19.5. Amazon Web Services 보안 토큰 서비스에서 수동 모드 사용

절차

1. 클러스터의 OpenID Connect 공급자를 설정하는 데 사용되는 공개 및 개인 RSA 키 파일을 생성합니다.

   $ ccoctl aws create-key-pair

   출력 예:

   2021/04/13 11:01:02 Generating RSA keypair
   2021/04/13 11:01:03 Writing private key to /<path_to_ccoctl_output_dir>/serviceaccount-signer.private
   2021/04/13 11:01:03 Writing public key to /<path_to_ccoctl_output_dir>/serviceaccount-signer.public
   2021/04/13 11:01:03 Copying signing key for use by installer

   여기서 serviceaccount-signer.private 및 serviceaccount-signer.public은 생성된 키 파일입니다.

   이 명령은 /< path_to_ccoctl_output_dir>/tls/bound-service-account-signing-key.key 에 설치하는 동안 클러스터에 필요한 개인 키도 생성합니다.

2. AWS에서 OpenID Connect ID 공급자 및 S3 버킷을 생성합니다.

   $ ccoctl aws create-identity-provider \
   --name=<name> \
   --region=<aws_region> \
   --public-key-file=<path_to_ccoctl_output_dir>/serviceaccount-signer.public

   다음과 같습니다.

   • <name >은 추적을 위해 생성된 클라우드 리소스를 태그하는 데 사용되는 이름입니다.
   • <AWS-region >은 클라우드 리소스를 생성할 AWS 리전입니다.
   • <path_to_ccoctl_output_dir >은 ccoctl aws create-key-pair 명령이 생성된 공개 키 파일의 경로입니다.

   출력 예:

   2021/04/13 11:16:09 Bucket <name>-oidc created
   2021/04/13 11:16:10 OpenID Connect discovery document in the S3 bucket <name>-oidc at .well-known/openid-configuration updated
   2021/04/13 11:16:10 Reading public key
   2021/04/13 11:16:10 JSON web key set (JWKS) in the S3 bucket <name>-oidc at keys.json updated
   2021/04/13 11:16:18 Identity Provider created with ARN: arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

   여기서 openid-configuration 은 검색 문서이고 keys.json 은 JSON 웹 키 세트 파일입니다.

   또한 이 명령은 /<path_to_ccoctl_output_dir>/manifests/cluster-authentication-02-config.yaml 에 YAML 구성 파일을 생성합니다. 이 파일은 AWS IAM ID 공급자가 토큰을 신뢰하도록 클러스터가 생성하는 서비스 계정 토큰의 발급자 URL 필드를 설정합니다.

3. 클러스터의 각 구성 요소에 대한 IAM 역할을 생성합니다.

   1. OpenShift Container Platform 릴리스 이미지에서 CredentialsRequest 오브젝트 목록을 추출합니다.

      $ oc adm release extract --credentials-requests \
      --cloud=aws \
      --to=<path_to_directory_with_list_of_credentials_requests>/credrequests 1
      --from=quay.io/<path_to>/ocp-release:<version>

      1

      credrequests 는 CredentialsRequest 오브젝트 목록이 저장되는 디렉터리입니다. 이 명령은 디렉터리가 없는 경우 해당 디렉터리를 생성합니다.

   2. 클러스터에서 클러스터 기능을 사용하여 하나 이상의 선택적 구성 요소를 비활성화하는 경우 비활성화된 구성 요소에 대한 CredentialsRequest 사용자 정의 리소스를 삭제합니다.

      AWS의 OpenShift Container Platform 4.12의 credrequests 디렉터리 내용 예

      0000_30_machine-api-operator_00_credentials-request.yaml 1
      0000_50_cloud-credential-operator_05-iam-ro-credentialsrequest.yaml 2
      0000_50_cluster-image-registry-operator_01-registry-credentials-request.yaml 3
      0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 4
      0000_50_cluster-network-operator_02-cncc-credentials.yaml 5
      0000_50_cluster-storage-operator_03_credentials_request_aws.yaml 6

      1

      Machine API Operator CR이 필요합니다.

      2

      Cloud Credential Operator CR이 필요합니다.

      3

      Image Registry Operator CR이 필요합니다.

      4

      Ingress Operator CR이 필요합니다.

      5

      Network Operator CR이 필요합니다.

      6

      Storage Operator CR은 선택적 구성 요소이며 클러스터에서 비활성화될 수 있습니다.

   3. ccoctl 툴을 사용하여 redrequests 디렉터리의 모든 CredentialsRequest 오브젝트를 처리합니다.

