본문으로 바로가기 본문 바로가기
WIKI 기술 지식 베이스

웹 콘솔 튜토리얼

원문 보기 위키 갱신

Calico Cloud 웹 콘솔의 기능과 조작 방법, 클러스터 가시성 확보 방법을 튜토리얼 형식으로 살펴봐요. 왼쪽 내비게이션 바의 각 메뉴를 위에서부터 차례로 둘러보면서 어디서 무엇을 확인할 수 있는지 익혀 볼 거예요.

출처: 문서

본문

배울 내용

  • 웹 콘솔의 기능과 조작 방법
  • 클러스터 가시성 확보 방법

웹 콘솔 왼쪽 내비게이션 바의 항목을 위에서 아래로 하나씩 살펴봐요. 아무 클러스터를 사용해도 따라 할 수 있어요.

Dashboards

왼쪽 내비게이션 바에서 Dashboards를 클릭해요.

Dashboards는 클러스터에서 일어나는 활동을 보고 이해하는 데 도움을 줘요. 각 대시보드는 로그에 담긴 데이터를 시각적으로 표현하는 분류된 그래프, 차트, 다이어그램으로 이루어져 있어요.

dashboards

  • Cluster Health 대시보드는 클러스터 활동의 조망도를 보여줘요.

  • Traffic Volume 대시보드는 클러스터 트래픽의 상위 수준 뷰를 제공해요.

  • DNS Logs 대시보드는 DNS 데이터와 로그를 메트릭으로 요약해서, 이루어진 DNS 조회 유형, 응답, 전반적인 DNS 성능에 대한 상위 수준 정보를 제공해요.

  • Flow Logs 대시보드는 클러스터의 모든 파드가 패킷을 어떻게 주고받는지 개요를 보여줘요.

  • HTTP Traffic 대시보드는 대상 Kubernetes 서비스의 애플리케이션 성능 메트릭을 제공해요.

  • Network Performance 대시보드는 병목, 패킷 손실, 성능 문제를 찾아내는 데 도움이 되는 TCP 메트릭을 제공해요.

Service Graph

왼쪽 내비게이션 바에서 Service Graph, Default를 선택해요.

Service Graph는 클러스터 안의 네트워크 트래픽을 지점 간(topological)으로 표현해요. 가시성과 트러블슈팅의 기본 도구예요.

service-graph

Namespaces

Namespaces는 Service Graph의 기본 뷰예요.

오른쪽 위 패널 <<를 펼치면 그 네임스페이스의 서비스 간 통신 상세 뷰가 나타나요.

service-graph-namespace

노드와 엣지

노드로/에서 향하는 선을 엣지(edge)라고 불러요. 노드나 엣지를 클릭하면 오른쪽 패널에 상세가 표시되고, 관련 flow 로그가 아래 패널에서 자동으로 필터링돼요.

edges

레이어

Layers는 리소스를 의미 있는 그룹으로 묶어서 그래프에서 쉽게 숨기고 보이게 할 수 있게 해 줘요. 예컨대 클러스터의 네트워킹, 스토리지, 로깅 같은 플랫폼 인프라 유형별로 리소스를 그룹화할 수 있어요.

Namespaces 브레드크럼 옆 왼쪽 패널(>>)을 클릭하고, Tigera components 레이어를 펼쳐 보세요.

service-graph-layers

Tigera components 레이어에는 Calico Cloud 네트워킹 컴포넌트의 네임스페이스와 Dev/Ops에 유용한 뷰가 들어 있어요.

세로 말줄임표를 클릭하고 Hide layer를 선택해요. 그러면 그래프에 비즈니스 애플리케이션 네임스페이스만 남는 걸 확인할 수 있어요.

이 레이어를 덜 두드러지게 하려면 Restore layer를 선택하고 De-emphasize layer를 클릭해요.

