Calico 키와 경로 프리픽스
각 Calico 컴포넌트가 동작하기 위해 etcd에서 접근해야 하는 키·경로 프리픽스를 컴포넌트별로 정리한 레퍼런스예요. etcd 역할(role) 기반 접근 제어를 구성할 때 이 목록을 기준으로 삼으면 돼요. 프리픽스는 향후 바뀔 수 있으니 이를 참조하는 설정도 함께 관리해야 해요.
출처: 문서
본문
Tab: Operator
이 문서는 오퍼레이터 설치 방식의 Calico에는 적용되지 않아요.
Tab: Manifest
여기 나열된 경로는 특정 Calico 컴포넌트가 정상 동작하기 위해 etcd에서 접근해야 하는 키 또는 경로 프리픽스예요.
SECONDARY: 여기 나열된 경로 프리픽스는 향후 변경될 수 있고, 그 시점에 이를 참조하는 것들(예: etcd 역할)도 적절히 업데이트해야 해요.
calico/node
| 경로 | 접근 |
|---|---|
| /calico/felix/v1/* | RW |
| /calico/felix/v2/* | RW |
| /calico/ipam/v2/* | RW |
| /calico/resources/v3/projectcalico.org/felixconfigurations/* | RW |
| /calico/resources/v3/projectcalico.org/nodes/* | RW |
| /calico/resources/v3/projectcalico.org/workloadendpoints/* | RW |
| /calico/resources/v3/projectcalico.org/clusterinformations/* | RW |
| /calico/resources/v3/projectcalico.org/ippools/* | RW |
| /calico/resources/v3/projectcalico.org/* | R |
단독 프로세스로 실행하는 Felix
| 경로 | 접근 |
|---|---|
| /calico/felix/v1/* | RW |
| /calico/felix/v2/* | RW |
| /calico/resources/v3/projectcalico.org/* | R |
CNI 플러그인
| 경로 | 접근 |
|---|---|
| /calico/ipam/v2/* | RW |
| /calico/resources/v3/projectcalico.org/workloadendpoints/* | RW |
| /calico/resources/v3/projectcalico.org/ippools/* | R |
| /calico/resources/v3/projectcalico.org/clusterinformations/* | R |
| /calico/resources/v3/projectcalico.org/nodes/* | R |
calico/kube-controllers
| 경로 | 접근 |
|---|---|
| /calico/ipam/v2/* | RW |
| /calico/resources/v3/projectcalico.org/profiles/* | RW |
| /calico/resources/v3/projectcalico.org/networkpolicies/* | RW |
| /calico/resources/v3/projectcalico.org/nodes/* | RW |
| /calico/resources/v3/projectcalico.org/clusterinformations/* | RW |
| /calico/resources/v3/projectcalico.org/hostendpoints/* | RW |
| /calico/resources/v3/projectcalico.org/kubecontrollersconfigurations/* | RW |
| /calico/resources/v3/projectcalico.org/* | R |
SECONDARY: 기본적으로
calico/kube-controllers는 etcd 데이터스토어를 주기적으로 컴팩션(compaction)해요. 이 경로들만 허용하면 컴팩션 수행이 인가되지 않는데, 그 연산은 etcd 클러스터에 root 권한을 요구하기 때문이에요. etcd 클러스터에 자동 컴팩션을 구성하고calico/kube-controllers의 주기적 컴팩션을 비활성화하세요.
Neutron용 OpenStack Calico 드라이버
| 경로 | 접근 |
|---|---|
| /calico/resources/v3/projectcalico.org/* | RW |
| /calico/dhcp/v1/* | RW |
| /calico/dhcp/v2/* | RW |
| /calico/compaction/v1/* | RW |
| /calico/openstack/v1/* | RW |
| /calico/openstack/v2/* | RW |
| /calico/felix/v1/* | R |
| /calico/felix/v2/* | R |
OpenStack Calico DHCP 에이전트
| 경로 | 접근 |
|---|---|
| /calico/resources/v3/projectcalico.org/* | R |
| /calico/dhcp/v1/* | R |
| /calico/dhcp/v2/* | R |
calicoctl (읽기 전용 접근)
| 경로 | 접근 |
|---|---|
| /calico/ipam/v2/* | R |
| /calico/resources/v3/projectcalico.org/* | R |
calicoctl (정책 편집 접근)
| 경로 | 접근 |
|---|---|
| /calico/ipam/v2/* | R |
| /calico/resources/v3/projectcalico.org/* | R |
| /calico/resources/v3/projectcalico.org/globalnetworkpolicies/* | RW |
| /calico/resources/v3/projectcalico.org/globalnetworksets/* | RW |
| /calico/resources/v3/projectcalico.org/networkpolicies/* | RW |
| /calico/resources/v3/projectcalico.org/networksets/* | RW |
| /calico/resources/v3/projectcalico.org/profiles/* | RW |
calicoctl (전체 읽기/쓰기 접근)
| 경로 | 접근 |
|---|---|
| /calico/ipam/v2/* | RW |
| /calico/resources/v3/projectcalico.org/* | RW |
더 알아보기 (Learn more)
컴포넌트별로 필요한 프리픽스만 최소 권한으로 열어 주는 것이 RBAC 구성의 기본이에요. kube-controllers의 주기적 컴팩션은 etcd root 권한을 요구하니 auto-compaction으로 대체하는 편이 안전해요. 역할 구성 방법은 etcd RBAC 개요 문서를 함께 참고하세요.