1.13. 보안

절차

1. 웹 콘솔에 로그인합니다.
3. Operators → 설치된 Operators를 클릭합니다.
4. 제공된 API에서 Service Mesh Control Plane을 클릭합니다.
5. ServiceMeshControlPlane 리소스의 이름(예: production)을 클릭합니다.
6. 세부 정보 페이지에서 데이터 플레인 보안의 보안 섹션에서 토글을 클릭합니다.

2. $ oc create secret generic cacerts -n istio-system --from-file=<path>/ca-cert.pem \
       --from-file=<path>/ca-key.pem --from-file=<path>/root-cert.pem \
       --from-file=<path>/cert-chain.pem

3. 기본 rootCADir는 /etc/cacerts입니다. 키와 인증서가 기본 위치에 마운트된 경우 privateKey를 설정할 필요가 없습니다. 서비스 메시는 secret-mount 파일에서 인증서와 키를 읽습니다.

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true
       certificateAuthority:
         type: Istiod
         istiod:
           type: PrivateKey
           privateKey:
             rootCADir: /etc/cacerts

4. $ oc -n istio-system delete pods -l 'app in (istiod,istio-ingressgateway, istio-egressgateway)'

5. $ oc -n bookinfo delete pods --all

   출력은 다음과 유사합니다.

   pod "details-v1-6cd699df8c-j54nh" deleted
   pod "productpage-v1-5ddcb4b84f-mtmf2" deleted
   pod "ratings-v1-bdbcc68bc-kmng4" deleted
   pod "reviews-v1-754ddd7b6f-lqhsv" deleted
   pod "reviews-v2-675679877f-q67r2" deleted
   pod "reviews-v3-79d7549c7-c2gjs" deleted

6. $ oc get pods -n bookinfo

1. $ sleep 60
   $ oc -n bookinfo exec "$(oc -n bookinfo get pod -l app=productpage -o jsonpath={.items..metadata.name})" -c istio-proxy -- openssl s_client -showcerts -connect details:9080 > bookinfo-proxy-cert.txt
   $ sed -n '/-----BEGIN CERTIFICATE-----/{:start /-----END CERTIFICATE-----/!{N;b start};/.*/p}' bookinfo-proxy-cert.txt > certs.pem
   $ awk 'BEGIN {counter=0;} /BEGIN CERT/{counter++} { print > "proxy-cert-" counter ".pem"}' < certs.pem

2. <path>를 인증서 경로로 교체합니다.

   $ openssl x509 -in <path>/root-cert.pem -text -noout > /tmp/root-cert.crt.txt

   $ openssl x509 -in ./proxy-cert-3.pem -text -noout > /tmp/pod-root-cert.crt.txt

   $ diff -s /tmp/root-cert.crt.txt /tmp/pod-root-cert.crt.txt

3. <path>를 인증서 경로로 교체합니다.

   $ openssl x509 -in <path>/ca-cert.pem -text -noout > /tmp/ca-cert.crt.txt

   $ openssl x509 -in ./proxy-cert-2.pem -text -noout > /tmp/pod-cert-chain-ca.crt.txt

   $ diff -s /tmp/ca-cert.crt.txt /tmp/pod-cert-chain-ca.crt.txt

4. 루트 인증서에서 워크로드 인증서로의 인증서 체인을 확인합니다. <path>를 인증서 경로로 교체합니다.

   $ openssl verify -CAfile <(cat <path>/ca-cert.pem <path>/root-cert.pem) ./proxy-cert-1.pem

1. 시크릿 cacerts를 제거합니다.

   $ oc delete secret cacerts -n istio-system

2. ServiceMeshControlPlane 리소스에서 자체 서명된 루트 인증서로 서비스 메시를 재배포합니다.

   apiVersion: maistra.io/v2
   kind: ServiceMeshControlPlane
   spec:
     security:
       dataPlane:
         mtls: true