EKS에 Consul 배포하기

EKS에 Consul 배포하기

이 문서에서는 AWS Elastic Kubernetes Services(EKS) 클러스터에 Consul 데이터센터를 배포하는 방법을 설명해 드려요. Consul을 배포한 후에는 CLI, UI, API를 사용해 Consul과 상호작용하게 됩니다.

출처: 문서

본문

요구 사항

EKS에 Consul을 배포하려면 다음이 필요해요.

• Kubernetes 클러스터를 만들 수 있는 AWS 계정
• aws-cli
• kubectl >= 1.21
• consul >= 1.14.0
• Helm v3.6+
• consul-k8s v1.0.2+

EKS 클러스터 생성

공식 Consul Helm 차트나 Consul K8S CLI를 사용해 Consul을 배포하려면 최소 3노드 EKS 클러스터가 필요해요. EKS 문서를 따라 3노드 클러스터를 생성하세요.

kubectl을 클러스터에 연결하도록 구성

kubectl을 EKS 클러스터와 통신하도록 구성하세요.

$ aws eks update-kubeconfig --region <region where you deployed your cluster> --name <your cluster name>

Kubernetes 클러스터에 연결되었는지 확인해요.

$ kubectl cluster-info
Kubernetes master is running at https://<your K8s master location>.eks.amazonaws.com
CoreDNS is running at https://<your CoreDNS location>.eks.amazonaws.com/api/v1/namespaces/kube-system/services/kube-dns:dns/proxy

kubectl과 EKS 구성에 대한 추가 정보와 도움은 AWS 문서를 참고하세요.

Consul 배포하기

공식 Consul Helm 차트나 Consul K8S CLI를 사용하여 완전한 Consul 데이터센터를 배포할 수 있어요. 기본적으로 이 방법들은 총 3개의 Consul 서버를 설치합니다. 이러한 설치 옵션에 대해 자세히 알아보려면 Consul Kubernetes 설치 문서를 검토하세요.

values 파일 생성

배포를 커스터마이즈하려면 values.yaml 파일을 만들어 Consul 배포를 커스터마이즈하세요.

values.yaml

# Contains values that affect multiple components of the chart.
global:
  # The main enabled/disabled setting.
  # If true, servers, clients, Consul DNS and the Consul UI will be enabled.
  enabled: true
  # The prefix used for all resources created in the Helm chart.
  name: consul
  # The name of the datacenter that the agents should register as.
  datacenter: dc1
  # Enables TLS across the cluster to verify authenticity of the Consul servers and clients.
  tls:
    enabled: true
  # Enables ACLs across the cluster to secure access to data and APIs.
  acls:
    # If true, automatically manage ACL tokens and policies for all Consul components.
    manageSystemACLs: true
# Configures values that configure the Consul server cluster.
server:
  enabled: true
  # The number of server agents to run. This determines the fault tolerance of the cluster.
  replicas: 3
# Contains values that configure the Consul UI.
ui:
  enabled: true
  # Registers a Kubernetes Service for the Consul UI as a LoadBalancer.
  service:
    type: LoadBalancer
# Configures and installs the automatic Consul Connect sidecar injector.
connectInject:
  enabled: true

클러스터에 Consul 설치하기

이제 공식 Consul Helm 차트나 Consul K8S CLI를 사용해 Kubernetes 클러스터에 완전한 Consul 데이터센터를 배포할 수 있어요.

consul-k8s로 EKS 클러스터에 Consul을 설치해요. 프롬프트가 표시되면 y로 설치를 확인하세요.

$ consul-k8s install -config-file=values.yaml -set global.image=hashicorp/consul:1.14.0

추가 설정에 대해 자세히 알아보려면 공식 Consul K8S CLI 문서를 검토하세요.

Helm으로 kind 클러스터에 Consul을 설치해요. 프롬프트가 표시되면 y로 설치를 확인하세요.

$ helm install --values values.yaml consul hashicorp/consul --create-namespace --namespace consul --version "1.0.0"

기본 설정에 대해 자세히 알아보려면 공식 Helm 차트 values를 검토하세요.

Consul 리소스가 성공적으로 생성되었는지 확인해요.

