Kubernetes Engine 활용

• 1: 클러스터 접근하기
• 2: 인증 및 인가
• 3: type LoadBalancer 서비스 사용하기
• 4: 사용 시 고려사항
• 5: 버전 정보

1 - 클러스터 접근하기

kubectl 설치 및 사용 방법

Kubernetes Engine 서비스를 생성한 후 쿠버네티스 커맨드 라인 도구인 kubectl을 사용하면 쿠버네티스 클러스터에 대해 명령을 실행할 수 있습니다. kubectl을 사용하여 애플리케이션을 배포하고, 클러스터 리소스를 검사 및 관리하고 로그를 볼 수 있습니다. 다음과 같은 쿠버네티스 공식 문서에서 kubectl을 설치하여 사용하는 방법을 확인할 수 있습니다.

kubectl로 쿠버네티스 클러스터에 접근하려면, 쿠버네티스 서버 주소와 인증 정보를 담은 kubeconfig 파일이 필요합니다.

Kubernetes Engine은 관리자 인증서 kubeconfig와 사용자 인증키 kubeconfig를 통한 인증 기능을 지원합니다.

관리자 인증서 kubeconfig

이 kubeconfig는 Kubernetes API에 접근할 때, 관리자 인증서를 인증 수단으로 사용합니다.

관리자 kubeconfig 다운로드

Kubernetes Engine > 클러스터 목록 > 클러스터 상세 > 관리자 kubeconfig 다운로드 버튼을 클릭하여 kubeconfig 파일을 다운로드합니다.

관리자 kubeconfig 사용

사용자 인증키 kubeconfig

이 kubeconfig는 Kubernetes API에 접근할 때, 사용자의 Open API 인증키를 인증 수단으로 사용합니다.

사용자 kubeconfig 다운로드

Kubernetes Engine > 클러스터 목록 > 클러스터 상세 > 사용자 kubeconfig 다운로드 버튼을 클릭하여 kubeconfig 파일을 다운로드합니다.

사용자 kubeconfig 파일에 인증키 토큰 추가

아래는 사용자 kubeconfig 파일의 예시입니다. kubeconfig 파일을 사용하기 위해서는 파일 내부의 token 란에 인증키 토큰(AUTHKEY_TOKEN) 정보를 추가해야 합니다.

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0t...
    server: https://my-cluster-a1c3e.ske.xxx.samsungsdscloud.com:6443
  name: my-cluster-a1c3e
contexts:
- context:
    cluster: my-cluster-a1c3e
    user: jane.doe
  name: jane.doe@my-cluster-a1c3e
current-context: jane.doe@my-cluster-a1c3e
kind: Config
preferences: {}
users:
- name: jane.doe
  user:
    token: <AUTHKEY_TOKEN> #### 작성 필요

apiVersion: v1
clusters:
- cluster:
    certificate-authority-data: LS0tLS1CRUdJTiBDRVJUSUZJQ0FURS0t...
    server: https://my-cluster-a1c3e.ske.xxx.samsungsdscloud.com:6443
  name: my-cluster-a1c3e
contexts:
- context:
    cluster: my-cluster-a1c3e
    user: jane.doe
  name: jane.doe@my-cluster-a1c3e
current-context: jane.doe@my-cluster-a1c3e
kind: Config
preferences: {}
users:
- name: jane.doe
  user:
    token: <AUTHKEY_TOKEN> #### 작성 필요

AUTHKEY_TOKEN은 인증키의 ACCESS_KEY와 SECRET_KEY를 콜론(:)으로 연결한 후, Base64 인코딩하여 생성할 수 있습니다. 다음은 리눅스 환경에서 AUTHKEY_TOKEN을 만드는 예시입니다.

