• 요구 사항
• 구성
• 글로벌 설정
• 차트 설정
  • 일반 설정
  • Pages 특정 설정
  • ingress 구성하기
• 차트 구성 예시
  • extraVolumes
  • extraVolumeMounts
  • networkpolicy 구성하기
  • 예제 네트워크 정책
  • GitLab Pages에 대한 TLS 액세스
  • 와일드카드 DNS가 없는 Pages 도메인
    • 와일드카드 DNS가 없는 GitLab Pages 도메인에 대한 TLS 액세스
    • 접근 제어 구성
  • 속도 제한
    • 속도 제한 서브넷 허용 목록 구성
  • KEDA 구성
  • serviceAccount
  • affinity

GitLab Pages 차트 사용하기

gitlab-pages 서브차트는 GitLab 프로젝트에서 정적 웹사이트를 제공하기 위한 데몬을 제공합니다.

요구 사항

이 차트는 Workhorse 서비스에 대한 액세스에 의존하며, 전체 GitLab 차트의 일부로 포함되거나 이 차트가 배포되는 Kubernetes 클러스터에서 접근할 수 있는 외부 서비스로 제공됩니다.

구성

gitlab-pages 차트는 다음과 같이 구성됩니다:
글로벌 설정 및 차트 설정.

글로벌 설정

우리는 차트 간에 일부 일반 글로벌 설정을 공유합니다. 자세한 내용은
Globals Documentation를 참조하세요.

차트 설정

다음 두 섹션의 표에는 helm install 명령에 --set 플래그를 사용하여 제공할 수 있는 모든 가능한 차트 구성이 포함되어 있습니다.

일반 설정

Pages 특정 설정

ingress 구성하기

이 섹션은 GitLab Pages Ingress를 제어합니다.

차트 구성 예시

extraVolumes

extraVolumes는 차트 전역에서 추가 볼륨을 구성할 수 있습니다.

아래는 extraVolumes 사용 예시입니다:

extraVolumes: |
  - name: example-volume
    persistentVolumeClaim:
      claimName: example-pvc

extraVolumeMounts

extraVolumeMounts는 차트 전역에서 모든 컨테이너에 대해 추가 volumeMounts를 구성할 수 있습니다.

아래는 extraVolumeMounts 사용 예시입니다:

extraVolumeMounts: |
  - name: example-volume
    mountPath: /etc/example

networkpolicy 구성하기

이 섹션은 NetworkPolicy를 제어합니다.

이 구성은 선택 사항이며 Pods의 Egress 및 Ingress를 특정 엔드포인트로 제한하는 데 사용됩니다.

예제 네트워크 정책

gitlab-pages 서비스는 포트 80과 443에 대한 Ingress 연결과
기본 워크호스 포트 8181에 대한 Egress 연결을 필요로 합니다. 이 예제는 다음 네트워크 정책을 추가합니다:

• TCP 0.0.0.0/0 포트 80과 443의 모든 Ingress 요청이 허용됩니다.
• DNS를 위한 UDP 10.0.0.0/8 포트 53의 모든 Egress 요청이 허용됩니다.
• Workhorse를 위한 TCP 10.0.0.0/8 포트 8181의 모든 Egress 요청이 허용됩니다.

제공된 예제는 단지 예제일 뿐이며 완전하지 않을 수 있습니다.

networkpolicy:
  enabled: true
  ingress:
    enabled: true
    rules:
      - to:
        - ipBlock:
            cidr: 0.0.0.0/0
        ports:
          - port: 80
            protocol: TCP
          - port: 443
            protocol: TCP
  egress:
    enabled: true
    rules:
      - to:
        - ipBlock:
            cidr: 10.0.0.0/8
        ports:
          - port: 8181
            protocol: TCP
          - port: 53
            protocol: UDP

GitLab Pages에 대한 TLS 액세스

GitLab Pages 기능에 TLS 액세스를 하려면:

1. 다음 형식으로 GitLab Pages 도메인에 대한 전용 와일드카드 인증서를 생성해야 합니다:
   *.pages.<yourdomain>.

2. Kubernetes에서 비밀을 생성합니다:

   kubectl create secret tls tls-star-pages-<mysecret> --cert=<path/to/fullchain.pem> --key=<path/to/privkey.pem>
   

3. GitLab Pages가 이 비밀을 사용하도록 구성합니다:

   gitlab:
     gitlab-pages:
       ingress:
         tls:
           secretName: tls-star-pages-<mysecret>
   

4. DNS 공급자에서 *.pages.<yourdomaindomain>라는 이름으로 DNS 레코드를 생성하고
   LoadBalancer를 가리킵니다.

와일드카드 DNS가 없는 Pages 도메인

• GitLab 17.2에 베타로 소개됨.
• GitLab 17.4에서 일반 제공.

