• 요구 사항
• 디자인 선택
• 구성
• 설치 명령줄 옵션
• 차트 구성 예시
  • extraEnv
  • extraEnvFrom
  • image.pullSecrets
  • serviceAccount
  • livenessProbe/readinessProbe
  • tolerations
  • affinity
  • annotations
• External Services
  • Workhorse
• Chart settings
  • hostKeys.secret
  • authToken
  • LoadBalancer Service
  • OpenSSH 보조 구성
    • opensshd.supplemental_config
    • sshd_config.d
  • networkpolicy 구성
  • 예제 네트워크 정책
• KEDA 구성

GitLab Shell 차트 사용하기

gitlab-shell 서브 차트는 GitLab에 대한 Git SSH 액세스를 위해 구성된 SSH 서버를 제공합니다.

요구 사항

이 차트는 Kubernetes 클러스터에서 배포된 GitLab 차트의 일부이거나 외부 서비스로부터 접근 가능해야 하는 Workhorse 서비스에 의존합니다.

디자인 선택

SSH 복제본을 쉽게 지원하고 SSH 허가된 키에 대한 공유 저장소 사용을 피하기 위해, SSH AuthorizedKeysCommand를 사용하여 GitLab 허가된 키 엔드포인트에 대해 인증합니다. 따라서, 이러한 포드 내에서 AuthorizedKeys 파일을 유지하거나 업데이트하지 않습니다.

구성

gitlab-shell 차트는 두 부분으로 구성됩니다: external services 및 chart settings. Ingress를 통해 노출되는 포트는 global.shell.port로 구성되며 기본값은 22입니다. 서비스의 외부 포트도 global.shell.port에 의해 제어됩니다.

설치 명령줄 옵션

차트 구성 예시

extraEnv

extraEnv를 사용하면 포드의 모든 컨테이너에서 추가 환경 변수를 노출할 수 있습니다.

아래는 extraEnv의 사용 예입니다:

extraEnv:
  SOME_KEY: some_value
  SOME_OTHER_KEY: some_other_value

컨테이너가 시작되면 환경 변수가 노출되었는지 확인할 수 있습니다:

env | grep SOME
SOME_KEY=some_value
SOME_OTHER_KEY=some_other_value

extraEnvFrom

extraEnvFrom을 사용하면 포드의 모든 컨테이너에서 다른 데이터 소스에서 추가 환경 변수를 노출할 수 있습니다.

아래는 extraEnvFrom의 사용 예입니다:

extraEnvFrom:
  MY_NODE_NAME:
    fieldRef:
      fieldPath: spec.nodeName
  MY_CPU_REQUEST:
    resourceFieldRef:
      containerName: test-container
      resource: requests.cpu
  SECRET_THING:
    secretKeyRef:
      name: special-secret
      key: special_token
      # 선택 사항: 불리언
  CONFIG_STRING:
    configMapKeyRef:
      name: useful-config
      key: some-string
      # 선택 사항: 불리언

image.pullSecrets

pullSecrets는 이미지 풀을 위한 개인 레지스트리에 인증할 수 있도록 합니다.

개인 레지스트리 및 그 인증 방법에 대한 추가 세부정보는 Kubernetes 문서에서 확인할 수 있습니다.

아래는 pullSecrets의 사용 예입니다:

image:
  repository: my.shell.repository
  tag: latest
  pullPolicy: Always
  pullSecrets:
  - name: my-secret-name
  - name: my-secondary-secret-name

serviceAccount

이 섹션은 ServiceAccount를 생성해야 하는지와 기본 액세스 토큰이 포드에 마운트되어야 하는지를 제어합니다.

livenessProbe/readinessProbe

deployment.livenessProbe와 deployment.readinessProbe는 특정 시나리오에서 포드의 종료를 제어하는 메커니즘을 제공합니다.

