우창호
252 lines
10 KiB
Markdown
252 lines
10 KiB
Markdown
|
|
# Gitea 배포
|
|
|
|
## 1. 배포 전 사전 필요 사항
|
|
1. 클러스터 배포 시
|
|
- gitea가 배포될 **네임스페이스**에 postgresql이 배포되어 있어야 한다.
|
|
- SSO 연동을 위해서는gitea가 배포될 **네임스페이스**에 keycloak 인증서가 secret으로 존재해야 한다.
|
|
2. 테넌트 배포시
|
|
- SSO 연동을 위해서는 gitea가 배포될 **네임스페이스**에 keycloak 인증서가 secret으로 존재해야 한다.
|
|
|
|
|
|
|
|
## 2. custom-values.yaml 설명
|
|
|
|
- custom-values.yaml에 정의된 값에 대한 설명이다.
|
|
|
|
### 1) 전역 설정
|
|
- private 환경 배포시 사용한다.
|
|
|
|
| Name | 설명 | 기본값 |
|
|
| ---------------------- | ------------------------------------------------------------ | ------ |
|
|
| `global.imageRegistry` | 오프라인 설치 시에 설정. <br />paasup 설치시에는 "paasup.io"으로 설정 | `""` |
|
|
|
|
|
|
|
|
|
|
### 2) Pod 설정
|
|
|
|
| Name | 설명 | 기본값 |
|
|
| ------------------------ | ---------------------------------- | --------- |
|
|
| `replicaCount` | gitea pod의 replicas 설정. | "1" |
|
|
| tolerations | gitea pod의 toleration 설정. | `[]` |
|
|
| nodeSelector | gitea pod의 nodeSelector 설정. | `{}` |
|
|
| resources.request.cpu | Gitea pod의 cpu requst 설정. | `"100m"` |
|
|
| resources.request.memory | Gitea pod의 memory requst 설정. | `"300Mi"` |
|
|
| resources.limits.cpu | Gitea pod의 cpu limits 설정. | `"300m"` |
|
|
| resources.limits.memory | Gitea pod의 memory limits 설정. | `500Mi` |
|
|
| persistence.enable | Gitea pod에 Persistence 생성 여부. | `"ture"` |
|
|
| persistence.size | 생성할 Persistent Volume 사이즈. | `10Gi` |
|
|
| persistence.storageClass | Storage Class 설정. | `""` |
|
|
|
|
|
|
|
|
|
|
### 3) gitea 설정
|
|
|
|
- Gitea의 계정 설정과 `app.ini`에서 작성되는 기본 설정, 외부 DB 설정 등을 작성한다.
|
|
|
|
| Name | 설명 | 기본값 |
|
|
| ---------------------------------------- | ------------------------------------------------------------ | -------------------------------------------- |
|
|
| `gitea.admin.username` | 관리자 계정 이름. | `"sudouser"` |
|
|
| `gitea.admin.password` | 관리자 계정 비밀번호. | `"password"` |
|
|
| `gitea.config.database.DB_TYPE` | 사용할 DB의 종류. | `"postgres"` |
|
|
| `gitea.config.database.HOST` | DB 접속을 위한 hostname. | `"postgresql-postgresql-ha-postgresql:5432"` |
|
|
| `gitea.config.database.NAME` | 사용할 Database 이름. | `"postgres"` |
|
|
| `gitea.config.database.USER` | DB 접속 시 사용할 계정. | `"postgres"` |
|
|
| `gitea.config.database.PASSWD` | DB 접속 시 사용할 계정의 비밀번호. | `"postgres"` |
|
|
| `gitea.config.database.SCHEMA` | DB에서 사용할 스키마. | `"pulic"` |
|
|
| `gitea.config.session.PROVIDER` | session engine provider 설정 | |
|
|
| `gitea.config.session.PROVIDER_CONFIG` | session engine provider 접속 설정.<br />비어있을 시 db 설정을 사용한다. | `""` |
|
|
| `gitea.config.repository.DEFAULT_BRANCH` | gitea의 repository에서 사용할 기본 브랜치 이름 | `"master"` |
|
|
|
|
|
|
|
|
|
|
|
|
## 3. Ingress 설정
|
|
|
|
|
|
- gitea에서 ingress 사용을 위해서는 다음과 같이 설정할 수 있다.
