TLS 인증서 구성

이 섹션에서는 MongoDB 의 각 구성 요소에 대한 TLS 인증서 생성과 각 Kubernetes 클러스터에 Kubernetes 시크릿을 생성하여 적절한 Kubernetes Pod에 TLS 인증서를 안전하게 마운트하는 방법에 대한 지침 제공합니다.

아래에 설명된 프로세스에서는 Cert 관리자 를 사용하여 TLS 인증서를 생성합니다. 그러나 이는 독자적 가이드 이며 CertManager는 MongoDB 에서 지원되지 않습니다. 또한 CertManager는 Kubernetes 클러스터에 TLS 인증서를 추가할 수 있는 여러 방법 중 하나일 뿐입니다. 또한 자체 서명된 인증서는 조직 의 보안 요구 사항에 따라 프로덕션 배포에 적합하지 않을 수 있습니다. 공개적으로 신뢰할 수 있는 인증서가 필요한 경우 발급자 를 적절히 구성하거나 TLS 인증서를 직접 제공하세요. 자세히 학습 인증서 관리자 통합 설정을 참조하세요.

전제 조건

시작하기 전에 다음 작업을 수행합니다.

kubectl 설치.
Helm을 설치합니다.
GKE 클러스터 가이드에 설명된 대로 K8S_CLUSTER_*_CONTEXT_NAME 환경 변수를 설정합니다.

소스 코드

포함된 모든 소스 코드 MongoDB Kubernetes Operator 리포지토리 에서 찾을 수 있습니다.

절차

Helm 차트 리포지토리를 추가합니다.

1helm repo add jetstack https://charts.jetstack.io --force-update

Helm을 사용하여 cert-manager를 설치합니다.

1helm upgrade --install \2  cert-manager jetstack/cert-manager \3  --kube-context "${K8S_CLUSTER_0_CONTEXT_NAME}" \4  --namespace cert-manager \5  --create-namespace \6  --set crds.enabled=true

인증서 발급자를 만듭니다.

1kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF2apiVersion: cert-manager.io/v13kind: ClusterIssuer4metadata:5  name: selfsigned-cluster-issuer6spec:7  selfSigned: {}8EOF9
10kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer selfsigned-cluster-issuer11
12kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF13apiVersion: cert-manager.io/v114kind: Certificate15metadata:16  name: my-selfsigned-ca17  namespace: cert-manager18spec:19  isCA: true20  commonName: my-selfsigned-ca21  secretName: root-secret22  privateKey:23    algorithm: ECDSA24    size: 25625  issuerRef:26    name: selfsigned-cluster-issuer27    kind: ClusterIssuer28EOF29
30kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready -n cert-manager certificate my-selfsigned-ca31
32kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF33apiVersion: cert-manager.io/v134kind: ClusterIssuer35metadata:36  name: my-ca-issuer37spec:38  ca:39    secretName: root-secret40EOF41
42kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait --for=condition=Ready clusterissuer my-ca-issuer

발급자 생성을 확인합니다.

1kubectl apply --context "${K8S_CLUSTER_0_CONTEXT_NAME}" -f - <<EOF2apiVersion: cert-manager.io/v13kind: Certificate4metadata:5  name: test-selfsigned-cert6  namespace: cert-manager7spec:8  dnsNames:9    - example.com10  secretName: test-selfsigned-cert-tls11  issuerRef:12    name: my-ca-issuer13    kind: ClusterIssuer14EOF15
16kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" wait -n cert-manager --for=condition=Ready certificate test-selfsigned-cert17
18kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" delete -n cert-manager certificate test-selfsigned-cert

/includes/code-examples/outputs/test_gke_multi_cluster_snippets/ra-05_0221_verify_issuer.out

certificate.cert-manager.io/test-selfsigned-cert createdcertificate.cert-manager.io/test-selfsigned-cert condition metcertificate.cert-manager.io "test-selfsigned-cert" deleted from cert-manager namespace

CA configMap을 생성합니다.

1mkdir -p certs2
3openssl s_client -showcerts -verify 2 \4-connect downloads.mongodb.com:443 -servername downloads.mongodb.com < /dev/null \5| awk '/BEGIN/,/END/{ if(/BEGIN/){a++}; out="certs/cert"a".crt"; print >out}'6
7kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" get secret root-secret -n cert-manager -o jsonpath="{.data['ca\.crt']}" | base64 --decode > certs/ca.crt8cat certs/ca.crt certs/cert2.crt certs/cert3.crt  >> certs/mms-ca.crt9
10kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${MDB_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt11kubectl --context "${K8S_CLUSTER_0_CONTEXT_NAME}" create cm ca-issuer -n "${OM_NAMESPACE}" --from-file=ca-pem=certs/mms-ca.crt --from-file=mms-ca.crt=certs/mms-ca.crt

돌아가기

Istio 서비스 메시

연산자 배포