• Linux 패키지로 설치된 GitLab 19.0 이상(관리자 접근 권한 포함).

• 동일한 호스트에 설치된 로컬 Kubernetes 배포판.

• 호스트에서 사용 가능한 helm 및 kubectl.

• OpenBao 도메인을 호스트의 공개 IP 주소로 가리키는 DNS 레코드.

OpenBao를 설치하기 전에 Kubernetes 배포판이 다음 요구 사항을 충족하는지 확인하세요:

• Linux 패키지 인스턴스 요구 사항 및 Kubernetes 클러스터 요구 사항 외에도 OpenBao 사이징 권장 사항을 충족해야 합니다.

• 코로케이티드 Kubernetes의 어떤 것도 GitLab이 이미 사용하는 포트에 연결하려 해서는 안 됩니다. 많은 소형 Kubernetes 배포판은 기본적으로 포트 80 및 443에 바인딩되는 로드 밸런서를 설치합니다. Linux 패키지로 관리되는 NGINX가 이미 해당 포트에서 수신 대기 중이므로 이러한 컴포넌트를 비활성화하세요.

• 코로케이티드 Kubernetes는 Linux 패키지 인스턴스와 네트워크를 공유해야 합니다. 이를 통해 Linux 패키지로 관리되는 NGINX가 외부 OpenBao 트래픽을 OpenBao 서비스로 라우팅하고 요청을 수신할 수 있습니다. Linux 패키지 인스턴스는 서비스가 Kubernetes LoadBalancer 또는 NodePort를 통해 노출되는지 여부와 관계없이, 공유 네트워크 내에서 양쪽에 모두 도달할 수 있으면 됩니다.

시작하기 전에:

• Kubernetes CNI(Pod 네트워크)의 CIDR을 수집하세요. 나중에 PostgreSQL 인증을 구성할 때 필요합니다.

• Linux 패키지 인스턴스와 Kubernetes 간에 공유되는 네트워크 인터페이스의 IP 주소를 수집하세요 (). 나중에 여러 구성 값에 필요합니다.

• OpenBao를 설치하기 전에 Kubernetes 배포판이 완전히 실행 중인지 확인하세요.

• kubectl 컨텍스트가 이 클러스터로 설정되어 있는지 확인하세요(KUBECONFIG가 올바르게 구성됨).

Helm을 사용하여 OpenBao를 설치하려면:

1. GitLab Helm 리포지터리를 추가하세요:

   helm repo add gitlab https://charts.gitlab.io
   helm repo update
   

2. 다음 내용으로 openbao-values.yaml 파일을 생성하고, 플레이스홀더 값을 실제 도메인과 IP 주소로 교체하세요:

   config:
     ui: false
     storage:
       postgresql:
         haEnabled: true
         connection:
           host: ""
           port: 5432
           database: openbao
           username: openbao
           sslMode: "disable"
           password:
             secret: openbao-db-secret
             key: password
     initialize:
       enabled: true
       oidcDiscoveryUrl: "https://"
       boundIssuer: "https://"
       boundAudiences: '"https://"'
   
   gatewayRoute:
     enabled: false
   

3. OpenBao를 설치하세요:

   helm upgrade --install openbao gitlab/openbao \
     --namespace openbao \
     --values openbao-values.yaml
   

   --wait를 사용하지 마세요. Pod가 PostgreSQL에 연결할 수 없기 때문입니다. PostgreSQL은 gitlab-ctl reconfigure 이후에만 Pod 네트워크에서의 TCP 연결을 허용합니다. 현재 Pod는 CrashLoopBackOff 상태입니다.

   사용 가능한 모든 차트 옵션은 OpenBao Helm 차트 문서를 참조하세요.

4. OpenBao 서비스에 사용할 내부 URL을 정의하세요. 여러 옵션이 있습니다:

   로드 밸런서. 코로케이티드 Kubernetes 클러스터에서 내부 로드 밸런서를 사용하는 경우, gitlab.rb 파일의 oak['components']['openbao']['internal_url'] 설정을 로드 밸런서의 내부 URL로 설정하여 요청을 OpenBao Kubernetes 서비스로 라우팅할 수 있습니다. 이 경우 내부 URL이 내부 로드 밸런서 IP로 해석되도록 DNS를 구성해야 합니다.

   • 클러스터 nodePort. OpenBao 차트 서비스를 Kubernetes 서비스 유형 nodePort로 실행하도록 사용자 정의하는 경우, 내부 URL을 해당 포트로 구성할 수도 있습니다.

   • 서비스 clusterIP. 이 옵션이 가장 간단할 수 있습니다. OpenBao 내부 URL을 OpenBao 서비스 clusterIP에 직접 연결하도록 설정하여 코로케이티드 클러스터에서 로드 밸런서를 완전히 건너뛸 수도 있습니다. Linux 패키지로 관리되는 NGINX가 이미 있으므로 머신에 로드 밸런서를 추가로 설치할 필요가 없습니다.