$ ACCESS_KEY=5df418813aed051548a72f4a814cf09e
$ SECRET_KEY=6ba7b810-9dad-11d1-80b4-00c04fd430c8
$ AUTHKEY_TOKEN=$(echo -n "$ACCESS_KEY:$SECRET_KEY" | base64 -w0)
$ echo $AUTHKEY_TOKEN
NWRmNDE4ODEzYWVkMDUxNTQ4YTcyZjRhODE0Y2YwOWU6NmJhN2I4MTAtOWRhZC0xMWQxLTgwYjQtMDBjMDRmZDQzMGM4r

$ ACCESS_KEY=5df418813aed051548a72f4a814cf09e
$ SECRET_KEY=6ba7b810-9dad-11d1-80b4-00c04fd430c8
$ AUTHKEY_TOKEN=$(echo -n "$ACCESS_KEY:$SECRET_KEY" | base64 -w0)
$ echo $AUTHKEY_TOKEN
NWRmNDE4ODEzYWVkMDUxNTQ4YTcyZjRhODE0Y2YwOWU6NmJhN2I4MTAtOWRhZC0xMWQxLTgwYjQtMDBjMDRmZDQzMGM4r

사용자 kubeconfig 실행 예시

사용자 kubeconfig의 실행 예시를 확인할 수 있습니다.

접근 제어나 방화벽에 의해 접근이 차단된 경우

$ kubectl --kubeconfig=user-kubeconfig.yaml get namespaces
Unable to connect to the server: dial tcp 123.123.123.123:6443: i/o timeout

$ kubectl --kubeconfig=user-kubeconfig.yaml get namespaces
Unable to connect to the server: dial tcp 123.123.123.123:6443: i/o timeout

AUTHKEY_TOKEN이 맞지 않아 인증에 실패한 경우

$ kubectl --kubeconfig=user-kubeconfig.yaml get namespaces
error: You must be logged in to the server (Unauthorized)

$ kubectl --kubeconfig=user-kubeconfig.yaml get namespaces
error: You must be logged in to the server (Unauthorized)

AUTHKEY_TOKEN 인증에 성공한 경우

$ kubectl --kubeconfig=user-kubeconfig.yaml get namespaces
...
kube-node-lease    Active 10d
kube-public        Active 10d
kube-system        Active 10d

$ kubectl --kubeconfig=user-kubeconfig.yaml get namespaces
...
kube-node-lease    Active 10d
kube-public        Active 10d
kube-system        Active 10d

AUTHKEY_TOKEN 인증에 성공했으나 권한이 없는 경우

$ kubectl --kubeconfig=user-kubeconfig.yaml get nodes
Error from server (Forbidden): nodes is forbidden: User "jane.doe" cannot list resource "nodes" in API group "" at the cluster scope

$ kubectl --kubeconfig=user-kubeconfig.yaml get nodes
Error from server (Forbidden): nodes is forbidden: User "jane.doe" cannot list resource "nodes" in API group "" at the cluster scope

2 - 인증 및 인가

Kubernetes Engine에는 쿠버네티스의 인증 및 RBAC 인가 기능이 적용되어 있습니다. 쿠버네티스의 인증 및 인가 기능과 Kubernetes Engine과 IAM의 연계 방법에 대해 설명합니다.

쿠버네티스 인증 및 인가

쿠버네티스의 인증 및 RBAC 인가 기능을 설명합니다.

인증

쿠버네티스 API 서버는 인증서나 인증 토큰으로부터 사용자(User)나 서비스어카운트(ServiceAccount)의 인증에 필요한 정보를 취득하여 인증 절차를 진행합니다.

인가

쿠버네티스 API 서버는 인증 과정을 통해 얻은 사용자 정보를 이용하여 RBAC 관련 오브젝트로부터 해당 사용자가 요청한 작업에 대한 권한이 있는지를 확인합니다. RBAC 관련 오브젝트는 다음과 같이 4가지 종류가 있습니다.

롤

쿠버네티스에는 여러 클러스터롤이 기본 정의되어 있습니다. 그중 일부 클러스터롤에는 접두어(system:)가 포함되어 있지 않습니다. 이는 사용자용으로 사용할 것을 염두에 둔 클러스터롤입니다. 여기에는 클러스터롤바인딩을 사용하여 클러스터 전체에 적용할 슈퍼유저 롤(cluster-admin)과 롤바인딩을 사용하여 특정 네임스페이스에 적용할 롤(admin, edit, view)이 포함됩니다.

필요에 따라 기본 정의된 클러스터롤 이외에, 다음과 같이 별도의 롤(또는 클러스터롤)을 정의할 수도 있습니다.

