{"type":"doc","content":[{"type":"extension","attrs":{"layout":"default","extensionType":"com.atlassian.confluence.macro.core","extensionKey":"toc","parameters":{"macroParams":{"style":{"value":"none"}},"macroMetadata":{"macroId":{"value":"fe8ad80e-5d51-410e-9409-353dcca1d648"},"schemaVersion":{"value":"1"},"title":"목차"}},"localId":"a2bd8cd6-1b15-46c1-b704-d71a56a1d26d"}},{"type":"rule"},{"type":"heading","attrs":{"level":2},"content":[{"text":"1. 계정 및 권한관리 (RBAC, Role-Based Access Control)","type":"text","marks":[{"type":"strong"}]}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"1.1 주요 개념","type":"text","marks":[{"type":"strong"}]}]},{"type":"orderedList","attrs":{"order":1},"content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Service Account","type":"text","marks":[{"type":"strong"}]},{"text":": Kubernetes 클러스터 내에서 파드가 API 서버와 상호작용할 때 사용되는 계정입니다. 각 네임스페이스에는 기본적으로 ","type":"text"},{"text":"default","type":"text","marks":[{"type":"code"}]},{"text":" 서비스 계정이 있습니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Role","type":"text","marks":[{"type":"strong"}]},{"text":": 특정 리소스에 대한 권한을 정의합니다. 예를 들어, ","type":"text"},{"text":"pods","type":"text","marks":[{"type":"code"}]},{"text":" 리소스에 대해 ","type":"text"},{"text":"get","type":"text","marks":[{"type":"code"}]},{"text":", ","type":"text"},{"text":"list","type":"text","marks":[{"type":"code"}]},{"text":", ","type":"text"},{"text":"watch","type":"text","marks":[{"type":"code"}]},{"text":" 권한을 정의할 수 있습니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"RoleBinding","type":"text","marks":[{"type":"strong"}]},{"text":": Role을 Service Account에 바인딩하여 해당 권한을 부여합니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"ClusterRole","type":"text","marks":[{"type":"strong"}]},{"text":": 클러스터 전체에 적용될 수 있는 Role입니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"ClusterRoleBinding","type":"text","marks":[{"type":"strong"}]},{"text":": ClusterRole을 Service Account에 바인딩하여 클러스터 전체에 대한 권한을 부여합니다.","type":"text"}]}]}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"1.2 리소스 설명","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Service Account","type":"text","marks":[{"type":"strong"}]},{"text":"는 파드가 Kubernetes API 서버와 상호작용할 때 사용할 수 있는 계정입니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Role","type":"text","marks":[{"type":"strong"}]},{"text":"과 ","type":"text"},{"text":"RoleBinding","type":"text","marks":[{"type":"strong"}]},{"text":"을 통해 서비스 계정에 특정 권한을 부여할 수 있습니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"ClusterRole","type":"text","marks":[{"type":"strong"}]},{"text":"과 ","type":"text"},{"text":"ClusterRoleBinding","type":"text","marks":[{"type":"strong"}]},{"text":"은 클러스터 전체에 대한 권한을 부여할 수 있습니다.","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"서비스 계정을 사용하여 파드를 생성하면 해당 파드는 부여받은 권한 내에서 Kubernetes API 서버와 상호작용할 수 있습니다.","type":"text"}]}]}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"1.3 Service Account 생성 및 사용 예제","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"(1) Service Account 생성","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"먼저, 네임스페이스에 새로운 서비스 계정을 생성합니다.","type":"text"}]},{"type":"paragraph","content":[{"text":"10/00-service-account.