Add openmetadata chart

2026-02-27 14:51:57 +09:00
parent b2855ccba3
commit 864f99a589
323 changed files with 54891 additions and 0 deletions
@@ -0,0 +1,179 @@
+# OpenMetadata 배포
+
+## 1. 배포 방법
+
+### 1) 배포 시 주의 사항
+
+- openmetadata를 배포하기 전에 `openmetadata-dependencies`(MySQL, OpenSearch, Airflow)가 먼저 배포되어 있어야 한다.
+- HTTPS 접근을 위해 `java-truststore` Secret이 배포 네임스페이스에 사전 생성되어 있어야 한다.
+- Keycloak OIDC 연동 시 `oidc-secrets` Secret이 사전 생성되어 있어야 한다.
+
+### 2) Secret 사전 생성
+
+- java-truststore Secret 생성 (내부 CA 인증서 포함 truststore)
+  ``` sh
+  kubectl create secret generic java-truststore \
+    --from-file=cacerts=<path-to-cacerts> \
+    -n openmetadata
+  ```
+
+- Keycloak OIDC 연동 시 oidc-secrets Secret 생성
+  ``` sh
+  kubectl create secret generic oidc-secrets \
+    --from-literal=openmetadata-oidc-client-id=<client-id> \
+    --from-literal=openmetadata-oidc-client-secret=<client-secret> \
+    -n openmetadata
+  ```
+
+### 3) 배포 방법
+
+``` sh
+git clone https://github.com/paasup/dip-catalog.git
+cd manifests/helm/openmetadata/1.12.1
+helm upgrade openmetadata ./ -f custom-values.yaml --install -n openmetadata --create-namespace
+```
+
+---
+
+## 2. custom-values.yaml 설명
+
+### 1) 인가(Authorizer) 설정
+
+| Name | 설명 | 기본값 |
+| ---- | ---- | ------ |
+| `openmetadata.config.authorizer.initialAdmins` | 최초 관리자 계정 목록. 이메일의 `@` 앞 부분을 입력 | `["admin", "paasup"]` |
+| `openmetadata.config.authorizer.principalDomain` | 조직의 기본 도메인 (예: `paasup.io`) | `"paasup.io"` |
+| `openmetadata.config.authorizer.allowedDomains` | 로그인을 허용할 도메인 목록 | `["paasup.io"]` |
+
+### 2) 인증(Authentication) 설정
+
+#### 2.1) Basic 인증 (기본값)
+
+- OpenMetadata 자체 계정/비밀번호 인증을 사용한다.
+
+  ``` yaml
+  openmetadata:
+    config:
+      authentication:
+        provider: "basic"
+        callbackUrl: "https://open-metadata.example.org/callback"
+        authority: "https://open-metadata.example.org"
+        publicKeys:
+        - "https://open-metadata.example.org/api/v1/system/config/jwks"
+  ```
+
+#### 2.2) Keycloak OIDC 연동
+
+- `provider`를 `custom-oidc`로 변경하고 `oidcConfiguration`을 활성화한다.
+- 사전에 `oidc-secrets` Secret이 생성되어 있어야 한다.
+
+  ``` yaml
+  openmetadata:
+    config:
+      authentication:
+        clientType: confidential
+        provider: "custom-oidc"
+        publicKeys:
+        - "https://open-metadata.example.org/api/v1/system/config/jwks"
+        - "https://keycloak.example.org/realms/paasup/protocol/openid-connect/certs"
+        clientId: "open-metadata"
+        callbackUrl: "https://open-metadata.example.org/callback"
+        jwtPrincipalClaims:
+          - "email"
+          - "preferred_username"
+          - "sub"
+        oidcConfiguration:
+          enabled: true
+          oidcType: "Keycloak"
+          clientId:
+            secretRef: oidc-secrets
+            secretKey: openmetadata-oidc-client-id
+          clientSecret:
+            secretRef: oidc-secrets
+            secretKey: openmetadata-oidc-client-secret
+          discoveryUri: "https://keycloak.example.org/realms/paasup/.well-known/openid-configuration"
+          serverUrl: "https://open-metadata.example.org"
+          callbackUrl: "https://open-metadata.example.org/callback"
+  ```
+
+### 3) Ingress 설정
+
+#### 3.1) cert-manager를 이용한 자동 생성
+
+- cert-manager를 통해 인증서 자동 생성 시 `custom-values.yaml`을 수정한다.
+- `ingress.annotations.cert-manager.io/cluster-issuer`에 미리 배포된 Cluster Issuer의 이름으로 변경한다.
+- Kong Ingress Controller를 사용하며 HTTPS 리다이렉트를 적용한다.
+
+  ``` yaml
+  ingress:
+    enabled: true
+    className: "kong"
+    annotations:
+      cert-manager.io/cluster-issuer: root-ca-issuer
+      cert-manager.io/duration: 8760h
+      cert-manager.io/renew-before: 720h
+      konghq.com/protocols: https
+      konghq.com/https-redirect-status-code: "301"
+    hosts:
+      - host: open-metadata.example.org   # 사용할 도메인으로 변경
+        paths:
+          - path: /
+            pathType: ImplementationSpecific
+    tls:
+      - secretName: openmetadata-tls
+        hosts:
+          - open-metadata.example.org     # 사용할 도메인으로 변경
+  ```
+
+#### 3.2) TLS Secret 직접 생성
+
+- 인증서를 직접 관리하는 경우 Secret을 생성하여 제공한다.
+
+  ``` sh
+  kubectl create secret tls openmetadata-tls \
+    --cert=<path-to-cert-file> \
+    --key=<path-to-key-file> \
+    -n openmetadata
+  ```
+
+### 4) Java TrustStore 설정
+
+- 내부 CA 인증서를 신뢰하기 위해 `java-truststore` Secret을 마운트하고 JVM 옵션을 설정한다.
+
+  ``` yaml
+  extraVolumes:
+    - name: java-truststore
+      secret:
+        secretName: java-truststore
+
+  extraVolumeMounts:
+    - name: java-truststore
+      mountPath: /etc/ssl/java
+      readOnly: true
+
+  extraEnvs:
+    - name: OPENMETADATA_OPTS
+      value: >
+        -Djavax.net.ssl.trustStore=/etc/ssl/java/cacerts
+        -Djavax.net.ssl.trustStorePassword=changeit
+  ```
+
+### 5) 리소스 설정
+
+``` yaml
+resources:
+  limits:
+    cpu: 1
+    memory: 2048Mi
+  requests:
+    cpu: 500m
+    memory: 1024Mi
+```
+
+### 6) 환경변수 설정
+
+| Name | 설명 | 기본값 |
+| ---- | ---- | ------ |
+| `OPENMETADATA_PUBLIC_URL` | 외부에서 접근하는 OpenMetadata URL. HTTPS 환경에서 반드시 설정 | `"https://open-metadata.example.org"` |
+| `LOG_LEVEL` | 로그 레벨 (`INFO`, `DEBUG`, `WARN`, `ERROR`) | `"INFO"` |
+| `OPENMETADATA_OPTS` | JVM 옵션. TrustStore 경로 및 패스워드 설정 | `custom-values.yaml 참조` |