쿠버네티스 창시자에게 배우는 모범 사례 2판

358

쿠버네티스 창시자에게 배우는 모범 사례 2판

같은 장치다. 요청을 어떻게 저장하고 조작하는지 유저는 내부를 들여다볼 수 없다. 어드미

션 웹훅에 어떤 요청 페이로드를 실어 보낼지 신중하게 생각하자. 쿠버네티스 시크릿이나 컨

피그맵에는 민감한 정보가 담겨 있을 가능성이 높기 때문에 정보를 저장, 공유할 때 확실한

안전 장치가 필요하다. 이런 리소스를 어드미션 웹훅과 공유하면 그 과정에서 민감 정보가

유출될 수 있으므로, 리소스 규칙의 범위를 유효성 검사/변형에 필요한 최소한의 리소스로

제한하는 것이 좋다.

17.2

인가

인가란 “이 유저가 어느 리소스에 무슨 일을 할 수 있는가?”하는 질문에 대한 답변이다. 쿠버

네티스에서 각 요청에 대한 인가는 인증 이후, 그리고 어드미션 이전에 처리된다. 이 절에서

는 다양한 인가 모듈을 구성하는 방법과 클러스터 요건에 가장 잘 맞는 정책을 생성하는 방법

을 설명한다.

[그림

17

.

3

]은 전체 요청 흐름에서 인가가 위치한 지점을 나타낸 것이다.

그림

17.3

인가 모듈을 통한

API

요청 흐름

API

서버

API

요청

인증/인가

변형

어드미션

웹훅 웹훅

스키마

검사

검사

어드미션

etcd

어드미션 리뷰 어드미션 리뷰어드미션 응답 어드미션 응답