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: v1\nkind: ServiceAccount\nmetadata:\n name: my-service-account\n namespace: default","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"위의 YAML 파일을 ","type":"text"},{"text":"service-account.yaml","type":"text","marks":[{"type":"code"}]},{"text":"로 저장하고, 다음 명령어로 적용합니다:","type":"text"}]},{"type":"codeBlock","content":[{"text":"kubectl apply -f 00-service-account.yaml","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"(2) Role 및 RoleBinding 생성","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"새로운 서비스 계정에 특정 권한을 부여하기 위해 Role과 RoleBinding을 생성합니다.","type":"text"}]},{"type":"paragraph","content":[{"text":"10/01-role.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: rbac.authorization.k8s.io/v1\nkind: Role\nmetadata:\n namespace: default\n name: pod-reader\nrules:\n- apiGroups: [\"\"]\n resources: [\"pods\"]\n verbs: [\"get\", \"watch\", \"list\"]","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"위의 YAML 파일을 ","type":"text"},{"text":"role.yaml","type":"text","marks":[{"type":"code"}]},{"text":"로 저장하고, 다음 명령어로 적용합니다:","type":"text"}]},{"type":"codeBlock","content":[{"text":"kubectl apply -f 01-role.yaml","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"RoleBinding 생성","type":"text"}]},{"type":"paragraph","content":[{"text":"10/02-rolebinding.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: rbac.authorization.k8s.io/v1\nkind: RoleBinding\nmetadata:\n name: read-pods\n namespace: default\nsubjects:\n- kind: ServiceAccount\n name: my-service-account\n namespace: default\nroleRef:\n kind: Role\n name: pod-reader\n apiGroup: rbac.authorization.k8s.io","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"위의 YAML 파일을 ","type":"text"},{"text":"rolebinding.yaml","type":"text","marks":[{"type":"code"}]},{"text":"로 저장하고, 다음 명령어로 적용합니다:","type":"text"}]},{"type":"codeBlock","content":[{"text":"kubectl apply -f 02-rolebinding.yaml","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"(3) 파드에서 Service Account 사용","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"이제 생성한 서비스 계정을 사용하여 파드를 생성합니다.","type":"text"}]},{"type":"paragraph","content":[{"text":"10/03-service-account-pod.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: v1\nkind: Pod\nmetadata:\n name: my-pod\nspec:\n serviceAccountName: my-service-account\n containers:\n - name: my-container\n image: nginx","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"위의 YAML 파일을 ","type":"text"},{"text":"pod.yaml","type":"text","marks":[{"type":"code"}]},{"text":"로 저장하고, 다음 명령어로 적용합니다:","type":"text"}]},{"type":"codeBlock","content":[{"text":"kubectl apply -f 03-service-account-pod.yaml","type":"text"}]},{"type":"paragraph"},{"type":"paragraph"},{"type":"paragraph"},{"type":"rule"},{"type":"heading","attrs":{"level":2},"content":[{"text":"2. Ingress TLS 인증서 적용","type":"text","marks":[{"type":"strong"}]}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"2.1 ","type":"text","marks":[{"type":"strong"}]},{"text":"애플리케이션 생성","type":"text"}]},{"type":"paragraph","content":[{"text":"10/04-ingress-backend.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: v1\nkind: Namespace\nmetadata:\n name: world\n---\napiVersion: v1\nkind: ConfigMap\nmetadata:\n name: europe-nginx-config\n namespace: world\ndata:\n nginx.conf: |\n events {\n worker_connections 1024;\n }\n http {\n server {\n listen 80;\n server_name localhost;\n\n location / {\n root /usr/share/nginx/html;\n index index.html;\n }\n\n }\n }\n index.html: |\n \n \n Europe Page\n \n \n

Welcome to the Europe Page