경고:
GitLab Pages는 한 번에 하나의 URL 스킴만 지원합니다: 와일드카드 DNS가 있는 경우 또는
와일드카드 DNS가 없는 경우. namespaceInPath를 활성화하면 기존 GitLab Pages 웹사이트는
와일드카드 DNS가 없는 도메인에서만 접근할 수 있습니다.

1. 전역 Pages 설정에서 namespaceInPath를 활성화합니다.

   global:
     pages:
       namespaceInPath: true
   

2. DNS 공급자에서 pages.<yourdomaindomain>라는 이름으로 DNS 레코드를 생성하고
   LoadBalancer를 가리킵니다.

와일드카드 DNS가 없는 GitLab Pages 도메인에 대한 TLS 액세스

1. 다음 형식으로 GitLab Pages 도메인에 대한 인증서를 생성합니다:
   pages.<yourdomain>.

2. Kubernetes에서 비밀을 생성합니다:

   kubectl create secret tls tls-star-pages-<mysecret> --cert=<path/to/fullchain.pem> --key=<path/to/privkey.pem>
   

3. GitLab Pages가 이 비밀을 사용하도록 구성합니다:

   gitlab:
     gitlab-pages:
       ingress:
         tls:
           secretName: tls-star-pages-<mysecret>
   

접근 제어 구성

1. 글로벌 페이지 설정에서 accessControl을 활성화합니다.

   global:
     pages:
       accessControl: true
   

2. 선택 사항입니다. TLS 액세스가 구성된 경우, GitLab Pages의 리디렉션 URI를 시스템 OAuth 애플리케이션에서 HTTPS 프로토콜을 사용하도록 업데이트하십시오.

경고:

GitLab Pages는 OAuth 애플리케이션을 업데이트하지 않으며, 기본 authRedirectUri는 https://pages.<yourdomaindomain>/projects/auth로 업데이트됩니다.

비공식 Pages 사이트에 액세스하는 동안, ‘제공된 리디렉션 URI가 유효하지 않습니다’라는 오류가 발생하면, GitLab Pages의 시스템 OAuth 애플리케이션에서 리디렉션 URI를 https://pages.<yourdomaindomain>/projects/auth로 업데이트하십시오.

속도 제한

서비스 거부(DoS) 공격의 위험을 최소화하기 위해 속도 제한을 적용할 수 있습니다. 자세한 속도 제한 문서가 제공됩니다.

특정 IP 범위(서브넷)가 모든 속도 제한을 우회할 수 있도록 허용하려면:

• rateLimitSubnetsAllowList: 모든 속도 제한을 우회해야 하는 IP 범위(서브넷)로 허용 목록을 설정합니다.

속도 제한 서브넷 허용 목록 구성

charts/gitlab/charts/gitlab-pages/values.yaml에서 IP 범위(서브넷)의 허용 목록을 설정합니다:

gitlab:
  gitlab-pages:
    rateLimitSubnetsAllowList:
     - "1.2.3.4/24"
     - "2001:db8::1/32"

KEDA 구성

이 keda 섹션에서는 정기적인 HorizontalPodAutoscalers 대신 KEDA ScaledObjects의 설치를 활성화합니다.

이 구성은 사용자 정의 또는 외부 메트릭에 따라 자동 확장이 필요할 때 사용할 수 있습니다.

대부분의 설정은 해당하는 경우 hpa 섹션에서 설정된 기본값을 따릅니다.

다음 조건이 충족되면, CPU 및 메모리 임계값에 따라 CPU 및 메모리 트리거가 자동으로 추가됩니다:

• triggers가 설정되지 않았습니다.
• 해당 request.cpu.request 또는 request.memory.request 설정이 0이 아닌 값으로 설정되어 있습니다.

트리거가 설정되지 않으면 ScaledObject가 생성되지 않습니다.

이 설정에 대한 자세한 내용은 KEDA 문서를 참조하세요.

serviceAccount

이 섹션은 ServiceAccount가 생성되어야 하는지와 기본 액세스 토큰이 파드에 마운트되어야 하는지를 제어합니다.

affinity

자세한 내용은 affinity를 참조하세요.