4.2. 영구 볼륨 암호화를 위한 스토리지 클래스 생성

절차

1. 스토리지 → 스토리지 클래스로 이동합니다.
2. 스토리지 클래스 생성을 클릭합니다.
3. 스토리지 클래스 Name (이름) 및 Description (설명)을 입력합니다.
4. 회수 정책에 대해 삭제 또는 유지를 선택합니다. 기본적으로 삭제가 선택됩니다.
5. 영구 볼륨을 프로비저닝하는 데 사용되는 플러그인인 RBD Provisioner openshift-storage.rbd.csi.ceph.com 을 선택합니다.
6. 볼륨 데이터 가 목록에서 저장될 스토리지 풀을 선택하거나 새 풀을 생성합니다.

7. Enable Encryption 확인란을 선택합니다.

   1. Key Management Service Provider 는 기본적으로 Vault로 설정됩니다.
   2. Vault Service Name, host Address of Vault server(https://<hostname 또는 ip>'), Port number 를 입력합니다.

   3. 고급 설정을 확장하여 Vault 구성에 따라 추가 설정 및 인증서 세부 정보를 입력합니다.

      1. OpenShift Container Storage 전용 이고 고유한 백엔드 경로에 키 값 시크릿 경로를 입력합니다.
      2. (선택 사항) TLS 서버 이름과 Vault Enterprise 네임 스페이스를 입력합니다.
      3. 각 PEM 인코딩 인증서 파일을 업로드하여 CA 인증서, 클라이언트 인증서 및 클라이언트 개인 키를 제공합니다.
      4. 저장을 클릭합니다.
   4. 연결을 클릭합니다.
8. 외부 키 관리 서비스 연결 세부 정보를 검토합니다. 정보를 수정하려면 연결 세부 정보 변경을 클릭하고 필드를 편집합니다.
9. 생성을 클릭합니다.

10. Hashicorp Vault 설정에서 백엔드 경로에서 사용하는 Key/Value(KV) 시크릿 엔진 API 버전의 자동 탐지를 허용하지 않는 경우 configmap을 편집하여 VAULT_BACKEND 매개변수를 추가합니다.

    참고

    VAULT_BACKEND 는 configmap에 추가되어 백엔드 경로와 연결된 KV 시크릿 엔진 API 버전을 지정하는 선택적 매개변수입니다. 값이 백엔드 경로에 설정된 KV 시크릿 엔진 API 버전과 일치하는지 확인합니다. 그렇지 않으면 PVC(영구 볼륨 클레임) 생성 중에 실패할 수 있습니다.

    1. 새로 생성된 스토리지 클래스에서 사용 중인 encryptionKMSID 를 식별합니다.

       1. OpenShift 웹 콘솔에서 스토리지 → 스토리지 클래스로 이동합니다.
       2. 스토리지 클래스 이름 → YAML 탭을 클릭합니다.

       3. 스토리지 클래스에서 사용 중인 encryptionKMSID 를 캡처합니다.

          예제:

          encryptionKMSID: 1-vault

    2. OpenShift 웹 콘솔에서 워크로드 → ConfigMaps 로 이동합니다.
    3. KMS 연결 세부 정보를 보려면 click csi-kms-connection-details 를 클릭합니다.

    4. configmap을 편집합니다.

       1. 작업 메뉴 (TI) → ConfigMap 편집을 클릭합니다.

       2. 이전에 식별된 encryptionKMSID 에 대해 구성된 백엔드에 따라 VAULT_BACKEND 매개변수를 추가합니다.

          KV 시크릿 엔진 API용 kv, KV 시크릿 엔진 API 버전 1 및 kv-v2 를 VAULT_BACKEND 매개변수로 지정할 수 있습니다.

          예제:

          kind: ConfigMap
          apiVersion: v1
          metadata:
            name: csi-kms-connection-details
          [...]
          data:
            1-vault: >-
          
              {
                "KMS_PROVIDER": "vaulttokens",
                "KMS_SERVICE_NAME": "vault",
                [...]
                "VAULT_BACKEND": "kv-v2"
              }

       3. 저장을 클릭합니다.