[쿠버네티스 인 액션] 7장 - 컨피그맵과 시크릿: 애플리케이션 설정 (2/2)

시크릿

“설정 안에 보안이 유지되어야 하는 자격증명과 개인 암호화 키와 같은 민감한 정보를 보관하고 배포하기 위한 키-값 쌍을 가진 오브젝트”

• 환경변수로 시크릿 항목을 컨테이너에 전달, 시크릿 항목을 볼륨 파일로 노출할 때 사용
• 시크릿에 접근해야 하는 파드가 실행되고 있는 노드에만 개별 시크릿을 배포해 시크릿을 안전하게 유지
• 노드 자체적으로 시크릿을 항상 메모리에만 저장

 

 

시크릿과 컨피그맵 사용 결정

• 민감하지 않고, 일반 설정 데이터는 컨피그맵 사용
• 본질적으로 민감한 데이터는 시크릿을 사용해 키 아래에 보관
• 민감한 데이터와 그렇지 않는 데이터를 모두 가지고 있다면 해당 파일은 시크릿 안에 저장

 

 

기본 토큰 시크릿 소개

“모든 파드에는 시크릿 볼륨이 자동으로 연결되어 있다”

출처: 쿠버네티스 인 액션 (출판:에이콘)

• 시크릿이 갖고 있는 세 가지 항목은 파드 안에서 쿠버네티스 API 서버와 통신할 떄 필요한 것
  -ca.crt , namespace , token
• 기본적으로 default-token 시크릿은 모든 컨테이너에 마운트 된다.

 

시크릿 생성

1. 인증키와 개인키 생성

출처: 쿠버네티스 인 액션 (출판:에이콘)

  2. 시크릿 생성 → foutune-https 이름의 generic 시크릿

출처: 쿠버네티스 인 액션 (출판:에이콘)

 

 

컨피그맵과 시크릿 비교

• 시크릿 항목의 내용은 Base64 인코딩 문자열로 표시, 컨피그맵은 일반 텍스트로 표시
• 바이너리 데이터 시크릿 사용 -Base64 인코딩을 사용하는 이유는 시크릿 항목에 일반 텍스트뿐만 아니라 바이너리 값도 담을 수 있기 때문

출처: 쿠버네티스 인 액션 (출판:에이콘)

 

 

stringData 필드

• 모든 민감한 데이터가 바이너리 형태는 아니기 떄문에, 쿠버네티스는 시크릿의 값을 stringData 필드로 설정할 수 있게 해줌
• stringData 필드는 쓰기 전용, 값을 설정할 떄만 사용 가능
• plain text는 Base64로 인코딩 되지 않았음.

출처: 쿠버네티스 인 액션 (출판:에이콘)

 

 

파드에서 시크릿 사용

• HTTPS를 활성화하도록 fortune-config 컨피그맵 수정
• 시크릿을 파드에 마운트

출처: 쿠버네티스 인 액션 (출판:에이콘)

 

 

이미지를 가져올 떄 사용하는 시크릿 이해

• 쿠버네티스에서 자격증명을 전달할 때에도 시크릿 사용
  ex) 프라이빗 컨테이너 이미지 레지스트리 사용하려는 경우
• 도커 허브에서 프라이빗 이미지 사용
  -도커 레지스트리 자격증명 가진 시크릿 생성
  -파드 매니페스트 안에 imagePullSecrets 필드에 해당 시크릿 참조
• 파드 정의에서 도커 레지스트리 시크릿 사용

출처: 쿠버네티스 인 액션 (출판:에이콘)