OpenShift 운영

4장. 보안

이 작품은 AI를 사용하여 번역되었습니다. 여러분의 피드백과 의견을 환영합니다: [e-mail]

릭 라코우

보안은 엄청나게 광범위한 분야이며 그 자체로 여러 권의 책이 필요할 수 있습니다. 사실, 이미 Kubernetes 보안에 관한 훌륭한 책들이 많이 있습니다. 그러나 보안을 염두에 두지 않고 OpenShift 클러스터를 운영할 수는 없습니다. 보안 관련 작업에서 실수로 인한 비용은 클러스터 운영의 다른 대부분의 영역보다 높습니다. 최근 데이터 유출 및 해킹으로 인해 기업들은수억 달러의 비용을 지불했으며, 이는 아직 발견되지 않은 잠재적인 문제를 제외하고도 마찬가지입니다.

이 장에서는 클러스터 및 워크로드 보안의 기본 개념을 다루며, 다른 장보다 추상적인 개념에 중점을 두고 구현보다는 개념에 초점을 맞춥니다.

클러스터 액세스

클러스터를 설정하면 kubeadmin 계정을 사용하여 클러스터에 액세스할 수 있지만, 클러스터를 사용하려는 모든 사람에게 비밀번호를 나눠주고 관리자가 되게 해야 하므로 안전하지 않고 확장성도 떨어집니다. 대신 사용자를 프로비저닝할 수 있는데, 가장 쉬운 방법인 CLI를 사용하여 직접 사용자를 만드는 것부터 시작해서 여러 가지 방법이 있습니다. 이 방법도 확장성이 좋지 않으므로 OpenShift 에서는 ID 공급자(IdP)의 도움을 받아 자동으로 사용자를 프로비저닝할 수 있는 기능을 제공합니다. 현재 OpenShift에서 사용할 수 있는 ID 공급자는 다음과 같습니다:

• HTPasswd
• 키스톤
• LDAP
• 기본 인증
• 요청 헤더
• GitHub
• GitLab
• Google
• OpenID 연결

구현 방식은 약간 다를 수 있지만 일반적으로 다음과 같은 단계를 거칩니다:

• ID 공급자를 사용하여 Oauth 앱 만들기

• OpenShift에 클라이언트 비밀 추가

• OpenShift에 클라이언트 ID 추가

• 선택적으로 OpenShift에 IdP 인스턴스에 대한 인증 기관(CA)을 추가합니다.

선택한 ID 공급업체를 통해 Oauth 앱을 만들면 클라이언트 ID와 클라이언트 비밀이 표시됩니다. 일반적으로 이 비밀번호는 다시 볼 수 없으므로 비밀번호 저장소에 저장하는 것이 좋으며, 그렇지 않으면 나중에 다시 생성해야 합니다.

이제 보유하고 있는 정보를 OpenShift 개체에 입력해야 합니다. 다음 명령을 사용하여 클라이언트 시크릿을 시크릿으로 설정합니다:

$ oc create secret generic github-client-secret \
--from-literal=clientSecret=superSecretClientSecret -n openshift-config
secret/github-client-secret created

이제 OpenShift에 액세스할 수 있으므로 필요한 사용자 지정 리소스를 만들 수 있으며, 예제 4-1과 같은 모양이 됩니다. 클라이언트 ID와 조직 및 팀도 입력해야 합니다. 이는 해당 조직 및 팀에 속한 사용자만 액세스 권한을 갖도록 하기 위한 ...