$ kubectl get pods --namespace consul
NAME                                           READY   STATUS    RESTARTS   AGE
consul-connect-injector-6fc8d669b8-2n82l       1/1     Running   0          2m34s
consul-connect-injector-6fc8d669b8-9mqfm       1/1     Running   0          2m34s
consul-controller-554c7f79c4-2xc64             1/1     Running   0          2m34s
consul-server-0                                1/1     Running   0          2m34s
consul-server-1                                1/1     Running   0          2m34s
consul-server-2                                1/1     Running   0          2m34s
consul-webhook-cert-manager-64889c4964-wxc9b   1/1     Running   0          2m34s

Consul 클러스터와 상호작용하도록 CLI 구성하기

이 섹션에서는 Consul CLI가 Consul 클러스터와 상호작용할 수 있도록 터미널에 환경 변수를 설정해요. Consul CLI는 이 환경 변수들을 동작 기본값으로 읽으며, consul 명령을 실행할 때 이 값을 참조합니다.

토큰은 ACL 시스템에서 사용자, 서비스, Consul 에이전트를 인증하는 데 사용되는 객체예요. 이 Consul 데이터센터에서 ACL이 활성화되어 있으므로 리소스에 접근을 요청하는 엔터티는 해당 리소스에 권한을 부여하는 정책, 서비스 아이덴티티 또는 노드 아이덴티티와 연결된 토큰을 포함해야 합니다. ACL 시스템은 토큰을 확인하고 관련 권한에 따라 리소스에 대한 접근을 허용하거나 거부해요. 부트스트랩 토큰은 모든 리소스와 API에 대해 무제한 권한을 가집니다.

각각의 Kubernetes 시크릿에서 ACL 부트스트랩 토큰을 검색하여 환경 변수로 설정하세요.

$ export CONSUL_HTTP_TOKEN=$(kubectl get --namespace consul secrets/consul-bootstrap-acl-token --template={{.data.token}} | base64 -d)

Consul 대상 주소를 설정해요.

$ export CONSUL_HTTP_ADDR=https://$(kubectl get services/consul-ui --namespace consul -o jsonpath='{.status.loadBalancer.ingress[0].hostname}')

Consul 클러스터와의 통신을 단순화하기 위해 SSL 인증 확인을 제거해요.

$ export CONSUL_HTTP_SSL_VERIFY=false

Consul 서비스 보기

이 섹션에서는 CLI, UI, API를 사용해 Consul 서비스를 확인하고 서비스 메시의 세부 정보를 탐색해요.

CLI 명령 consul catalog services를 실행해 Consul에 등록된 서비스 목록을 반환받아요. Consul 클러스터에서 실행 중인 유일한 서비스가 consul뿐이므로 이 목록에 consul만 반환되는 것을 확인할 수 있어요.

$ consul catalog services
consul

에이전트는 서버 또는 클라이언트 모드로 실행돼요. 서버 에이전트는 서비스 및 노드 IP 주소, 헬스 체크, 구성을 포함한 모든 상태 정보를 저장합니다. 클라이언트 에이전트는 데이터센터의 대부분을 구성하는 경량 프로세스예요. 서버 에이전트에 서비스 건강 상태를 보고해요. 클라이언트는 서비스가 실행되는 모든 파드에서 실행되어야 합니다.

CLI 명령 consul members를 실행해 환경의 Consul 에이전트 목록을 반환받아요.

$ consul members
Node             Address          Status  Type    Build        Protocol  DC   Partition  Segment
consul-server-0  10.0.4.117:8301  alive   server  1.14.0beta1  2         dc1  default    <all>
consul-server-1  10.0.5.11:8301   alive   server  1.14.0beta1  2         dc1  default    <all>
consul-server-2  10.0.4.55:8301   alive   server  1.14.0beta1  2         dc1  default    <all>

토큰 값을 터미널에 출력하고 클립보드에 복사하세요. Consul UI에서 인증하는 데 이 ACL 토큰을 사용합니다.

$ echo $CONSUL_HTTP_TOKEN
fe0dd5c3-f2e1-81e8-cde8-49d26cee5efc

별도의 터미널 창을 열고 대상으로 consul-ui 서비스 이름을 사용해 kubectl port-forward로 Consul UI를 노출해요. 기본적으로 TLS를 활성화하면 Consul UI는 6443 포트에서, TLS를 비활성화하면 8500 포트에서 실행됩니다.

