AWS Private CA Connector for Kubernetes를 시작합니다.

다음 신뢰 정책을 trust-policy.json 포함하는 라는 파일을 생성합니다.

다음 명령을 실행하여 IAM 역할을 생성합니다.

ROLE_ARN=$(aws iam create-role \
  --role-name CertManagerPrivateCARole \
  --assume-role-policy-document file://trust-policy.json \
  --region $REGION \
  --output text \
  --query "Role.Arn")
 
 aws iam attach-role-policy \
  --role-name CertManagerPrivateCARole \
  --policy-arn arn:aws:iam::aws:policy/AWSPrivateCAConnectorForKubernetesPolicy

에 저장된 프라이빗 CA를 신뢰하는 트러스트 앵커를 생성합니다CA_ARN. 지침은 시작하기를 참조하세요 IAM Roles Anywhere. 환경 변수를 생성하여 트러스트 앵커 ARN을 저장합니다.

export TRUST_ANCHOR_ARN=trustAnchorArn

다음 신뢰 정책을 trust-policy.json 포함하는 라는 파일을 생성합니다.

다음 명령을 실행하여 IAM 역할을 생성합니다.

ROLE_ARN=$(aws iam create-role \
  --role-name CertManagerPrivateCARole \
  --assume-role-policy-document file://trust-policy.json \
  --query "Role.Arn" \
  --region $REGION \
  --output text)
  
 aws iam attach-role-policy \
  --role-name CertManagerPrivateCARole \
  --region $REGION \
  --policy-arn arn:aws:iam::aws:policy/AWSPrivateCAConnectorForKubernetesPolicy

다음에서 프로필을 생성합니다 IAM Roles Anywhere.

PROFILE_ARN=$(aws rolesanywhere create-profile \
  --name "privateca-profile" \
  --role-arns "$ROLE_ARN" \
  --region "$REGION" \
  --query 'profile.profileArn' \
  --enabled \
  --output text)

Kubernetes용 커넥터와 함께 사용하고 AWS Private CA다음을 사용하여 인증 IAM Roles Anywhere 할 클라이언트 인증서를 생성합니다.

1. 클라이언트 인증서에 대한 프라이빗 키를 생성합니다.

   openssl genrsa -out client.key 2048

2. 클라이언트 인증서에 대한 인증서 서명 요청(CSR)을 생성합니다.

   openssl req -new \
     -key client.key \
     -out client.csr \
     -subj "/CN=aws-privateca-issuer"

3. AWS Private CA다음에서 클라이언트 인증서를 발급합니다.

   CERT_ARN=$(aws acm-pca issue-certificate \
     --signing-algorithm SHA256WITHRSA \
     --csr fileb://client.csr \
     --validity Value=1,Type=DAYS \
     --certificate-authority-arn "$CA_ARN" \
     --region "$REGION" \
     --query 'CertificateArn' \
     --output text)

4. 클라이언트 인증서를 로컬에 저장합니다.

   aws acm-pca get-certificate \
     --certificate-authority-arn $CA_ARN \
     --certificate-arn $CERT_ARN \
     --region $REGION \
     --query 'Certificate' 
     --output text > pca-issuer-client-cert.pem

클라이언트 인증서를 사용하여 클러스터에 AWS Private CA 발급자를 설치합니다.

1. awspca Helm 리포지토리를 추가합니다.

   helm repo add awspca https://cert-manager.github.io/aws-privateca-issuer 
   helm repo update

2. 네임스페이스 생성:

   kubectl create namespace aws-privateca-issuer

3. 이전에 생성한 인증서를 보안 암호에 넣습니다.

   kubectl create secret tls aws-privateca-credentials \
     -n aws-privateca-issuer \
     --cert=pca-issuer-client-cert.pem \
     --key=client.key 

IAM Roles Anywhere다음을 사용하여 AWS Private CA 발급자를 설치합니다.

1. 라는 파일을 생성values.yaml하여 IAM Roles Anywhere다음과 함께 사용할 AWS Private CA 발급자 플러그인을 구성합니다.

   cat > values.yaml <<EOF
   env:
     AWS_EC2_METADATA_SERVICE_ENDPOINT: "http://127.0.0.1:9911"
   
   extraContainers:
     - name: "rolesanywhere-credential-helper"
       image: "public.ecr.aws/rolesanywhere/credential-helper:latest"
       command: ["aws_signing_helper"]
       args:
         - "serve"
         - "--private-key"
         - "/etc/cert/tls.key"
         - "--certificate"
         - "/etc/cert/tls.crt"
         - "--role-arn"
         - "$ROLE_ARN"
         - "--profile-arn"
         - "$PROFILE_ARN"
         - "--trust-anchor-arn"
         - "$TRUST_ANCHOR_ARN"
       volumeMounts:
         - name: cert
           mountPath: /etc/cert/
           readOnly: true
   
   volumes:
     - name: cert
       secret:
         secretName: aws-privateca-credentials
   EOF

2. IAM Roles Anywhere다음을 사용하여 AWS Private CA 발급자를 설치합니다.

   helm install aws-privateca-issuer awspca/aws-privateca-issuer \
     -n aws-privateca-issuer \
     -f values.yaml