# "default" 네임스페이스 내 파드를 조회할 권한을 부여하는 롤
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "watch"]

# "default" 네임스페이스 내 파드를 조회할 권한을 부여하는 롤
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  namespace: default
  name: pod-reader
rules:
- apiGroups: [""]
  resources: ["pods"]
  verbs: ["get", "list", "watch"]

# 노드를 조회할 권한을 부여하는 클러스터롤
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: node-reader
rules:
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["get", "list", "watch"]

# 노드를 조회할 권한을 부여하는 클러스터롤
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: node-reader
rules:
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["get", "list", "watch"]

롤바인딩

Samsung Cloud Platform IAM을 사용하여 Kubernetes Engine에 대한 액세스를 관리하려면, 쿠버네티스의 롤바인딩과 IAM의 관계를 이해해야 합니다. 롤바인딩(또는 클러스터롤바인딩)의 대상(subjects)에는 개별 사용자(User) 또는 그룹(Group)이 포함될 수 있습니다.

• User는 Samsung Cloud Platform 사용자명으로, Group은 IAM 사용자 그룹명으로 각각 매칭됩니다.

롤바인딩/클러스터롤바인딩의 subjects.kind로는 다음 중 하나를 지정할 수 있습니다.

• User: Samsung Cloud Platform 개별 사용자와 연결됩니다.
• Group: Samsung Cloud Platform IAM 사용자 그룹과 연결됩니다.

롤바인딩/클러스터롤바인딩의 subjects.name은 다음과 같이 지정할 수 있습니다.

• User인 경우: Samsung Cloud Platform 개별 사용자명 (예: jane.doe)
• Group인 경우: Samsung Cloud Platform IAM 사용자 그룹명 (예: ReadPodsGroup)

이러한 방식으로 IAM 사용자 그룹은 Kubernetes Engine 클러스터의 롤바인딩(또는 클러스터롤바인딩)에 작성된 그룹과 연결됩니다. 또한 그룹과 연결된 롤(또는 클러스터롤)에 포함된 API 작업을 수행할 수 있는 권한이 부여됩니다.

예시) 롤바인딩 read-pods #1

롤바인딩에 User(Samsung Cloud Platform 개별 사용자)를 작성한 예시는 다음과 같습니다.

# 이 롤바인딩은 "jane.doe" 사용자가 "default" 네임스페이스의 파드를 조회하도록 허용합니다.
# 해당 네임스페이스에 "pod-reader"라는 롤이 있어야 합니다.
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: read-pods
  namespace: default
roleRef:
  # "roleRef"에는 롤 또는 클러스터롤과의 연결을 지정합니다.
  kind: Role       # Role 또는 ClusterRole이어야 합니다.
  name: pod-reader # 연결하고자 하는 롤 또는 클러스터롤의 이름과 일치해야 합니다.
  apiGroup: rbac.authorization.k8s.io
subjects:
# 하나 이상의 "대상(subject)"을 지정할 수 있습니다.
- kind: User
  name: jane.doe
  apiGroup: rbac.authorization.k8s.io

# 이 롤바인딩은 "jane.doe" 사용자가 "default" 네임스페이스의 파드를 조회하도록 허용합니다.
# 해당 네임스페이스에 "pod-reader"라는 롤이 있어야 합니다.
apiVersion: rbac.authorization.k8s.io/v1
metadata:
  name: read-pods
  namespace: default
roleRef:
  # "roleRef"에는 롤 또는 클러스터롤과의 연결을 지정합니다.
  kind: Role       # Role 또는 ClusterRole이어야 합니다.
  name: pod-reader # 연결하고자 하는 롤 또는 클러스터롤의 이름과 일치해야 합니다.
  apiGroup: rbac.authorization.k8s.io
subjects:
# 하나 이상의 "대상(subject)"을 지정할 수 있습니다.
- kind: User
  name: jane.doe
  apiGroup: rbac.authorization.k8s.io

클러스터에 위와 같은 롤바인딩이 생성되면, 사용자명이 jane.doe인 사용자에게 롤 pod-reader에 작성된 API 작업을 수행할 수 있는 권한이 부여됩니다.

예시) 롤바인딩 read-pods #2

롤바인딩에 그룹(IAM 사용자 그룹)을 작성한 예시는 다음과 같습니다.