로그, 알림, 캡처 작업

그래프 아래 바닥 패널에는 연결성과 성능 문제를 트러블슈팅하는 도구가 있어요. 로그(Flows, DNS, HTTP)는 Calico Cloud에서 보안과 관측 가능성의 토대예요. 그래프에서 노드나 엣지를 선택하면 그 노드나 서비스에 맞춰 로그가 필터링돼요. 예컨대 아래는 정책들이 티어에서 어떻게 처리됐는지까지 포함한 상세가 담긴 flow 로그예요.

service-graph-flows

Alerts

편의를 위해 Alerts 탭은 왼쪽 내비게이션 바의 Alerts 탭에서 활성화한 알림을 그대로 복사해 보여줘요. 기본값에서는 알림이 활성화되어 있지 않아요.

Capture jobs

Service Graph는 특정 네임스페이스, 서비스, 레플리카 셋, 데몬셋, 스테이트풀셋, 파드의 트래픽을 캡처하는 패킷 기능을 통합하고 있어요. 캡처 파일을 내려받아 Wireshark 같은 선호하는 시각화 도구에서 열어 볼 수도 있죠.

아무 엔드포인트에서나 오른쪽 클릭으로 캡처를 시작하거나 예약할 수 있어요.

packet-capture-service

Flow Visualizations

왼쪽 내비게이션 바에서 Service Graph, Flow Visualizations를 선택해요.

Flow Visualizer(일명 "FlowViz")는 클러스터 안의 네트워크 트래픽을 드릴다운해서 문제를 트러블슈팅하는 Calico Cloud 도구예요. 가장 흔한 사용법은 드릴다운으로 서비스 사이에서 어떤 정책이 트래픽을 허용하고 거부하는지 정확히 찾아내는 거예요.

flow-viz

Policies

왼쪽 내비게이션 바에서 Policies를 클릭해요.

네트워크 정책은 Kubernetes 네트워크를 보호하는 기본 도구예요. 정책은 클러스터 안의 네트워크 트래픽(egress와 ingress)을 제한해서 원하는 트래픽만 흐르도록 허용하는 데 쓰여요. Calico Cloud는 다음 정책들을 지원해요:

  • Calico Cloud 네트워크 정책
  • Calico Cloud 글로벌 네트워크 정책
  • Kubernetes 정책

Calico Cloud는 티어(tier)(계층적 티어라고도 불러요)를 사용해서 여러 팀에 걸친 네트워크 정책 관리에 가드레일을 제공해요. 정책 티어를 사용하면 더 큰 권한을 가진 사용자(예: Dev/ops 사용자)가 팀(예: 서비스 소유자와 개발자)보다 우선하는 네트워크 정책을 시행할 수 있어요.

Policies Board는 티어 정책을 관리하는 기본 뷰예요.

policy-board

사용자는 보통 Policy Board와 YAML 파일을 섞어 써요. 티어의 정책 하나 또는 전체를 YAML로 내보낼 수 있다는 점도 기억하세요.

Policy Board 필터로 이름, 네임스페이스, 정책 유형, 레이블 셀렉터로 필터링할 수 있어요.

policy-filters

다음 기능들이 팀에 더 많은 보안과 가드레일을 제공해요.

정책 추천

Policies Board에서 Recommend a policy를 클릭해요.

설치 후 가장 먼저 하고 싶은 일 중 하나는 네트워크 정책으로 보호받지 못하는 파드/워크로드를 보호하는 거예요. (예컨대 Kubernetes 파드는 기본적으로 어떤 출발지에서든 트래픽을 받아요.) Recommend a policy 기능은 클러스터의 특정 엔드포인트를 보호하는 정책을 생성해 줘요. 네트워크 정책 경험이 적은 사용자도 쉽게 시작할 수 있죠.

recommend-policy

정책 스테이징

정책을 만들 때는 시행하기 전에 스테이징해서 효과를 평가하는 게 모범 사례예요. 스테이징된 네트워크 정책이 예상대로 트래픽을 허용하는지 확인한 뒤 시행하면 돼요.

stage-policy

미리보기

정책을 편집할 때 Preview를 선택하면 변경이 기존 트래픽에 어떤 영향을 줄지 볼 수 있어요.

policy-preview

Endpoints

왼쪽 내비게이션 바에서 Endpoints를 클릭해요.