\n \n \n---\napiVersion: apps/v1\nkind: Deployment\nmetadata:\n name: europe\n namespace: world\nspec:\n replicas: 2\n selector:\n matchLabels:\n app: europe\n template:\n metadata:\n labels:\n app: europe\n spec:\n containers:\n - name: europe\n image: nginx:latest\n volumeMounts:\n - name: nginx-config\n mountPath: /etc/nginx/nginx.conf\n subPath: nginx.conf\n - name: nginx-html\n mountPath: /usr/share/nginx/html\n volumes:\n - name: nginx-config\n configMap:\n name: europe-nginx-config\n items:\n - key: nginx.conf\n path: nginx.conf\n - name: nginx-html\n configMap:\n name: europe-nginx-config\n items:\n - key: index.html\n path: index.html\n---\napiVersion: v1\nkind: Service\nmetadata:\n name: europe\n namespace: world\nspec:\n selector:\n app: europe\n ports:\n - protocol: TCP\n port: 80\n targetPort: 80\n type: LoadBalancer","type":"text"}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"2.2 OpenSSL을 사용하여 자체 서명된 TLS 인증서 생성","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"10/05-openssl-create-tls.txt","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout cert.key -out cert.crt -subj \"/CN=world.universe.mine/O=world.universe.mine\"","type":"text"}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"2.3 쿠버네티스 시크릿 생성","type":"text","marks":[{"type":"strong"}]}]},{"type":"codeBlock","content":[{"text":"#네임스페이스 생성\nkubectl create ns world\n\n#시크릿 생성\nkubectl -n world create secret tls ingress-tls --key cert.key --cert cert.crt","type":"text"}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"2.4 Ingress 리소스 생성","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"10/06-ingress-tls.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: networking.k8s.io/v1\nkind: Ingress\nmetadata:\n name: world\n namespace: world\n annotations:\n nginx.ingress.kubernetes.io/ssl-redirect: \"false\"\n nginx.ingress.kubernetes.io/use-regex: \"true\"\n nginx.ingress.kubernetes.io/rewrite-target: /$1\nspec:\n ingressClassName: nginx\n tls:\n - hosts:\n - world.universe.mine\n secretName: ingress-tls\n rules:\n - host: \"world.universe.mine\"\n http:\n paths:\n - path: /europe\n pathType: Prefix\n backend:\n service:\n name: europe\n port:\n number: 80","type":"text"}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"2.4 hosts 파일 수정","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"ingress-controller Service의 IP를 입력합니다.","type":"text"}]}]}]},{"type":"codeBlock","content":[{"text":"...\n192.168.1.150 world.universe.mine","type":"text"}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"2.5 호출","type":"text","marks":[{"type":"strong"}]}]},{"type":"codeBlock","content":[{"text":"curl -kv https://world.universe.mine/europe","type":"text"}]},{"type":"paragraph"},{"type":"rule"},{"type":"heading","attrs":{"level":2},"content":[{"text":"3. Network Policy","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"네트워크 레벨에서 파드 간 트래픽을 제어할 수 있는 리소스","type":"text"}]}]},{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"클러스터 보안을 강화하고, 서비스 간 통신을 제어하며, 격리된 네트워크 환경을 만들기 위해 사용","type":"text"}]}]}]},{"type":"heading","attrs":{"level":3},"content":[{"text":"3.1 주요 개념","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"(1) 네임스페이스","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Network Policy는 특정 네임스페이스에 적용됩니다.","type":"text"}]}]}]},{"type":"paragraph","content":[{"text":"(2) Pod Selector","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"특정 레이블을 가진 파드에 대한 트래픽을 필터링합니다.","type":"text"}]}]}]},{"type":"paragraph","content":[{"text":"(3) Policy Types","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"Ingress와 Egress 트래픽을 제어할 수 있습니다.","type":"text"}]}]}]},{"type":"paragraph","content":[{"text":"(4) Ingress","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"파드로 