# 이 롤바인딩은 "ReadPodsGroup" 그룹에 속한 사용자가 "default" 네임스페이스의 파드를 조회하도록 허용합니다.
# 해당 네임스페이스에 "pod-reader"라는 롤이 있어야 합니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: default
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io
subjects:
# 하나 이상의 "대상(subject)"을 지정할 수 있습니다.
- kind: Group
  name: ReadPodsGroup
  apiGroup: rbac.authorization.k8s.io

# 이 롤바인딩은 "ReadPodsGroup" 그룹에 속한 사용자가 "default" 네임스페이스의 파드를 조회하도록 허용합니다.
# 해당 네임스페이스에 "pod-reader"라는 롤이 있어야 합니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: read-pods
  namespace: default
roleRef:
  kind: Role
  name: pod-reader
  apiGroup: rbac.authorization.k8s.io
subjects:
# 하나 이상의 "대상(subject)"을 지정할 수 있습니다.
- kind: Group
  name: ReadPodsGroup
  apiGroup: rbac.authorization.k8s.io

클러스터에 위와 같은 롤바인딩이 생성되면, IAM 사용자 그룹 ReadPodsGroup에 속한 사용자들에게 롤 pod-reader에 작성된 API 작업을 수행할 수 있는 권한이 부여됩니다.

예시) 클러스터롤바인딩 read-nodes

# 이 클러스터롤바인딩은"ReadNodesGroup" 그룹에 속한 사용자가 노드를 조회하도록 허용합니다.
# "node-reader"라는 클러스터롤이 있어야 합니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: read-nodes
roleRef:
  kind: ClusterRole
  name: node-reader
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: Group
  name: ReadNodesGroup
  apiGroup: rbac.authorization.k8s.io

# 이 클러스터롤바인딩은"ReadNodesGroup" 그룹에 속한 사용자가 노드를 조회하도록 허용합니다.
# "node-reader"라는 클러스터롤이 있어야 합니다.
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: read-nodes
roleRef:
  kind: ClusterRole
  name: node-reader
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: Group
  name: ReadNodesGroup
  apiGroup: rbac.authorization.k8s.io

클러스터에 위와 같은 클러스터롤바인딩이 생성되면, IAM 사용자 그룹 ReadNodesGroup에 속한 사용자들에게 클러스터롤 node-reader에 작성된 API 작업을 수행할 수 있는 권한이 부여됩니다.

Samsung Cloud Platform용 사전 정의된 롤 및 롤바인딩

Samsung Cloud Platform의 Kubernetes Engine에는 다음과 같이 클러스터롤바인딩 scp-cluster-admin, scp-view, scp-namespace-view와 클러스터롤 scp-namespace-view가 사전정의되어 있습니다. 아래 표는 Samsung Cloud Platform용 사전 정의된 롤 및 롤바인딩, Samsung Cloud Platform 사용자의 연결 관계를 나타낸 것입니다. 여기서, 클러스터롤 cluster-admin과 view는 쿠버네티스 클러스터 내부에 사전 정의되어 있습니다. 자세한 설명은 롤을 참고하세요.

• 클러스터롤바인딩 scp-cluster-admin에 따라 Kubernetes Engine 서비스 생성자에게는 클러스터 관리자 권한이 부여됩니다.
• 클러스터롤바인딩 scp-view에 등록된 사용자 또는 그룹에는 클러스터 조회자 권한이 부여됩니다. 쿠버네티스에 사전 정의된 클러스터롤 view와 바인딩되며, 클러스터 범위 리소스(예: 네임스페이스, 노드, 인그레스클래스 등)와 네임스페이스 내 시크릿에 대한 접근 권한은 없습니다. 자세한 사항은 롤을 참고하세요.
• 클러스터롤바인딩 scp-namespace-view에 따라 해당 클러스터에 인증된 모든 사용자에게 네임스페이스 조회 권한이 부여됩니다.

Samsung Cloud Platform용 사전 정의된 롤 및 롤바인딩의 세부 내용은 다음과 같습니다.