Endpoint Details

이 페이지는 클러스터의 모든 파드(일명 워크로드 엔드포인트) 목록이에요.

endpoints

Node List

이 페이지는 클러스터에 연관된 모든 노드를 나열해요.

node-list

Network Sets

Network set과 글로벌 network set은 IP 서브네트워크/CIDR을 정의하는 Calico Cloud 리소스예요. 정책(Kubernetes 또는 Calico Cloud)에서 표준 레이블 셀렉터로 매칭할 수 있어요. 정책을 사용하고 재사용하고 확장하는 데 강력한 기능이에요.

간단한 활용 사례는 외부 네트워크로/부터의 트래픽을 제한하는 거예요. 예컨대 "거부 목록 CIDR 범위 192.0.2.55/32와 203.0.113.0/24"를 담은 글로벌 network set을 만들고, 글로벌 네트워크 정책에서 그 network set을 참조할 수 있어요. 이렇게 하면 Service Graph에서 이 트래픽을 보는 것도 가능해요.

networksets

Managed clusters

왼쪽 내비게이션 바에서 Managed clusters를 클릭해요.

이 페이지에서 웹 콘솔의 클러스터 간 뷰를 전환해요. 다른 클러스터에 연결하면 Manager 뷰 전체가 선택된 클러스터를 반영해 바뀌어요.

managed-clusters

Compliance Reports

왼쪽 내비게이션 바에서 Compliance를 클릭해요.

주기적 스냅샷에 의존하는 컴플라이언스 도구는 여러분의 컴플라이언스 기준에 비춘 Kubernetes 워크로드의 정확한 평가를 제공하지 못해요. Calico Cloud 컴플라이언스 대시보드와 리포트는 규제 대상 워크로드의 완전한 목록과, 이런 워크로드에 대한 네트워크 제어 시행 증거를 함께 제공해요. 추가로, 네트워크 보안 제어의 변경 사항을 확인할 수 있는 감사(audit) 리포트도 사용할 수 있어요.

컴플라이언스 리포트는 모든 Calico Cloud 리소스의 보관된 flow 로그와 감사 로그, 그리고 Kubernetes API 서버에서 Kubernetes 리소스용으로 남은 감사 로그를 기반으로 해요.

cis-benchmark

필터를 사용하면 리포트 유형을 선택할 수 있어요.

compliance-filter

Activity

왼쪽 내비게이션 바에서 Activity, Timeline을 선택해요.

Timeline

무엇이 바뀌었고, 누가 했고, 언제 했나요? 이 정보는 보안에 매우 중요해요. 순수 Kubernetes는 파드, 네임스페이스, 서비스 어카운트, 네트워크 정책, 엔드포인트의 감사 로그를 쉽게 수집하는 방법을 제공하지 않아요. Calico Cloud 타임라인은 네트워크 정책과 Calico Cloud 배포와 연관된 다른 리소스의 모든 변경에 대한 감사 로그를 제공해요.

timeline

왼쪽 내비게이션 바에서 Activity, Alerts를 선택해요.

Alerts

감염된 워크로드가 있는지, 가능한 위협이 있는지 어떻게 알 수 있을까요? Calico Cloud는 보안 침해를 시사할 수 있는 예상 밖의 네트워크 동작을 탐지하고 알림을 줘요. 다음 항목들에 대한 알림을 만들 수 있어요:

  • 알려진 공격과 익스플로잇(예: Shopify, Tesla, Atlassian에서 발견된 익스플로잇)
  • DOS 시도
  • 봇넷과 명령·제어 서버로의 접속 시도

alerts

Logs

Calico Cloud는 Elastic을 완전 통합 배포로 포함해서 flow 로그 데이터를 수집해요. 이 데이터가 Flow Visualizer, Dashboard와 Policy Board의 메트릭, 정책 자동화, 테스트 기능과 보안 같은 핵심 기능을 움직여요.

왼쪽 내비게이션 바에서 Logs를 클릭해요.

Threat feeds

Calico Cloud에 위협 인텔리전스 피드를 추가해서 의심스러운 IP 주소와 도메인의 네트워크 흐름을 추적할 수 있어요. 그다음 네트워크 정책을 사용해서 파드가 그 IP나 도메인에 접촉하지 못하게 막을 수 있죠.

기본기를 이해했으니 다음을 권해요:

더 알아보기 (Learn more)