9장. AWS STS 없이 ROSA 배포

9.1. ROSA의 AWS 사전 요구 사항

Red Hat OpenShift Service on AWS(ROSA)는 Red Hat이 고객의 기존 AWS(Amazon Web Service) 계정에 클러스터를 배포할 수 있는 모델을 제공합니다.

ROSA를 설치하기 전에 사전 요구 사항이 충족되었는지 확인해야 합니다. 이 요구 사항 문서는 AWS STS(Security Token Service)에는 적용되지 않습니다. STS를 사용하는 경우 STS별 요구 사항을 참조하십시오.

작은 정보

AWS STS(Security Token Service)는 강화된 보안을 제공하기 때문에 AWS의 Red Hat OpenShift Service on AWS(ROSA)에 클러스터를 설치하고 상호 작용하는 데 권장되는 인증 정보 모드입니다.

9.1.1. 배포 사전 요구 사항

Red Hat OpenShift Service on AWS (ROSA)를 기존 AWS(Amazon Web Services) 계정에 배포하려면 Red Hat에서 몇 가지 사전 요구 사항을 충족해야 합니다.

Red Hat은 AWS 조직을 사용하여 여러 AWS 계정을 관리할 것을 권장합니다. 고객이 관리하는 AWS 조직은 여러 AWS 계정을 호스팅합니다. 조직에는 모든 계정이 계정 계층에서 참조할 루트 계정이 있습니다.

ROSA 클러스터를 AWS 조직 단위 내의 AWS 계정에서 호스팅하는 것이 모범 사례입니다. AWS 하위 계정에서 액세스할 수 있는 서비스를 관리하는 AWS Organizational Unit에 SCP(서비스 제어 정책)가 생성되고 적용됩니다. SCP는 조직 단위 내의 모든 AWS 하위 계정에 대해 단일 AWS 계정 내에서 사용 가능한 권한에만 적용됩니다. SCP를 단일 AWS 계정에 적용할 수도 있습니다. 고객의 AWS 조직의 다른 모든 계정은 고객이 요구하는 방식으로 관리합니다. Red Hat 사이트 안정성 엔지니어(SRE)는 AWS 조직 내에서 SCP를 제어할 수 없습니다.

9.1.2. 고객 요구 사항

Red Hat OpenShift Service on AWS (ROSA) 클러스터는 배포하기 전에 몇 가지 사전 요구 사항을 충족해야 합니다.

참고

클러스터를 생성하려면 사용자가 가정된 역할 또는 STS 사용자가 아닌 IAM 사용자로 로그인해야 합니다.

9.1.2.1. 계정

  • 고객은 AWS 제한이 고객의 AWS 계정 내에서 프로비저닝된 AWS에서 Red Hat OpenShift Service를 지원하기에 충분합니다.

  • 고객의 AWS 계정은 해당 SCP(서비스 제어 정책)가 적용된 고객의 AWS 조직에 있어야 합니다.

    참고

    고객의 계정이 AWS 조직 내에 있거나 SCP를 적용할 필요는 없지만 Red Hat은 제한 없이 SCP에 나열된 모든 조치를 수행할 수 있어야 합니다.

  • 고객의 AWS 계정은 Red Hat으로 이전할 수 없습니다.
  • 고객은 Red Hat 활동에 AWS 사용 제한을 적용하지 않을 수 있습니다. 제한 사항을 부과하면 Red Hat의 사고 대응 능력을 크게 방해할 수 있습니다.

  • 고객은 동일한 AWS 계정 내에 기본 AWS 서비스를 배포할 수 있습니다.

    참고

    고객은 AWS 및 기타 Red Hat 지원 서비스에 Red Hat OpenShift Service를 호스팅하는 VPC와 별도로 VPC(Virtual Private Cloud)에 리소스를 배포하는 것이 좋지만 필수는 아닙니다.

9.1.2.2. 액세스 요구 사항

  • AWS에서 Red Hat OpenShift Service를 적절하게 관리하려면 Red Hat은 관리자 역할에 항상 AdministratorAccess 정책을 적용해야 합니다. 이 요구 사항은 AWS STS(Security Token Service)를 사용하는 경우에는 적용되지 않습니다.

    참고

    이 정책은 고객이 제공하는 AWS 계정의 리소스를 변경할 수 있는 권한 및 기능만 Red Hat에 제공합니다.

  • Red Hat은 고객이 제공하는 AWS 계정에 대한 AWS 콘솔 액세스 권한이 있어야 합니다. 이 액세스는 Red Hat에서 보호 및 관리합니다.
  • 고객은 AWS 계정을 사용하여 AWS 클러스터의 Red Hat OpenShift Service 내에서 권한을 강화해서는 안 됩니다.
  • rosa CLI 유틸리티 또는 OpenShift Cluster Manager Hybrid Cloud Console 에서 사용할 수 있는 작업은 고객의 AWS 계정에서 직접 수행할 수 없습니다.