클러스터롤바인딩 scp-cluster-admin

클러스터롤바인딩 scp-cluster-admin은 클러스터롤 cluster-admin과 연결되며, 대상(subjects) 항목에 따라 Samsung Cloud Platform 사용자(Kubernetes Engine 클러스터 생성자)와 바인딩됩니다.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
  name: scp-cluster-admin
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: User               
  name: jane.doe # 클러스터 생성자 사용자명
  apiGroup: rbac.authorization.k8s.io

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
  name: scp-cluster-admin
roleRef:
  kind: ClusterRole
  name: cluster-admin
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: User               
  name: jane.doe # 클러스터 생성자 사용자명
  apiGroup: rbac.authorization.k8s.io

클러스터롤바인딩 scp-view

클러스터롤바인딩 scp-view는 클러스터롤 view와 바인딩되며, 대상(subjects) 항목에 Samsung Cloud Platform 사용자 또는 IAM 사용자 그룹을 추가할 수 있습니다.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: scp-view
roleRef:
  kind: ClusterRole
  name: view
  apiGroup: rbac.authorization.k8s.io

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: scp-view
roleRef:
  kind: ClusterRole
  name: view
  apiGroup: rbac.authorization.k8s.io

클러스터롤 및 클러스터롤바인딩 scp-namespace-view

클러스터롤 scp-namespace-view는 네임스페이스에 대한 조회 권한을 정의한 롤입니다. 클러스터롤바인딩 scp-namespace-view는 클러스터롤 scp-namespace-view과 바인딩되며, 해당 클러스터에 인증된 모든 사용자에게 네임스페이스 조회 권한을 부여합니다.

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: scp-namespace-view
rules:
- apiGroups: [""]
  resources: ["namespaces"]
  verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: scp-namespace-view
roleRef:
  kind: ClusterRole
  name: scp-namespace-view
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: Group
  name: system:authenticated
  apiGroup: rbac.authorization.k8s.io

apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: scp-namespace-view
rules:
- apiGroups: [""]
  resources: ["namespaces"]
  verbs: ["get", "list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: scp-namespace-view
roleRef:
  kind: ClusterRole
  name: scp-namespace-view
  apiGroup: rbac.authorization.k8s.io
subjects:
- kind: Group
  name: system:authenticated
  apiGroup: rbac.authorization.k8s.io

IAM 사용자 그룹 RBAC 유스케이스

이 챕터에서는 주요 사용자 시나리오별로 권한을 부여하는 예시를 설명합니다. 여기에 제시된 IAM 사용자 그룹, 클러스터롤바인딩/롤바인딩, 클러스터롤의 이름은 이해를 돕기 위한 하나의 예시입니다. 관리자는 필요에 맞게 적절한 이름과 권한을 정의하여 적용하세요.

클러스터 관리자

클러스터 관리자를 생성하려면 다음 절차를 따르세요.

1. ClusterAdminGroup이라는 이름의 IAM 사용자 그룹을 생성하세요.
2. 대상 클러스터에 다음과 같은 내용의 클러스터롤바인딩을 생성하세요.
   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: cluster-admin-group
   roleRef:
     kind: ClusterRole
     name: cluster-admin
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: ClusterAdminGroup
     apiGroup: rbac.authorization.k8s.io

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: cluster-admin-group
   roleRef:
     kind: ClusterRole
     name: cluster-admin
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: ClusterAdminGroup
     apiGroup: rbac.authorization.k8s.io

• 기본 클러스터롤 cluster-admin과 연계되어, 해당 클러스터에 대한 관리자 권한이 부여됩니다.

클러스터 편집자

클러스터 편집자를 생성하려면 다음 절차를 따르세요.

1. ClusterEditGroup이라는 이름의 IAM 사용자 그룹을 생성하세요.
2. 대상 클러스터에 다음과 같은 내용의 클러스터롤바인딩을 생성하세요.
   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: cluster-edit-group
   roleRef:
     kind: ClusterRole
     name: edit
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: ClusterEditGroup
     apiGroup: rbac.authorization.k8s.io

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: cluster-edit-group
   roleRef:
     kind: ClusterRole
     name: edit
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: ClusterEditGroup
     apiGroup: rbac.authorization.k8s.io

• 기본 클러스터롤 edit와 연계되어, 해당 클러스터에 대한 편집자 권한이 부여됩니다.

클러스터 조회자

클러스터 조회자를 생성하려면 다음 절차를 따르세요.

