인증서를 무료로 관리해보자(Cert-manager + Let’s Encrypt)

💡 해당 내용은 Cert-Manager와 let’s encrypt를 사용하여 적용하는 내용입니다. DNS는 가비아(유료)를 사용하고 있습니다.

Cert-Manager란?

Cert-Manager는 Kubernetes 환경에서 SSL/TLS 인증서를 자동으로 발급, 갱신, 관리하는 오픈소스 도구입니다. (https://cert-manager.io/docs/)

• 자동화된 인증서 관리: 인증서의 발급, 갱신, 사용을 자동화하여 수동 관리의 번거로움을 줄입니다. (3개월마다 갱신됩니다.)
• 다양한 인증 기관 지원: Let's Encrypt, HashiCorp Vault, Venafi 등 여러 인증 기관과 통합됩니다.
• Kubernetes 네이티브: Kubernetes의 CustomResourceDefinitions(CRDs)를 사용하여 인증서 관리를 쿠버네티스 리소스로 처리합니다.

Cert-Manager 설치 (Helm 차트)

쿠버네티스에 Cert-Manager를 설치하는 방법 중에서 Helm을 이용해서 설치해보도록 하겠습니다. (설치 버전은 1.14.4 입니다.)

1. Helm Repo 등록하기

$ helm repo add jetstack https://charts.jetstack.io
$ helm repo update

1. Helm으로 Cert-Manager 설치

$ helm install cert-manager jetstack/cert-manager --namespace cert-manager --create-namespace

1. 정상적으로 설치되었는지 확인하기

$ kubectl get po -n cert-manager

NAME                                      READY   STATUS    RESTARTS   AGE
cert-manager-6dc66985d4-msfrf             1/1     Running   0          1d
cert-manager-cainjector-c7d4dbdd9-ds6ll   1/1     Running   0          1d
cert-manager-webhook-847d7676c9-fk5vq     1/1     Running   0          1d

Issuer 등록 (ACME 방법 - https://cert-manager.io/docs/configuration/acme/)

cert-manager의 Issuer는 인증서 발급을 관리하고 자동화하는 데 사용되는 리소스입니다.

Issuer는 인증서를 발급하기 위한 설정을 정의하며, cert-manager가 Kubernetes 클러스터 내에서 인증서를 요청하고 갱신하는 데 필요한 정보와 규칙을 제공합니다.

Cert-Manager에서는 2가지 Issuer를 제공합니다.

• ClusterIssuer : 클러스터 전역으로 설정되는 설정
• Issuer : 네임스페이스별로 설정

작고 작은 개인 클러스터에서 네임스페이스별로 관리하는 것은 비효율적이라고 생각이 들어서 ClusterIssuer로 등록했습니다!

1. ClusterIssuer 작성

# clusterissuer.yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
  name: letsencrypt-prod # 생성할 Clusterissuer 지정
spec:
  acme:
    email: # 이메일 작성
    privateKeySecretRef:
      name: letsencrypt-prod # ACME계정의 Private Key를 저장할 Secret 이름 지정
    server: https://acme-v02.api.letsencrypt.org/directory # ACME서버 지정 - Let's Encrypt ACME 서버를 지정
    solvers:
    - http01:
        ingress:
          ingressClassName: nginx

1. Clusterissuer 등록 및 확인

$ kubectl apply -f clusterissuer.yaml
$ kubectl get clusterissuer -A
NAME               READY   AGE
letsencrypt-prod   True    134d

$ kubectl describe clusterissuer letsencrypt-prod
...
Status:
  Acme:
    Last Private Key Hash:  # 개인 키 Hash 값
    Last Registered Email:  # 설정한 개인 이메일
    Uri:                    https://acme-v02.api.letsencrypt.org/acme/acct/1681070877
  Conditions:
    Last Transition Time:  2024-07-19T04:50:19Z
    Message:               The ACME account was registered with the ACME server
    Observed Generation:   2
    Reason:                ACMEAccountRegistered
    Status:                True
    Type:                  Ready
Events:                    <none>

Ingress 적용 (Harbor Helm Chart)

아래는 Harbor Ingress에 적용하는 방법을 기재하였습니다! 인증서가 필요한 Ingress에 다음 부분을 추가하여 배포합니다.