9.1.2.3. 지원 요구사항

  • Red Hat은 고객이 최소한 AWS의 비즈니스 지원을 받을 것을 권장합니다.
  • Red Hat은 고객으로부터 AWS 지원을 요청할 권한을 갖습니다.
  • Red Hat은 고객 계정의 AWS 리소스 제한을 요청할 권한이 있습니다.
  • Red Hat은 이 요구 사항 섹션에 달리 지정하지 않는 한 AWS 클러스터의 모든 Red Hat OpenShift Service의 제한 사항, 제한 사항, 기대치 및 기본값을 동일한 방식으로 관리합니다.

9.1.2.4. 보안 요구사항

  • 볼륨 스냅샷은 고객의 AWS 계정 및 고객 지정 리전 내에 유지됩니다.
  • Red Hat은 허용된 IP 주소에서 EC2 호스트 및 API 서버에 대한 수신 액세스 권한이 있어야 합니다.
  • Red Hat은 시스템 및 감사 로그를 Red Hat 관리 중앙 로깅 스택으로 전달할 수 있는 송신이 있어야 합니다.

9.1.3. 필요한 고객 절차

ROSA(Red Hat OpenShift Service on AWS)를 배포하기 전에 다음 단계를 완료합니다.

절차

  1. 고객이 AWS 조직을 사용하는 경우 조직 내에서 AWS 계정을 사용하거나 새 조직을 생성해야 합니다.
  2. Red Hat이 필요한 작업을 수행할 수 있도록 하려면 SCP(서비스 제어 정책)를 생성하거나 AWS 계정에 적용되지 않았는지 확인해야 합니다.
  3. AWS 계정에 SCP를 연결합니다.
  4. 환경 설정에 대한 ROSA 절차를 따르십시오.

9.1.3.1. SCP(서비스 제어 정책)에 대한 최소 유효 권한 세트

SCP(서비스 제어 정책)는 조직 내의 권한을 관리하는 조직 정책의 유형입니다. SCP는 조직 내의 계정이 정의된 액세스 제어 지침에 따라 유지되도록 합니다. 이러한 정책은 AWS 조직에서 유지 관리되며 연결된 AWS 계정 내에서 사용 가능한 서비스를 제어합니다. SCP 관리는 고객의 책임입니다.

참고

AWS STS(Security Token Service)를 사용할 때는 최소 SCP 요구 사항이 적용되지 않습니다. STS에 대한 자세한 내용은 STS를 사용하는 ROSA의 AWS 사전 요구 사항을 참조하십시오.

SCP(서비스 제어 정책)에서 이러한 필수 권한을 제한하지 않는지 확인합니다.

 Service작업효과

필수 항목

Amazon EC2

All

허용

Amazon EC2 Auto Scaling

All

허용

Amazon S3

All

허용

ID 및 액세스 관리

All

허용

Elastic Load Balancing

All

허용

Elastic Load Balancing V2

All

허용

Amazon CloudWatch

All

허용

Amazon CloudWatch Events

All

허용

Amazon CloudWatch Logs

All

허용

AWS 지원

All

허용

AWS 키 관리 서비스

All

허용

AWS 보안 토큰 서비스

All

허용

AWS Marketplace

Subscription

구독 취소

서브스크립션 보기

허용

AWS 리소스 태그

All

허용

AWS Route53 DNS

All

허용

AWS 서비스 할당량

ListServices

GetRequestedServiceQuotaChange

GetServiceQuota

RequestServiceQuotaIncrease

ListServiceQuotas

허용

선택 사항

AWS billinging

ViewAccount

Viewbilling

ViewUsage

허용

AWS Cost and Usage Report

All

허용

AWS Cost Explorer Services

All

허용

추가 리소스

9.1.4. AWS에 대한 Red Hat 관리 IAM 참조

Red Hat은 IAM 정책, IAM 사용자 및 IAM 역할 등 AWS(Amazon Web Services) 리소스를 생성하고 관리합니다.

9.1.4.1. IAM 정책

참고

IAM 정책은 AWS에서 Red Hat OpenShift Service 기능 변경으로 변경될 수 있습니다.

  • AdministratorAccess 정책은 관리 역할에서 사용합니다. 이 정책은 Red Hat에 고객의 AWS 계정에서 ROSA(Red Hat OpenShift Service on AWS) 클러스터를 관리하는 데 필요한 액세스 권한을 제공합니다. 

    {
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": "*",
            "Resource": "*",
            "Effect": "Allow"
        }
    ]
}

9.1.4.2. IAM 사용자

osdManagedAdmin 사용자는 ROSA를 고객의 AWS 계정에 설치한 직후 생성됩니다.