더 큰 리포지토리는 일반적으로 장기 실행되는 연결에 맞게 생존성 및 준비성 프로브 시간을 조정하는 것의 이점을 얻을 수 있습니다. clone 및 push 작업 중 잠재적 중단을 최소화하기 위해 준비성 프로브의 지속 시간을 생존성 프로브의 지속 시간보다 짧게 설정하십시오. terminationGracePeriodSeconds를 증가시키고 스케줄러가 포드를 종료하기 전에 이러한 작업에 더 많은 시간을 할애하세요. 아래 예제를 GitLab Shell 포드를 보다 안정적이고 효율적으로 만들기 위한 시작점으로 고려하십시오.

deployment:
  livenessProbe:
    initialDelaySeconds: 10
    periodSeconds: 20
    timeoutSeconds: 3
    successThreshold: 1
    failureThreshold: 10
  readinessProbe:
    initialDelaySeconds: 10
    periodSeconds: 5
    timeoutSeconds: 2
    successThreshold: 1
    failureThreshold: 3
  terminationGracePeriodSeconds: 300

이 구성에 대한 추가 세부정보는 공식 Kubernetes 문서를 참조하십시오.

tolerations

tolerations를 사용하면 오염된 작업자 노드에 포드를 스케줄할 수 있습니다.

아래는 tolerations의 사용 예입니다:

tolerations:
- key: "node_label"
  operator: "Equal"
  value: "true"
  effect: "NoSchedule"
- key: "node_label"
  operator: "Equal"
  value: "true"
  effect: "NoExecute"

affinity

자세한 내용은 affinity를 참조하세요.

annotations

annotations를 사용하면 GitLab Shell 포드에 주석을 추가할 수 있습니다.

아래는 annotations의 사용 예입니다:

annotations:
  kubernetes.io/example-annotation: annotation-value

External Services

이 차트는 Workhorse 서비스에 첨부되어야 합니다.

Workhorse

workhorse:
  host: workhorse.example.com
  serviceName: webservice
  port: 8181

Chart settings

다음 값들은 GitLab Shell Pods를 구성하는 데 사용됩니다.

hostKeys.secret

SSH 호스트 키를 가져오는 Kubernetes secret의 이름입니다. 비밀에 있는 키는 GitLab Shell에서 사용되기 위해 ssh_host_로 시작해야 합니다.

authToken

GitLab Shell은 Workhorse와의 통신에서 Auth Token을 사용합니다. 공유 비밀을 사용하여 GitLab Shell과 Workhorse에 토큰을 공유하세요.

authToken:
 secret: gitlab-shell-secret
 key: secret

LoadBalancer Service

service.type이 LoadBalancer로 설정된 경우, 사용자 지정 IP로 LoadBalancer를 생성하기 위해 선택적으로 service.loadBalancerIP를 지정할 수 있습니다(클라우드 공급자가 지원하는 경우).

또한 선택적으로 service.loadBalancerSourceRanges 목록을 지정하여 LoadBalancer에 접근할 수 있는 CIDR 범위를 제한할 수 있습니다(클라우드 공급자가 지원하는 경우).

LoadBalancer 서비스 유형에 대한 추가 정보는 Kubernetes 문서에서 확인할 수 있습니다.

service:
  type: LoadBalancer
  loadBalancerIP: 1.2.3.4
  loadBalancerSourceRanges:
  - 5.6.7.8/32
  - 10.0.0.0/8

OpenSSH 보조 구성

OpenSSH의 sshd를 사용할 때(.sshDaemon: openssh), 두 가지 방법으로 보조 구성을 제공할 수 있습니다: .opensshd.supplemental_config와 /etc/ssh/sshd_config.d/*.conf에 구성 조각을 마운트하는 방법입니다.

제공된 모든 구성은 sshd_config의 기능적 요구 사항을 충족해야 합니다. 매뉴얼 페이지를 읽어보세요.

opensshd.supplemental_config

.opensshd.supplemental_config의 내용은 컨테이너 내의 sshd_config 파일 끝에 직접 삽입됩니다.

이 값은 멀티라인 문자열이어야 합니다.