1. ClusterViewGroup이라는 이름의 IAM 사용자 그룹을 생성하세요.
2. 대상 클러스터에 다음과 같은 내용의 클러스터롤바인딩을 생성하세요.
   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: cluster-view-group
   roleRef:
     kind: ClusterRole
     name: view
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: ClusterViewGroup
     apiGroup: rbac.authorization.k8s.io

   apiVersion: rbac.authorization.k8s.io/v1
   kind: ClusterRoleBinding
   metadata:
     name: cluster-view-group
   roleRef:
     kind: ClusterRole
     name: view
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: ClusterViewGroup
     apiGroup: rbac.authorization.k8s.io

• 기본 클러스터롤 view와 연계되어, 해당 클러스터에 대한 조회자 권한이 부여됩니다.

네임스페이스 관리자

네임스페이스 관리자를 생성하려면 다음 절차를 따르세요.

1. NamespaceAdminGroup이라는 이름의 IAM 사용자 그룹을 생성하세요.
2. 대상 클러스터에 다음과 같은 내용의 롤바인딩을 생성하세요.
   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: namespace-admin-group
     namespace: <네임스페이스_이름>
   roleRef:
     kind: ClusterRole
     name: admin
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: NamespaceAdminGroup
     apiGroup: rbac.authorization.k8s.io

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: namespace-admin-group
     namespace: <네임스페이스_이름>
   roleRef:
     kind: ClusterRole
     name: admin
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: NamespaceAdminGroup
     apiGroup: rbac.authorization.k8s.io

• 기본 클러스터롤 admin과 연계되어, 해당 네임스페이스에 대한 관리자 권한이 부여됩니다.

네임스페이스 편집자

네임스페이스 편집자를 생성하려면 다음 절차를 따르세요.

1. NamespaceEditGroup이라는 이름의 IAM 사용자 그룹을 생성하세요.
2. 대상 클러스터에 다음과 같은 내용의 롤바인딩을 생성하세요.
   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: namespace-edit-group
     namespace: <네임스페이스_이름>
   roleRef:
     kind: ClusterRole
     name: edit
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: NamespaceEditGroup
     apiGroup: rbac.authorization.k8s.io

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: namespace-edit-group
     namespace: <네임스페이스_이름>
   roleRef:
     kind: ClusterRole
     name: edit
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: NamespaceEditGroup
     apiGroup: rbac.authorization.k8s.io

• 기본 클러스터롤 edit와 연계되어, 해당 네임스페이스에 대한 편집자 권한이 부여됩니다.

네임스페이스 조회자

네임스페이스 조회자를 생성하려면 다음 절차를 따르세요.

1. NamespaceViewGroup이라는 이름의 IAM 사용자 그룹을 생성하세요.
2. 대상 클러스터에 다음과 같은 내용의 롤바인딩을 생성하세요.
   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: namespace-view-group
     namespace: <네임스페이스_이름>
   roleRef:
     kind: ClusterRole
     name: view
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: NamespaceViewGroup
     apiGroup: rbac.authorization.k8s.io

   apiVersion: rbac.authorization.k8s.io/v1
   kind: RoleBinding
   metadata:
     name: namespace-view-group
     namespace: <네임스페이스_이름>
   roleRef:
     kind: ClusterRole
     name: view
     apiGroup: rbac.authorization.k8s.io
   subjects:
   - kind: Group
     name: NamespaceViewGroup
     apiGroup: rbac.authorization.k8s.io

• 기본 클러스터롤 view와 연계되어, 해당 네임스페이스에 대한 조회자 권한이 부여됩니다.

3 - type LoadBalancer 서비스 사용하기

서비스 구성 방법

Service 매니페스트 파일(예시: my-lb-svc.yaml )을 작성하여 적용하면 LoadBalancer 형식(type)의 Service를 구성할 수 있습니다.

type LoadBalancer Service를 작성해 적용하려면 다음 절차를 따르세요.

1. Service 매니페스트 파일 my-lb-svc.yaml 을 작성합니다.

   Sample Code Download

   Copy Code

   배경색 변경

   apiVersion: v1
   kind: Service
   metadata:
     name: my-service
   spec:
     selector:
       app.kubernetes.io/name: MyApp
     ports:
       - protocol: TCP
         port: 80
         targetPort: 9376
         appProtocol: tcp # LB 서비스 프로토콜 유형 설정 문단 참고
     type: LoadBalancer

   apiVersion: v1
   kind: Service
   metadata:
     name: my-service
   spec:
     selector:
       app.kubernetes.io/name: MyApp
     ports:
       - protocol: TCP
         port: 80
         targetPort: 9376
         appProtocol: tcp # LB 서비스 프로토콜 유형 설정 문단 참고
     type: LoadBalancer

2. kubectl apply 명령어를 사용해 Service 매니페스트를 배포합니다.