9.1.5. 프로비저닝된 AWS 인프라

이는 배포된 Red Hat OpenShift Service on AWS(ROSA) 클러스터에 프로비저닝된 AWS(Amazon Web Services) 구성 요소에 대한 개요입니다. 프로비저닝된 모든 AWS 구성 요소의 자세한 목록은 OpenShift Container Platform 설명서 를 참조하십시오.

9.1.5.1. EC2 인스턴스

AWS EC2 인스턴스는 AWS 퍼블릭 클라우드에 ROSA의 컨트롤 플레인 및 데이터 플레인 기능을 배포하는 데 필요합니다.

인스턴스 유형은 작업자 노드 수에 따라 컨트롤 플레인 및 인프라 노드에 따라 다를 수 있습니다. 최소한 다음 EC2 인스턴스가 배포됩니다.

  • 3개의 m5.2xlarge 컨트롤 플레인 노드
  • r5.xlarge 인프라 노드 2개
  • 2개의 m5.xlarge 사용자 정의 작업자 노드

작업자 노드 수에 대한 자세한 내용은 이 페이지의 "ECDHE 리소스" 섹션에 나열된 "Limits and scalability" 주제의 초기 계획 고려 사항에 대한 정보를 참조하십시오.

9.1.5.2. AWS EBS(Elastic Block Store) 스토리지

Amazon EBS 블록 스토리지는 로컬 노드 스토리지 및 영구 볼륨 스토리지 모두에 사용됩니다.

각 EC2 인스턴스의 볼륨 요구 사항:

  • 컨트롤 플레인 볼륨

    • 크기: 350GB
    • 유형: io1
    • 초당 입력/출력 작업: 1000개

  • 인프라 볼륨

    • 크기: 300GB
    • 유형: gp3
    • 초당 입력/출력 작업: 900

  • 작업자 볼륨

    • 크기: 300GB
    • 유형: gp3
    • 초당 입력/출력 작업: 900
참고

OpenShift Container Platform 4.11 릴리스 전에 배포된 클러스터는 기본적으로 gp2 유형 스토리지를 사용합니다.

9.1.5.3. Elastic Load Balancing

API용 최대 두 개의 NLB(Network Load Balancer)와 애플리케이션 라우터용 최대 2개의 클래식 로드 밸런서(CLB)입니다. 자세한 내용은 AWS에 대한 ELB 설명서를 참조하십시오.

9.1.5.4. S3 스토리지

이미지 레지스트리는 AWS S3 스토리지에서 지원합니다. 리소스 정리는 S3 사용량 및 클러스터 성능을 최적화하기 위해 정기적으로 수행됩니다.

참고

일반적인 크기가 2TB인 경우 각각 두 개의 버킷이 필요합니다.

9.1.5.5. VPC

고객은 클러스터당 하나의 VPC를 확인해야 합니다. 또한 VPC에는 다음 구성이 필요합니다.

  • 서브넷: 단일 가용성 영역이 있는 클러스터의 두 서브넷 또는 여러 가용성 영역이 있는 클러스터의 경우 6개의 서브넷입니다.

    참고

    공용 서브넷 은 인터넷 게이트웨이를 통해 인터넷에 직접 연결됩니다. 사설 서브넷 은 NAT(네트워크 주소 변환) 게이트웨이를 통해 인터넷에 연결됩니다.

  • 라우팅 테이블: 프라이빗 서브넷당 하나의 라우팅 테이블과 클러스터당 하나의 추가 테이블입니다.
  • 인터넷 게이트웨이: 클러스터당 하나의 인터넷 게이트웨이.
  • NAT 게이트웨이: 퍼블릭 서브넷당 하나의 NAT 게이트웨이.
9.1.5.5.1. 샘플 VPC 아키텍처
VPC 참조 아키텍처

9.1.5.6. 보안 그룹

AWS 보안 그룹은 프로토콜 및 포트 액세스 수준의 보안을 제공하며 EC2 인스턴스 및 Elastic Load Balancer와 연결됩니다. 각 보안 그룹에는 EC2 인스턴스가 들어오고 나가는 트래픽을 필터링하는 규칙 세트가 포함되어 있습니다. 네트워크에서 OpenShift 설치에 필요한 포트가 열려 있고 호스트 간 액세스를 허용하도록 구성되어 있는지 확인해야 합니다.

그룹유형IP 프로토콜포트 범위

MasterSecurityGroup

AWS::EC2::SecurityGroup

icmp

0

tcp

22

tcp

6443

tcp

22623

WorkerSecurityGroup

AWS::EC2::SecurityGroup

icmp

0

tcp

22

BootstrapSecurityGroup

AWS::EC2::SecurityGroup

tcp

22

tcp

19531

9.1.7. 다음 단계

9.1.8. 추가 리소스