사용자와 역할 만들기
Tab: Operator
이 문서는 operator 방식의 Calico 설치에는 적용되지 않아요.
Tab: Manifest
etcd 안에서 역할 기반 접근 제어를 제공하려면 다음이 필요해요.
- 역할에 필요한 특정 etcd 키 집합에 대한 적절한 접근을 제공하는 etcd 역할 생성
- 역할이 할당된 etcd 사용자 생성
SECONDARY: etcd 3.x+ 릴리스는 자체 API의 v2와 v3를 모두 지원해요. etcd 서버는 역할과 사용자를 분리해서 관리하기 때문에, v2 API로 만든 사용자/역할은 v3 API에 나타나지 않아요. 역할과 사용자를 추가할 때는 컴포넌트가 사용할 API 버전과 일치하는 버전으로 추가해야 해요. 모든 역할과 사용자를 두 API 버전 모두로 추가한다면 이 부분은 신경 쓰지 않아도 돼요.
사용자와 역할 생성 가이드
다음 가이드를 참고해서 사용자, 역할, 그리고 사용자에게 역할을 할당하는 설정을 진행하세요. 이 문서는 etcd 클러스터가 인증서를 사용하도록 구성되어 있다고 가정하기 때문에, 아래 가이드의 명령에는 올바른 CA와 cert/key 쌍을 전달해야 해요.
역할과 사용자 구성 제안
- 클러스터에서 인증을 활성화한 뒤에도 접근할 수 있도록, v2와 v3 etcd API 양쪽에 루트 사용자를 만드세요.
- 게스트 역할을 만들고(특히 v2 API에서) 이 역할이 클러스터에 접근하지 못하게 하세요.
- v2와 v3 API 모두에서 인증을 활성화하세요. 한쪽을 활성화한다고 다른 쪽도 활성화되지 않아요. 루트 사용자를 만든 다음에만 인증을 활성화하도록 하세요.
- 사용자 이름이 인증서의 Common Name과 일치하도록 하면, 컴포넌트에 사용자 이름을 따로 지정하지 않고도 접근할 수 있어요.
본문
더 알아보기 (Learn more)
etcd RBAC는 etcd 역할과 사용자를 직접 만들어 Calico 컴포넌트에 범위가 지정된 접근을 주는 방식이에요. v2와 v3 API의 사용자/역할이 서로 분리되어 있다는 점이 핵심이에요. 루트 사용자를 양쪽 API에 만들어 둔 다음에 인증을 켜는 순서도 잊지 마세요.