# harbor-values.yaml
expose:
  # Set how to expose the service. Set the type as "ingress", "clusterIP", "nodePort" or "loadBalancer"
  # and fill the information in the corresponding section
  type: ingress
  tls:
    # Enable TLS or not.
    # Delete the "ssl-redirect" annotations in "expose.ingress.annotations" when TLS is disabled and "expose.type" is "ingress"
    # Note: if the "expose.type" is "ingress" and TLS is disabled,
    # the port must be included in the command when pulling/pushing images.
    # Refer to https://github.com/goharbor/harbor/issues/5291 for details.
    enabled: true
    # The source of the tls certificate. Set as "auto", "secret"
    # or "none" and fill the information in the corresponding section
    # 1) auto: generate the tls certificate automatically
    # 2) secret: read the tls certificate from the specified secret.
    # The tls certificate can be generated manually or by cert manager
    # 3) none: configure no tls certificate for the ingress. If the default
    # tls certificate is configured in the ingress controller, choose this option
    certSource: none
    auto:
      # The common name used to generate the certificate, it's necessary
      # when the type isn't "ingress"
      commonName: ""
    secret:
      secretName: "tls-journalctl-xe-harbor"
  ingress:
    hosts:
      core: harbor.journalctl-xe.com
    # set to the type of ingress controller if it has specific requirements.
    # leave as `default` for most ingress controllers.
    # set to `gce` if using the GCE ingress controller
    # set to `ncp` if using the NCP (NSX-T Container Plugin) ingress controller
    # set to `alb` if using the ALB ingress controller
    # set to `f5-bigip` if using the F5 BIG-IP ingress controller
    controller: default
    ## Allow .Capabilities.KubeVersion.Version to be overridden while creating ingress
    kubeVersionOverride: ""
    className: "nginx"
    annotations:
      # note different ingress controllers may require a different ssl-redirect annotation
      # for Envoy, use ingress.kubernetes.io/force-ssl-redirect: "true" and remove the nginx lines below
      cert-manager.io/cluster-issuer: "letsencrypt-prod"
      cert-manager.io/acme-challenge-type: "http01"
      nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
      nginx.ingress.kubernetes.io/backend-protocol: "HTTPS"

아래 Harbor Ingress를 통해 정리하면 적용에 필요한 부분은 다음과 같습니다.

$ kubectl get ingress harbor-ingress -n harbor -o yaml
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  annotations:
    cert-manager.io/acme-challenge-type: http01 # clusterissuer에 설정된 solvers 중 선택하여 사용 (http01 혹은 dns01)
    cert-manager.io/cluster-issuer: letsencrypt-prod # 등록된 clusterissuer 기재
    meta.helm.sh/release-name: harbor
    meta.helm.sh/release-namespace: harbor
    nginx.ingress.kubernetes.io/backend-protocol: HTTPS
    nginx.ingress.kubernetes.io/force-ssl-redirect: "true"
    nginx.ingress.kubernetes.io/proxy-body-size: "0"
...생략...
spec:
  ingressClassName: nginx
  rules:
  - host: harbor.journalctl-xe.com
    http:
      paths:
      - backend:
          service:
            name: harbor-core
            port:
              number: 443
        path: /api/
        pathType: Prefix
...생략...
  tls:
  - hosts:
    - harbor.journalctl-xe.com
    secretName: tls-journalctl-xe-harbor

• metadata.annotations : cert-manager.io/acme-challenge-type: http01 , cert-manager.io/cluster-issuer: letsencrypt-prod
• spec.tls : hosts, secretName

추가적으로 spec.tls.secretName에 기재한 이름으로 tls secret 파일이 생성됩니다!

$ kubectl get secret -n harbor | grep journalctl-xe
tls-journalctl-xe-harbor         kubernetes.io/tls    2      133d

적용 결과

Harbor

harbor.journalctl-xe.com (개인 Harbor)

gitlab

gitlab.journalctl-xe.com (개인 Gitlab)

ArgoCD

argocd.journalctl-xe.com