   Sample Code Download

   Copy Code

   배경색 변경

   kubectl apply -f my-lb-svc.yaml

   kubectl apply -f my-lb-svc.yaml

3. kubectl get service 명령어를 사용하여 Load Balancer 구성을 확인합니다.
   Sample Code Download

   Copy Code

   배경색 변경

   # kubectl get service my-lb-svc
   NAMESPACE     NAME         TYPE           CLUSTER-IP       EXTERNAL-IP       PORT(S)         AGE
   default       my-lb-svc    LoadBalancer   172.20.49.206    123.123.123.123   80:32068/TCP    3m

   # kubectl get service my-lb-svc
   NAMESPACE     NAME         TYPE           CLUSTER-IP       EXTERNAL-IP       PORT(S)         AGE
   default       my-lb-svc    LoadBalancer   172.20.49.206    123.123.123.123   80:32068/TCP    3m

프로토콜 유형

Service 매니페스트를 작성하여 사용할 수 있습니다. 다음은 간단한 예시입니다.

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    ...
  ports:
    - port: 80
      targetPort: 9376
      protocol: TCP    # 필수 (TCP, UDP 중 택일)
      appProtocol: tcp # 선택 (입력하지 않거나 tcp, http, https 중 택일)
  type: LoadBalancer   # 타입 로드밸런서

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    ...
  ports:
    - port: 80
      targetPort: 9376
      protocol: TCP    # 필수 (TCP, UDP 중 택일)
      appProtocol: tcp # 선택 (입력하지 않거나 tcp, http, https 중 택일)
  type: LoadBalancer   # 타입 로드밸런서

Kubernetes Engine의 type Load Balancer Service에서 지원하는 프로토콜(protocol과 appProtocol) 목록과 그에 따라 Load Balancer 서비스에 적용되는 설정은 다음과 같습니다.

• k8s Service 매니페스트 스펙에 따라 하나의 서비스에 여러 포트를 지정할 수 있습니다.

L4 Service 매니페스트 작성 예시

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80
      targetPort: 9376
  type: LoadBalancer

apiVersion: v1
kind: Service
metadata:
  name: my-service
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - protocol: TCP
      port: 80
      targetPort: 9376
  type: LoadBalancer

L7 Service 매니페스트 작성 예시

apiVersion: v1
kind: Service
metadata:
  annotations:
    service.beta.kubernetes.io/scp-load-balancer-layer-type: "L7" # 필수
    service.beta.kubernetes.io/scp-load-balancer-client-cert-id: "24da35de187b450eb0cf09fb6fa146de" # 필수
  name: my-service
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - appProtocol: http # 필수
      protocol: TCP
      port: 80
      targetPort: 9376
    - appProtocol: https # 필수
      protocol: TCP
      port: 443
      targetPort: 9898
  type: LoadBalancer
  

apiVersion: v1
kind: Service
metadata:
  annotations:
    service.beta.kubernetes.io/scp-load-balancer-layer-type: "L7" # 필수
    service.beta.kubernetes.io/scp-load-balancer-client-cert-id: "24da35de187b450eb0cf09fb6fa146de" # 필수
  name: my-service
spec:
  selector:
    app.kubernetes.io/name: MyApp
  ports:
    - appProtocol: http # 필수
      protocol: TCP
      port: 80
      targetPort: 9376
    - appProtocol: https # 필수
      protocol: TCP
      port: 443
      targetPort: 9898
  type: LoadBalancer
  

어노테이션 상세 설정

서비스 매니페스트에 어노테이션을 추가해 상세 기능을 설정할 수 있습니다.

apiVersion: v1
kind: Service
metatdata:
  name: my-lb-svc
  annotations:
    service.beta.kubernetes.io/scp-load-balancer-public-ip-enabled: "true"
    service.beta.kubernetes.io/scp-load-balancer-health-check-interval: "5"
    service.beta.kubernetes.io/scp-load-balancer-health-check-timeout: "5"
    service.beta.kubernetes.io/scp-load-balancer-health-check-count: "3"
    service.beta.kubernetes.io/scp-load-balancer-session-duration-time: "300"
  spec:
  type: LoadBalancer
  ...
  