|
|
|
|
### 1) tls 시크릿 직접 생성
|
|
|
|
``` yaml
|
|
# ingress 배포 전 인증서 secret 배포 필요(secret 이름은 platform)
|
|
ingress:
|
|
enabled: true
|
|
annotations:
|
|
konghq.com/protocols: https
|
|
konghq.com/https-redirect-status-code: "301"
|
|
hosts:
|
|
- host: gitea.example.org
|
|
paths:
|
|
- path: /
|
|
pathType: Prefix
|
|
tls:
|
|
- hosts:
|
|
host: gitea.example.org # 도메인 수정 필요
|
|
secretName: platform
|
|
```
|
|
|
|
- ingress 사용을 위해서는 인증서를 secret으로 제공해야한다. 로컬 파일을 이용해 secret을 생성하는 방법은 다음과 같다.
|
|
|
|
``` sh
|
|
kubectl create secret tls platform --cert=<path-to-cert-file> --key=<path-to-key-file> -n <namespace>
|
|
```
|
|
|
|
### 2) cert-manager 사용방법
|
|
|
|
- 해당 방법은 클러스터에 cert-manager가 배포되어 있을 때 사용할 수 있다.
|
|
- `clusterIssuer` 배포
|
|
``` yaml
|
|
apiVersion: cert-manager.io/v1
|
|
kind: ClusterIssuer
|
|
metadata:
|
|
name: selfsigned-issuer
|
|
spec:
|
|
selfSigned: {}
|
|
```
|
|
|
|
- custom-values.yaml 정의
|
|
``` yaml
|
|
ingress:
|
|
enabled: true
|
|
annotations:
|
|
konghq.com/protocols: https
|
|
konghq.com/https-redirect-status-code: "301"
|
|
cert-manager.io/cluster-issuer: "selfsigned-issuer" # 생성한 cluster issuer 설정
|
|
cert-manager.io/duration: 8760h # 인증서 유효기간 설정
|
|
cert-manager.io/renew-before: 720h # 자동 갱신 설정. 만료되기 전 갱신 시간 설정
|
|
hosts:
|
|
- host: gitea.example.org
|
|
paths:
|
|
- path: /
|
|
pathType: Prefix
|
|
tls:
|
|
- hosts:
|
|
host: gitea.example.org # 도메인 수정 필요
|
|
secretName: gitea-tls-secret
|
|
```
|
|
|
|
|
|
|
|
## 4. Keycloak SSO 연동
|
|
|
|
- keycloak 대상의 SSO 연동 설정 시 아래 설정을 `custom-values.yaml` 또는 `argo-values.yaml`에 추가한다.
|
|
- keycloak이 사설 인증서를 사용할 시 keycloak의 ca.crt를 secret으로 배포하고 아래와 같이 pod에 마운트한다.
|
|
- `KEYCLOAK_URL`에 있는 정보를 keyclok에서 사용하는 도메인으로 수정이 필요하다.
|
|
- `REALM`에 있는 정보를 keycloak에서 사용할 realm으로 수정이 필요하다..
|
|
- `KEYCLOAK_CLIENT_ID`에 있는 정보를 kecloak의 client id로 수정이 필요하다.
|
|
- `KEYCLOAK_SECRET`에 있는 정보를 client id의 credential secret으로 수정이 필요하다.
|
|
|
|
|
|
``` yaml
|
|
extraVolumes:
|
|
- name: gitea-tls
|
|
secret:
|
|
## 직접 생성하거니 같은 인증서를 사용할 때
|
|
secretName: platform
|
|
## cert-manganager 사용시
|
|
# secretName: keycloak-tls-secret
|
|
|
|
extraContainerVolumeMounts:
|
|
- name: gitea-tls
|
|
mountPath: /etc/ssl/certs/ca.crt
|
|
subPath: ca.crt
|
|
|
|
lifecycleHooks:
|
|
postStart:
|
|
exec:
|
|
command:
|
|
- "/bin/sh"
|
|
- "-c"
|
|
- |
|
|
/bin/bash <<'EOF' > /tmp/post_start.log
|
|
su git
|
|
OAUTH_NAME='keycloak'
|
|
AUTH_ID=$(gitea admin auth list --vertical-bars | grep -E "\|${OAUTH_NAME}\s+\|" | grep -iE '\|OAuth2\s+\|' | awk -F " " "{print \$1}")
|
|
KEYCLOAK_URL="https://keycloak.example.org"
|
|
KEYCLOAK_CLIENT_ID="keycloak"
|
|
KEYCLOAK_SECRET=""
|
|
REALM=paasup
|
|
if [[ -z "${AUTH_ID}" ]]; then
|
|
echo "No oauth configuration found with name '${OAUTH_NAME}'. Installing it now..."
