[CKA] 44. KubeConfig

Date

2025/01/14

KubeConfig

Default Authentication

클라이언트가 인증서를 사용하여 Kubernetes REST API를 쿼리하기 위해 curl을 사용할 수 있다. API Server에 대한 사용자 인증을 위해 인증서와 키를 옵션으로 전달한다.

curl https://my-kube-playground:6443/api/v1/pods \
 --key=admin.key --cert=admin.crt --cacert=ca.crt
Bash
복사

kubectl 명령은 어떻게 API Server에 대해 인증될 수 있을까?

curl에서 전달한 옵션과 같이 인증서와 키를 옵션으로 제공할 수 있다.

kubectl get pods \
 --server my-kube-playground:6443 \
 --client-key admin.key \
 --client-certificate admin.crt \
 --certificate-authority ca.crt
Bash
복사

KubeConfig

kubectl 명령을 실행할 때마다 매번 인증 관련 옵션들을 입력하는 것을 한 파일을 통해 해낼 수 있다. 그 역할을 수행하는 것이 kubeconfig이다. kubeconfig 파일에는 옵션으로 입력했던 값들이 입력되어 kubectl 명령을 사용할 때는 해당 config를 사용한다는 옵션만 명시하면 된다.

기본적으로 kubectl은 $HOME/.kube/ 디렉토리 내에 config라는 파일을 찾는다. 해당 위치에 config 파일을 위치해두면 --kubeconfig 옵션을 주지 않아도 된다.

kubectl get pods --kubeconfig config
Bash
복사

# config
--server my-kube-playground:6443
--client-key admin.key
--client-certificate admin.crt
--certificate-authority ca.crt
Bash
복사

Structure and Role

kubeconfig 파일은 쿠버네티스 클러스터에 대한 접근 정보를 담고 이는 특정 형식의 파일이다. 이 파일은 크게 세 가지 섹션, clusters, users, contexts 으로 나눌 수 있다.

Cluster

clusters 섹션에는 접근해야 하는 다양한 쿠버네티스 클러스터에 대한 정보가 포함된다. 개발 환경, 테스트 환경, 프로덕션 환경 등 여러 클러스터가 있을 수 있으며, 서로 다른 조직이나 클라우드 제공자에 따라 클러스터를 생성할 수도 있다. 이 모든 클러스터 정보가 이 섹션에 기록된다.

Users

users 섹션은 클러스터에 접근할 수 있는 사용자 계정 정보를 담고 있다. 예를 들어, 관리자인 admin user, 개발자인 dev user, 프로덕션 환경의 prod user 등이 있을 수 있다. 각 사용자는 서로 다른 클러스터에서 서로 다른 권한을 가질 수 있다.

Contexts

contexts 섹션은 클러스터와 사용자 계정을 연결하는 역할을 한다. 각 context는 어떤 사용자 계정이 어떤 클러스터에 접근할지를 정의한다. 예를 들어, admin@production이라는 이름의 context를 생성하여 admin 계정을 사용해 프로덕션 클러스터에 접근할 수 있다. 또는 dev@google이라는 context로 Google에 설정한 클러스터에 개발자 계정으로 접근하여 내가 만든 애플리케이션을 배포할 수 있다.

Privileges

이 과정에서 새로운 사용자를 생성하거나 클러스터 내에서 사용자 접근 권한을 구성하는 것이 아니다. 이미 존재하는 사용자와 그 권한을 사용해 어떤 사용자가 어떤 클러스터에 접근할지를 정의하는 것이다. 이를 통해 kubectl 명령어를 실행할 때마다 사용자 인증서와 서버 주소를 명시할 필요가 없다.

KubeConfig File

위에서 사용했던 옵션을 config 파일로 구성하면 각각의 옵션들은 어디에 배치되어야 할까?

--server my-kube-playground:6443
--client-key admin.key
--client-certificate admin.crt
--certificate-authority ca.crt
Bash
복사

•

--server my-kube-playground:6443, --certificate-authority ca.crt 옵션은 Clusters 섹션에 배치된다

•

--client-key admin.key, --client-certificate admin.crt 옵션은 Users 섹션에 배치된다

•

둘 간의 액세스를 지정하기 위해 MyKubeAdmin@MyKubePlayground 라는 컨텍스트를 생성할 수 있다

이를 yaml 포맷의 kubeconfig 파일로 구성하면 아래와 같다:

apiVersion: v1
kind: Config
clusters:
- name: my-kube-playground
	cluster:
		certificate-authority: ca.crt
		server: https://my-kube-playground:6443
contexts:
- name: my-kube-admin@my-kube-playground
	context:
		cluster: my-kube-playground
		user: my-kube-admin
users:
- name: my-kube-admin
	user:
		client-certificate: admin.crt
		client-key: admin.key
YAML
복사

kubeconfig 파일이 준비되면 kubectl 명령에 의해 읽히기 때문에 추가적인 작업을 하지 않아도 된다.

Context

kubectl은 어떤 context를 사용해야 할지 어떻게 판단할까

Current-Context

Config 파일에 current-context 필드를 통해 기본으로 사용할 context를 지정할 수 있다.

# values hidden
apiVersion: v1
kind: Config
current-context: dev-user@google  # 사용할 Context 지정
clusters:
- name: my-kube-playground
-	name: development
-	name: production
- name: google
contexts:
- name: my-kube-admin@my-kube-playground
- name: dev-user@google
- name: prod-user@production
users:
- name: my-kube-admin
- name: admin
- name: dev-user
- name: prod-user
	
YAML
복사

Config View

kubectl config view 명령을 통해 Cluster와 Context, User, 그리고 현재 설정된 context를 확인할 수 있다. kubeconfig 파일을 지정하지 않으면 기본적으로 $HOME/.kube/ 디렉토리의 기본 파일을 사용하는 데, 다른 config 파일이 있다면 --kubeconfig 옵션을 주어 다른 kubeconfig 파일을 확인할 수도 있다.

Use-Context

현재 Context를 다른 Context로 변경하기 위해선 use-context 명령을 사용해야 한다. use-context를 사용해 변경된 Context는 config 파일의 current-context에도 반영된다.

kubectl config use-context <context>
Bash
복사

Namespaces

쿠버네티스 클러스터는 여러 개의 네임스페이스로 구성될 수 있다. 네임스페이스는 클러스터 내에서 리소스를 구분하고 관리할 수 있는 논리적 단위이다. 각 클러스터에 여러 네임스페이스가 설정될 수 있으며, 특정 네임스페이스로 전환하는 Context를 설정할 수 있다.

Configuration

kubeconfig 파일의 contexts 섹션에서 namespace라는 추가 필드를 사용할 수 있다. 이 필드에 특정 네임스페이스를 지정하면, 해당 컨텍스트로 전환할 때 자동으로 지정된 네임스페이스로 설정된다.

apiVersion: v1
kind: Config
...
contexts:
- name: admin@production
	context:
		cluster: production
		user: admin
		namespace: finance
...
YAML
복사

admin@production으로 context를 전환하게 되면 기본 네임스페이스가 finance 로 설정된다. 이로 인해 kubectl 명령어를 실행할 때 별도의 네임스페이스를 지정하지 않아도 finance 네임스페이스에서 작업이 수행된다.

Certificates in KubeConfig

Path

kubeconfig에는 인증서 파일에 대한 경로를 명시하는데, 상대 경로보다는 절대 경로를 사용하는게 좋다.

Data

kubeconfig에 인증서를 경로 형태가 아닌 데이터 자체를 입력하여 사용할 수 있다. 필드는 certificate-authority 대신 certificate-authority-data를 사용한다.