 CSR을 반복해서 확인한 다음 ./oc adm certificate approve <csr_name> 명령을 사용하여 CSR을 승인합니다.구성이 완료되고 새 워커가 준비 상태가 될 때까지 계속 확인합니다.

      새 워커가 준비 상태가 되면 Red Hat OpenShift 에서 사용할 수 있습니다.

8. VM 의 전원을 켭니다:

   • VM의 전원이 켜지면 VM을 모니터하여 문제점이 있는지 확인할 수 있습니다.VM이 IP 주소를 가져오면 ignition 파일을 처리한 후 로그인 프롬프트가 열립니다.

   • 로그인 프롬프트가 표시되면 여기에 콘솔 로그 메시지가 포함될 수 있습니다.필요한 경우 콘솔에서 Enter 키를 몇 번 누릅니다. 로그인 프롬프트가 표시되지만 콘솔 로그 메시지로 가려져 있는 경우 Enter 키를 눌러 로그인 프롬프트를 다시 표시합니다.

   • 로그인 프롬프트가 표시되지 않으면 다음과 같은 가능성이 있습니다:

     • VM이 IP 주소를 가져오지 않습니다. VM이 연결되어 있는 네트워크를 확인하십시오. 또한 DHCP 바인딩 설정을 확인하세요.
     • worker.ign.64 의 base64 값이 올바르지 않습니다. 일부 문자가 누락되었거나 추가 문자가 있을 수 있습니다. 해당 값을 확인하십시오.

     VM에 로그인 프롬프트가 표시되지 않아서 설정을 변경해야 하는 경우 VM의 전원을 끄고 필요한 설정을 변경한 후 다시 전원을 켜십시오.

Red Hat OpenShift 삭제 시 고려 사항 VMware

• VMware 을 위해 Red Hat OpenShift 을 삭제하기 전에 VMware 의 ocp 디렉터리에 생성한 모든 추가 VM을 제거해야 합니다. VMware Solutions 자동화는 Red Hat OpenShift 초기 설치 시 배포된 항목(VM, 스토리지 및 NSX)만 제거합니다. 설치 후 배포된 노드는 삭제되지 않습니다.
• VMware 용 Red Hat OpenShift 의 초기 배포 중에 생성된 VXLAN, DLR 및 엣지 게이트웨이가 삭제됩니다. VMware 에 대해 Red Hat OpenShift 을 제거하면 VXLAN에 배포한 VM의 연결이 끊어집니다.
• 클러스터에서 NFS 저장소를 사용하는 경우 Red Hat OpenShift 을 삭제하면 설치 중에 추가된 NFS 데이터 저장소가 삭제됩니다.
• vSAN 데이터스토어를 사용하는 경우, Red Hat OpenShift 을 제거하기 전에 더 이상 필요하지 않은 영구 볼륨을 모두 삭제하세요.삭제되지 않은 모든 볼륨은 Red Hat OpenShift 제거 후에도 vSAN 스토리지에 남아 있습니다.
• 서비스를 삭제하기 전에 이 서비스와 함께 배포된 모든 개인 가상 머신을 스토리지에서 제거해야 합니다. Red Hat OpenShift 주문 개인 가상 머신만 vSAN-based.