|
|
gitea admin auth add-oauth --auto-discover-url "${KEYCLOAK_URL}/auth/realms/${REALM}/.well-known/openid-configuration" --key "${KEYCLOAK_CLIENT_ID}" --name "keycloak" --provider "openidConnect" --secret "{$KEYCLOAK_SECRET}"
|
|
echo '...installed.'
|
|
else
|
|
echo "Existing oauth configuration with name '${OAUTH_NAME}': '${AUTH_ID}'. Running update to sync settings..."
|
|
gitea admin auth update-oauth --id "${AUTH_ID}" --auto-discover-url "${KEYCLOAK_URL}/auth/realms/${REALM}/.well-known/openid-configuration" --key"${KEYCLOAK_CLIENT_ID}" --name "keycloak" --provider "openidConnect" --secret "{$KEYCLOAK_SECRET}"
|
|
echo '...sync settings done.'
|
|
fi
|
|
EOF
|
|
```
|
|
|
|
|
|
## 5. 테넌트 배포
|
|
|
|
- 테넌트 배포를 위하여 차트에 포함된 postgresql를 포함하여 배포하기 위한 설정이다.
|
|
- 전체 내용은 argo-values.yaml 참조한다.
|
|
|
|
``` yaml
|
|
gitea:
|
|
admin:
|
|
username: sudouser
|
|
password: password
|
|
email: "sudouser@cro.com"
|
|
config:
|
|
APP_NAME: paasup git
|
|
RUN_MODE: prod
|
|
server:
|
|
ROOT_URL: https://gitea.example.org
|
|
service:
|
|
DEFAULT_ALLOW_CREATE_ORGANIZATION: true
|
|
repository:
|
|
DEFAULT_BRANCH: master
|
|
|
|
postgresql:
|
|
enabled: true
|
|
global:
|
|
postgresql:
|
|
postgresqlDatabase: gitea # 데이터베이스 이름 설정
|
|
postgresqlUsername: gitea # 데이터베이스 사용자 이름 설정
|
|
postgresqlPassword: gitea # 데이터베이스 사용자 비밀번호 설정
|
|
persistence:
|
|
size: 5Gi
|
|
# storageClass: "" # 생성할 볼륨의 storageClass를 설정한다.
|
|
```
|
|
|
|
|
|
## 6. Infisical 서비스 연동
|
|
|
|
``` yaml
|
|
---
|
|
apiVersion: secrets.infisical.com/v1alpha1
|
|
kind: InfisicalSecret
|
|
metadata:
|
|
name: infisicalsecret-git # 고유한 이름으로 사용자 정의
|
|
namespace: infisical
|
|
labels:
|
|
label-to-be-passed-to-managed-secret: test-git-secret # 고유한 이름으로 사용자 정의 (아래 annotations값과 동일)
|
|
annotations:
|
|
example.com/annotation-to-be-passed-to-managed-secret: "test-git-secret" # 고유한 이름으로 사용자 정의 (위의 label값과 동일)
|
|
spec:
|
|
hostAPI: http://infisical-infisical-standalone-infisical.infisical.svc.cluster.local:8080/api # Infisical API
|
|
resyncInterval: 10
|
|
authentication:
|
|
kubernetesAuth:
|
|
identityId: 5ffaf885-7df2-4c75-a3a5-292a996aa3d7 # Infisical에서 생성한 값
|
|
serviceAccountRef:
|
|
name: infisical-auth
|
|
namespace: infisical
|
|
secretsScope:
|
|
projectSlug: project1-9j-pp # 프로젝트 GET
|
|
envSlug: dev # 프로젝트 GET
|
|
secretsPath: "/system/gitea" # 시크릿의 경로정의
|
|
recursive: true
|
|
managedSecretReference:
|
|
secretName: gitea-user-secret # 생성할 시크릿 이름(values.yaml와 특정 이름으로 맞추면 변경하지 않아도됨)
|
|
secretNamespace: test-git # Gitea가 배포될 네임스페이스 (네임스페이스가 사전에 생성되어 있어야함)
|
|
creationPolicy: "Orphan" ## Owner | Orphan
|
|
```
|