apiVersion: v1
kind: Service
metatdata:
  name: my-lb-svc
  annotations:
    service.beta.kubernetes.io/scp-load-balancer-public-ip-enabled: "true"
    service.beta.kubernetes.io/scp-load-balancer-health-check-interval: "5"
    service.beta.kubernetes.io/scp-load-balancer-health-check-timeout: "5"
    service.beta.kubernetes.io/scp-load-balancer-health-check-count: "3"
    service.beta.kubernetes.io/scp-load-balancer-session-duration-time: "300"
  spec:
  type: LoadBalancer
  ...
  

서비스에 별도의 어노테이션을 추가하지 않은 경우 적용되는 어노테이션 기본값과 허용값은 다음과 같습니다. 또한 각 어노테이션에 대한 주의 사항을 확인하세요.

제약사항

Kubernetes 어노테이션 사용 시에 고려해야 할 제약사항은 다음과 같습니다.

4 - 사용 시 고려사항

관리형 포트 제약사항

다음 포트들은 SKE 관리를 위해 사용되므로 서비스 이용에는 사용할 수 없습니다. 또한 OS 방화벽 등으로 차단하는 경우, 노드 기능 또는 일부 기능이 정상 작동하지 않을 수 있습니다.

kube-reserved 리소스 제약사항

kube-reserved는 노드에서 파드로 실행되지 않는 시스템 데몬에 대한 리소스를 확보하기 위해 예약해두는 기능입니다.

• 파드로 실행되지 않는 시스테 데몬에는 kubelet, container runtime 등이 있습니다.

Kubernetes Engine은 다음과 같은 기준으로 CPU 및 메모리를 예약합니다.

• 예시: vCPU 16코어, Memory 32G Virtual Server의 경우, kube-reserved는 다음과 같이 계산됩니다.

  • CPU: (1코어 × 0.06) + (1코어 × 0.01) + (2코어 × 0.005) + (12코어 × 0.0025) = 0.11코어
  • 메모리: (4 GB × 0.25) + (4 GB × 0.2) + (8 GB × 0.1) + (16 GB × 0.06) = 3.56 GB

• 예시: CPU 크기에 따라 예약되는 리소스는 다음과 같습니다.

• 예시: 메모리 크기에 따라 예약되는 리소스는 다음과 같습니다.

5 - 버전 정보

Kubernetes 버전 및 지원 기간

Kubernetes 버전 수명 주기

Kubernetes 오픈소스 소프트웨어(OSS) 커뮤니티는 연 3회 마이너 버전을 출시하며, 출시 주기는 약 15주입니다. 출시된 마이너 버전은 약 14개월(표준 패치 12개월, 유지보수 2개월)의 지원 기간을 거쳐 EOL(End of Life)이 됩니다.

Samsung Cloud Platform Kubernetes Engine (SKE) 버전 제공 계획

SKE는 출시된 OSS 마이너 버전 중 Stable 상태의 패치 버전을 검증하여 제공합니다. 따라서 SKE에서 제공하는 버전의 출시 시점은 동일 OSS 버전 출시 시점과 차이가 있습니다.

또한 기존 출시된 버전의 경우, 오픈소스 EOL 시기 등을 고려하여, 오래된 버전부터 순차적으로 기술 지원이 종료(End of Tech support, EoTS)됩니다.

OSS와 SKE의 출시 일정 및 종료 일정은 다음과 같습니다.

기술 지원 종료(EoTS) 시 기능 제한

SKE에서 제공 중인 Kubernetes 버전이 기술 지원 종료(EoTS) 상태가 되면, 해당 버전에서 지원되는 기능이 제한될 수 있습니다.

• 신규 클러스터 생성 → 생성 불가
• 기존 클러스터 업그레이드 → 업그레이드 가능 (상위 버전이 EoTS라도 업그레이드 가능)
• 기존 클러스터에서 노드 풀 생성 → 생성 가능

OS 및 GPU 드라이버

K8s 서버 유형별로 사용할 수 있는 OS 및 GPU 드라이버 버전 정보는 다음과 같습니다.