예시로, ssh-rsa 키 교환 알고리즘을 사용하는 이전 클라이언트를 활성화하는 방법이 있습니다. ssh-rsa와 같은 사용 중단된 알고리즘을 활성화하는 것은 상당한 보안 취약점을 초래합니다. 이러한 변경 사항이 있는 공개 노출 GitLab 인스턴스에서 공격 가능성이 상당히 증가합니다.

opensshd:
    supplemental_config: |-
      HostKeyAlgorithms +ssh-rsa,ssh-rsa-cert-v01@openssh.com
      PubkeyAcceptedAlgorithms +ssh-rsa,ssh-rsa-cert-v01@openssh.com
      CASignatureAlgorithms +ssh-rsa

sshd_config.d

sshd에 전체 구성 조각을 /etc/ssh/sshd_config.d에 내용을 마운트하여 제공할 수 있으며, 파일은 *.conf와 일치해야 합니다.

이러한 구성은 컨테이너 내에서 애플리케이션이 작동하는 데 필요한 기본 구성 후에 포함됩니다. 이러한 값은 sshd_config의 내용을 덮어쓰지 않고 확장합니다.

예시로, extraVolumes와 extraVolumeMounts를 통해 ConfigMap의 단일 항목을 컨테이너에 마운트하는 방법이 있습니다:

extraVolumes: |
  - name: gitlab-sshdconfig-extra
    configMap:
      name: gitlab-sshdconfig-extra

extraVolumeMounts: |
  - name: gitlab-sshdconfig-extra
    mountPath: /etc/ssh/sshd_config.d/extra.conf
    subPath: extra.conf

networkpolicy 구성

이 섹션은 NetworkPolicy를 제어합니다.

이 구성은 선택 사항이며, Egress와 Ingress를 특정 엔드포인트로 제한하는 데 사용됩니다.

예제 네트워크 정책

gitlab-shell 서비스는 포트 22에 대한 Ingress 연결과 기본 워크호스 포트 8181에 대한 Egress 연결이 필요합니다. 이 예제는 다음과 같은 네트워크 정책을 추가합니다:

• TCP 0.0.0.0/0 포트 2222에서 오는 모든 Ingress 요청이 허용됩니다
• DNS용으로 UDP 10.0.0.0/8 포트 53에 대한 모든 Egress 요청이 허용됩니다
• Workhorse용으로 TCP 10.0.0.0/8 포트 8181에 대한 모든 Egress 요청이 허용됩니다
• Gitaly용으로 TCP 10.0.0.0/8 포트 8075에 대한 모든 Egress 요청이 허용됩니다

제공된 예제는 예시일 뿐이며 완전하지 않을 수 있습니다

networkpolicy:
  enabled: true
  ingress:
    enabled: true
    rules:
      - from:
        - ipBlock:
            cidr: 0.0.0.0/0
        ports:
          - port: 2222
            protocol: TCP
  egress:
    enabled: true
    rules:
      - to:
        - ipBlock:
            cidr: 10.0.0.0/8
        ports:
          - port: 8181
            protocol: TCP
          - port: 8075
            protocol: TCP
          - port: 53
            protocol: UDP

KEDA 구성

이 keda 섹션은 일반 HorizontalPodAutoscalers 대신 KEDA ScaledObjects 설치를 활성화합니다.

이 구성은 선택 사항이며, 사용자 정의 또는 외부 메트릭에 따라 오토스케일링이 필요할 때 사용할 수 있습니다.

대부분의 설정은 해당되는 hpa 섹션에 설정된 값으로 기본값을 따릅니다.

다음이 사실이면, CPU 및 메모리 트리거가 hpa 섹션에 설정된 CPU 및 메모리 임계값에 따라 자동으로 추가됩니다:

• triggers가 설정되지 않음.
• 해당 request.cpu.request 또는 request.memory.request 설정이 0이 아닌 값으로 설정됨.

트리거가 설정되지 않으면 ScaledObject가 생성되지 않습니다.

자세한 내용은 KEDA 문서를 참조하세요.

examples/keda/gitlab-shell.yml에서 keda 사용 예제를 참조하세요.