들어오는 트래픽을 제어합니다.","type":"text"}]}]}]},{"type":"paragraph","content":[{"text":"(5) Egress","type":"text","marks":[{"type":"strong"}]}]},{"type":"bulletList","content":[{"type":"listItem","content":[{"type":"paragraph","content":[{"text":"파드에서 나가는 트래픽을 제어합니다.","type":"text"}]}]}]},{"type":"paragraph"},{"type":"heading","attrs":{"level":3},"content":[{"text":"3.2 Network Policy 예제","type":"text","marks":[{"type":"strong"}]}]},{"type":"paragraph","content":[{"text":"(1) 특정 파드에 대해 모든 인바운드 트래픽을 허용","type":"text"}]},{"type":"paragraph","content":[{"text":"10/07-networkpolicy-allow-all.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: networking.k8s.io/v1\nkind: NetworkPolicy\nmetadata:\n name: allow-all-ingress\n namespace: default\nspec:\n podSelector: {}\n policyTypes:\n - Ingress\n ingress:\n - {}","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"(2) web 네임스페이스에서 모든 Ingress 및 Egress 트래픽 차단","type":"text"}]},{"type":"codeBlock","content":[{"text":"kubectl create ns web","type":"text"}]},{"type":"paragraph","content":[{"text":"10/08-networkpolicy-deny-all.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: networking.k8s.io/v1\nkind: NetworkPolicy\nmetadata:\n name: deny-all-traffic\n namespace: web\nspec:\n podSelector: {}\n policyTypes:\n - Ingress\n - Egress","type":"text"}]},{"type":"panel","attrs":{"panelType":"info"},"content":[{"type":"paragraph","content":[{"text":"web 네임스페이스에 파드를 생성하여, 네트워크 상태를 확인해봅시다.","type":"text"}]}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"(3) 특정 파드로의 Ingress 트래픽 허용","type":"text"}]},{"type":"paragraph","content":[{"text":"10/09-networkpolicy-sample1.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: networking.k8s.io/v1\nkind: NetworkPolicy\nmetadata:\n name: allow-backend-to-frontend\n namespace: default\nspec:\n podSelector:\n matchLabels:\n app: frontend\n policyTypes:\n - Ingress\n ingress:\n - from:\n - podSelector:\n matchLabels:\n app: backend","type":"text"}]},{"type":"panel","attrs":{"panelType":"info"},"content":[{"type":"paragraph","content":[{"text":"default 네임스페이스에 app: frontend Label을 가진 파드와 app: backend Label을 가진 파드를 생성하여 설정은 확인해봅시다.","type":"text"}]}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"(4) 특정 IP 블록으로의 Ingress 트래픽 허용","type":"text"}]},{"type":"paragraph","content":[{"text":"10/10-networkpolicy-sample2.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: networking.k8s.io/v1\nkind: NetworkPolicy\nmetadata:\n name: allow-specific-ip\n namespace: default\nspec:\n podSelector:\n matchLabels:\n app: myapp\n policyTypes:\n - Ingress\n ingress:\n - from:\n - ipBlock:\n cidr: 192.168.0.0/16\n except:\n - 192.168.1.0/24","type":"text"}]},{"type":"paragraph"},{"type":"paragraph","content":[{"text":"(5) web 네임스페이스에 있는 파드가 my-service 네임스페이스의 app: myservice 라벨이 있는 파드로만 Egress 트래픽을 허용","type":"text"}]},{"type":"paragraph","content":[{"text":"10/11-networkpolicy-sample3.yaml","type":"text","marks":[{"type":"code"}]}]},{"type":"codeBlock","content":[{"text":"apiVersion: networking.k8s.io/v1\nkind: NetworkPolicy\nmetadata:\n name: allow-egress-to-myservice\n namespace: web\nspec:\n podSelector: {}\n policyTypes:\n - Egress\n egress:\n - to:\n - namespaceSelector:\n matchLabels:\n name: my-service\n podSelector:\n matchLabels:\n app: myservice","type":"text"}]},{"type":"panel","attrs":{"panelType":"info"},"content":[{"type":"paragraph","content":[{"text":"조건에 맞는 네임스페이스 및 파드를 생성하여 Network Policy가 올바르게 적용되는지 확인해봅시다.","type":"text"}]}]}],"version":1}