$ kubectl port-forward svc/consul-ui --namespace consul 6443:443

브라우저에서 https://localhost:6443을 열면 Consul UI를 찾을 수 있어요. 이 환경은 리소스에 자체 서명된 TLS 인증서를 사용하므로 인증서 경고를 클릭하여 계속 진행하세요.

왼쪽 탐색 창에서 Services를 클릭해 배포된 서비스를 검토해요. 현재는 consul 서비스만 찾을 수 있습니다.

기본적으로 익명(anonymous) ACL 정책은 Consul 서비스, 노드, 인텐션의 내용을 볼 수 있게 해 줘요. Consul UI에서 변경을 하고 더 많은 세부 정보를 보려면 오른쪽 상단의 Log In을 클릭하고 부트스트랩 ACL 토큰을 입력하세요.

ACL 토큰으로 인증에 성공하면 이제 추가 Consul 구성 요소를 보고 UI에서 변경할 수 있게 돼요. 왼쪽 탐색 창의 Access Controls 섹션에서 더 많은 옵션을 보고 관리할 수 있는 것을 확인할 수 있습니다.

왼쪽 탐색 창에서 Nodes를 클릭해요.

에이전트는 서버 또는 클라이언트 모드로 실행돼요. 서버 에이전트는 서비스 및 노드 IP 주소, 헬스 체크, 구성을 포함한 모든 상태 정보를 저장합니다. 클라이언트 에이전트는 데이터센터의 대부분을 구성하는 경량 프로세스이며 서버 에이전트에 서비스 건강 상태를 보고해요. 클라이언트는 서비스가 실행되는 모든 파드에서 실행되어야 합니다.

Consul에 등록된 서비스 목록을 확인해요.

$ curl -k \
    --header "X-Consul-Token: $CONSUL_HTTP_TOKEN" \
    $CONSUL_HTTP_ADDR/v1/catalog/services

샘플 출력:

{"consul":[]}

에이전트는 서버 또는 클라이언트 모드로 실행돼요. 서버 에이전트는 모든 상태 정보를 저장하고, 클라이언트 에이전트는 서비스 건강 상태를 서버 에이전트에 보고하는 경량 프로세스입니다. 클라이언트는 서비스가 실행되는 모든 파드에서 실행되어야 해요.

환경의 서버 및 클라이언트 Consul 에이전트 목록을 확인해요.

$ curl -k \
    --header "X-Consul-Token: $CONSUL_HTTP_TOKEN" \
    $CONSUL_HTTP_ADDR/v1/agent/members?pretty

샘플 출력:

[
  {
    "Name": "consul-server-0",
    "Addr": "10.244.0.13",
    "Port": 8301,
    "Tags": {
      "acls": "1",
      "bootstrap": "1",
      "build": "1.14.0",
      "dc": "dc1",
      "ft_fs": "1",
      "ft_si": "1",
      "grpc_port": "8502",
      "id": "8016fc4d-767f-8552-b018-0812228bd135",
      "port": "8300",
      "raft_vsn": "3",
      "role": "consul",
      "segment": "",
      "use_tls": "1",
      "vsn": "2",
      "vsn_max": "3",
      "vsn_min": "2",
      "wan_join_port": "8302"
    },
    "Status": 1,
    "ProtocolMin": 1,
    "ProtocolMax": 5,
    "ProtocolCur": 2,
    "DelegateMin": 2,
    "DelegateMax": 5,
    "DelegateCur": 4
  }
  ## ...
]

Consul 카탈로그에 나열된 모든 서비스는 확장성 문제를 단순화하고 애플리케이션 탄력성을 개선하는 Consul의 서비스 디스커버리 기능을 누릴 수 있어요. 자세히 알아보려면 Service Discovery 개요 페이지를 검토하세요.

다음 단계

EKS 클러스터에 Consul 데이터센터를 배포하는 방법을 배웠어요. Consul을 배포한 후에는 CLI, UI, API를 사용해 Consul과 상호작용했습니다.

배포 모범 사례에 대해 자세히 알아보려면 Kubernetes 참조 아키텍처 튜토리얼을 검토하세요.

더 알아보기 (Learn more)

• Consul Kubernetes 설치 문서
• Consul K8S CLI 문서
• Service Discovery 개요