   다음 명령어를 실행하여 OpenBao 서비스의 clusterIP를 찾을 수 있습니다:

   kubectl -n openbao get svc openbao-active \
     -o jsonpath='{.spec.clusterIP}'
   

   내부 URL의 IP는 Kubernetes 클러스터 외부의 호스트 머신에서 접근할 수 있어야 합니다. 선택한 에서 IP를 할당하도록 클러스터를 구성하세요.

GitLab 호스트의 /etc/gitlab/gitlab.rb에 다음을 추가하고, 플레이스홀더 값을 실제 IP 주소와 도메인으로 교체하세요:

# PostgreSQL: Kubernetes Pod에서의 TCP 연결 허용.
# 공유 네트워크 IP를 사용하여 공유 네트워크로 노출을 제한합니다.
# '0.0.0.0'을 사용하면 PostgreSQL이 공개 인터페이스를 포함한 모든 인터페이스에서 수신 대기합니다.
postgresql['listen_address'] = ''

# 로컬 연결(GitLab Rails 및 기타 서비스)은 비밀번호 없이 계속 사용됩니다.
postgresql['trust_auth_cidr_addresses'] = %w[127.0.0.1/32 ::1/128]

# Kubernetes Pod는 비밀번호로 인증합니다.
# 10.42.0.0/16을 Kubernetes CNI(Pod 네트워크)의 CIDR로 교체하세요.
postgresql['md5_auth_cidr_addresses'] = %w[10.42.0.0/16]

# OAK: GitLab NGINX를 통한 OpenBao 리버스 프록시.
oak['enable'] = true
oak['network_address'] = ''

oak['components']['openbao']['enable'] = true

# 'https://openbao.example.com'을 호스트의 공개 IP 주소로 해석되는
# OpenBao에 대해 구성한 DNS 레코드의 URL로 교체하세요.
oak['components']['openbao']['external_url'] = 'https://openbao.example.com'

# 서비스 clusterIP 예시. 를 이전 단계에서 가져온 IP로 교체하세요.
#
# nodePort는 유사하게 보입니다: OpenBao를 배포할 때 선택한 포트와 함께 클러스터 노드 IP를 지정합니다.
#
# 로드 밸런서 뒤에 있는 경우: 'http://openbao-internal.example.com'
oak['components']['openbao']['internal_url'] = 'http://:8200'

# GitLab 애플리케이션이 OpenBao에 연결하는 데 사용하는 URL.
gitlab_rails['openbao'] = {
  'url' => 'https://openbao.example.com'
}

이 구성에서:

• postgresql['listen_address']는 공유 네트워크 IP입니다. trust_auth_cidr_addresses 또는 md5_auth_cidr_addresses에 나열되지 않은 CIDR에서의 연결은 PostgreSQL에 의해 거부됩니다.

• postgresql['trust_auth_cidr_addresses']는 CIDR 블록(localhost만)의 목록입니다. 이 블록에서의 연결은 비밀번호가 필요하지 않습니다. 이 주소는 GitLab 서비스에서 사용됩니다.

• postgresql['md5_auth_cidr_addresses']는 Pod CIDR에서의 CIDR 블록 목록입니다. 이 블록에서의 연결은 비밀번호가 필요합니다. 이 주소는 OpenBao Pod에서 사용됩니다. 비밀번호 인증. OpenBao Pod에서 사용됩니다.

• oak['network_address']는 공유 네트워크 IP입니다. NGINX listen 지시문에서 사용됩니다.

• oak['components']['openbao']['internal_url']은 GitLab 애플리케이션이 OpenBao와 통신하는 데 사용하는 URL입니다.

• gitlab_rails['openbao']['url']은 GitLab 애플리케이션에서 사용하는 OpenBao URL입니다.

GitLab external_url 설정이 https://를 사용하는 경우, Let's Encrypt가 이미 활성화되어 있습니다. OpenBao external_url 스킴을 https://로 설정하는 것으로 충분합니다. GitLab은 자동으로 OpenBao 도메인을 기존 Let's Encrypt 인증서의 주체 대체 이름(Subject Alternative Name, SAN)으로 추가합니다.

대신 사용자 정의 인증서를 사용하려면 다음을 추가하세요:

oak['components']['openbao']['ssl_certificate']     = '/etc/gitlab/ssl/openbao.example.com.crt'
oak['components']['openbao']['ssl_certificate_key'] = '/etc/gitlab/ssl/openbao.example.com.key'

구성 변경 사항을 적용하세요:

sudo gitlab-ctl reconfigure

이 명령어는 모든 구성을 단일 패스로 적용합니다:

• PostgreSQL이 Kubernetes Pod에서의 TCP 연결 수락을 시작합니다.

• NGINX가 TLS 종료 및 HTTP에서 HTTPS로의 리다이렉트를 포함하여 OpenBao 가상 호스트로 구성됩니다.

• 해당하는 경우 Let's Encrypt 인증서가 발급되거나 갱신됩니다.