관리형 워크로드의 수명 주기 관리 구성

이 문서에서는 Certificate Manager (2세대)를 사용하여 Compute Engine 및 Google Kubernetes Engine (GKE)과 같은 관리형 워크로드의 인증서 수명 주기 관리를 구성하는 방법을 보여줍니다. 인증서 발급 구성을 사용하여 관리형 워크로드 아이덴티티 풀을 Certificate Authority Service 풀에 연결하여 인증서 발급 및 갱신을 자동화할 수 있습니다. 이렇게 하면 만료된 인증서로 인한 서비스 중단을 방지할 수 있습니다.

관리형 워크로드 아이덴티티 작동 방식

관리형 워크로드 아이덴티티는 Compute Engine 및 GKE 워크로드에 증명된 ID를 제공하며, 워크로드가 상호 TLS (mTLS)를 통해 서로 인증하는 데 사용하는 인증서 및 신뢰 앵커도 함께 제공합니다. 관리형 워크로드 아이덴티티는 워크로드 아이덴티티 풀로 그룹화되며, 이 풀은 해당 ID의 트러스트 경계 역할을 합니다.

워크로드 아이덴티티 풀을 CA Service 풀에 연결하면Google Cloud 에서 워크로드의 인증서를 자동으로 발급하고 갱신합니다. 이러한 자동화를 통해 수동 사용자 인증 정보 관리가 필요하지 않으며 서비스 중단이 방지됩니다.

시작하기 전에

  1. Google Cloud 계정에 로그인합니다. Google Cloud를 처음 사용하는 경우 계정을 만들고 Google 제품의 실제 성능을 평가해 보세요. 신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.

  2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  3. If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

  4. Verify that billing is enabled for your Google Cloud project.

  5. Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

  6. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

    Roles required to select or create a project

    • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
    • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

    Go to project selector

  7. If you're using an existing project for this guide, verify that you have the permissions required to complete this guide. If you created a new project, then you already have the required permissions.

  8. Verify that billing is enabled for your Google Cloud project.

  9. Enable the Compute Engine, Certificate Manager, Certificate Authority Service APIs, if any are not already enabled.

    Roles required to enable APIs

    To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

    Enable the APIs

    10.
  10. 관리형 워크로드 아이덴티티가 있는 기존 워크로드 아이덴티티 풀이 있는지 확인합니다. 자세한 내용은 Compute Engine의 관리형 워크로드 아이덴티티 인증 구성 또는 GKE의 관리형 워크로드 아이덴티티 인증 구성을 참조하세요.
  11. 워크로드에 인증서를 발급할 수 있는 기존 CA 서비스 풀이 있는지 확인합니다. 자세한 내용은 CA 풀 만들기를 참조하세요.

필요한 역할

수명 주기 관리를 구성하는 데 필요한 권한을 얻으려면 관리자에게 프로젝트에 대한 다음 IAM 역할을 부여해 달라고 요청하세요.

역할 부여에 대한 자세한 내용은 프로젝트, 폴더, 조직에 대한 액세스 관리를 참조하세요.

커스텀 역할이나 다른 사전 정의된 역할을 통해 필요한 권한을 얻을 수도 있습니다.

관리형 워크로드의 수명 주기 구성

관리형 워크로드 아이덴티티 풀을 구성하여 연결된 워크로드가 기존 CA Service 풀에서 인증서를 수신하고 갱신하는 방법을 지정합니다.

  1. Google Cloud 콘솔에서 인증서 관리자 (2세대) 페이지로 이동합니다.

    인증서 관리자 (2세대)로 이동

  2. 탐색창에서 수명 주기 관리를 클릭합니다.
  3. 관리형 워크로드 아이덴티티 탭을 선택합니다.
  4. 구성하려는 워크로드 아이덴티티 풀을 찾은 후 수명 주기 관리 구성을 클릭합니다.
  5. 리전의 리전 및 CA 풀을 선택합니다.
  6. 인증서 전체 기간 필드에서 발급된 인증서의 유효성을 지정합니다. 값은 21~30일 사이여야 합니다.
  7. 순환 기간을 50~80 사이의 값으로 설정합니다. 갱신을 트리거하는 인증서 수명의 비율입니다.
  8. 키 알고리즘 필드에서 비공개 키를 생성하는 데 사용할 암호화 알고리즘을 선택합니다.
  9. 업데이트를 클릭합니다.

다음 단계