      $ ccoctl aws create-iam-roles \
      --name=<name> \
      --region=<aws_region> \
      --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \
      --identity-provider-arn=arn:aws:iam::<aws_account_id>:oidc-provider/<name>-oidc.s3.<aws_region>.amazonaws.com

      참고

      GovCloud와 같은 대체 IAM API 끝점을 사용하는 AWS 환경의 경우 --region 매개변수를 사용하여 리전을 지정해야 합니다.

      클러스터에서 TechPreviewNoUpgrade 기능 세트를 통해 활성화된 기술 프리뷰 기능을 사용하는 경우 --enable-tech-preview 매개변수를 포함해야 합니다.

      각 CredentialsRequest 오브젝트에 대해 ccoctl 은 지정된 OIDC ID 공급자와 연결된 신뢰 정책과 OpenShift Container Platform 릴리스 이미지의 각 CredentialsRequest 오브젝트에 정의된 권한 정책을 사용하여 IAM 역할을 생성합니다.

절차

1. 다음 명령을 실행하여 OpenShift Container Platform 릴리스 이미지에서 CredentialsRequest 오브젝트 목록을 추출합니다.

   $ oc adm release extract \
   --credentials-requests \
   --cloud=aws \
   --to=<path_to_directory_with_list_of_credentials_requests>/credrequests \ 1
   --from=quay.io/<path_to>/ocp-release:<version>

   1

   credrequests 는 CredentialsRequest 오브젝트 목록이 저장되는 디렉터리입니다. 이 명령은 디렉터리가 없는 경우 해당 디렉터리를 생성합니다.

   참고

   이 명령을 실행하는 데 시간이 다소 걸릴 수 있습니다.

2. 클러스터에서 클러스터 기능을 사용하여 하나 이상의 선택적 구성 요소를 비활성화하는 경우 비활성화된 구성 요소에 대한 CredentialsRequest 사용자 정의 리소스를 삭제합니다.

   AWS의 OpenShift Container Platform 4.12의 credrequests 디렉터리 내용 예

   0000_30_machine-api-operator_00_credentials-request.yaml 1
   0000_50_cloud-credential-operator_05-iam-ro-credentialsrequest.yaml 2
   0000_50_cluster-image-registry-operator_01-registry-credentials-request.yaml 3
   0000_50_cluster-ingress-operator_00-ingress-credentials-request.yaml 4
   0000_50_cluster-network-operator_02-cncc-credentials.yaml 5
   0000_50_cluster-storage-operator_03_credentials_request_aws.yaml 6

   1

   Machine API Operator CR이 필요합니다.

   2

   Cloud Credential Operator CR이 필요합니다.

   3

   Image Registry Operator CR이 필요합니다.

   4

   Ingress Operator CR이 필요합니다.

   5

   Network Operator CR이 필요합니다.

   6

   Storage Operator CR은 선택적 구성 요소이며 클러스터에서 비활성화될 수 있습니다.

3. ccoctl 툴을 사용하여 redrequests 디렉터리의 모든 CredentialsRequest 오브젝트를 처리합니다.

   $ ccoctl aws create-all \
     --name=<name> \1
     --region=<aws_region> \2
     --credentials-requests-dir=<path_to_directory_with_list_of_credentials_requests>/credrequests \3
     --output-dir=<path_to_ccoctl_output_dir> \4
     --create-private-s3-bucket 5

   1

   추적을 위해 생성된 클라우드 리소스를 태그하는 데 사용되는 이름을 지정합니다.

   2

   클라우드 리소스를 생성할 AWS 리전을 지정합니다.

   3

   구성 요소 CredentialsRequest 개체에 대한 파일이 포함된 디렉터리를 지정합니다.

   4

   선택 사항: ccoctl 유틸리티에서 오브젝트를 생성할 디렉터리를 지정합니다. 기본적으로 유틸리티는 명령이 실행되는 디렉터리에 오브젝트를 생성합니다.

   5

   선택 사항: 기본적으로 ccoctl 유틸리티는 OpenID Connect(OIDC) 구성 파일을 공용 S3 버킷에 저장하고 S3 URL을 공용 OIDC 엔드포인트로 사용합니다. 대신 공용 CloudFront 배포 URL을 통해 IAM ID 공급자가 액세스하는 프라이빗 S3 버킷에 OIDC 구성을 저장하려면 --create-private-s3-bucket 매개변수를 사용합니다.

   참고

   클러스터에서 TechPreviewNoUpgrade 기능 세트를 통해 활성화된 기술 프리뷰 기능을 사용하는 경우 --enable-tech-preview 매개변수를 포함해야 합니다.