service-catalog/manifests/helm/gitea/12.6.0/CUSTOM-README.md

Gitea 배포

1. 배포 전 사전 필요 사항

1. 클러스터 배포 시
   • gitea가 배포될 네임스페이스에 postgresql이 배포되어 있어야 한다.
   • SSO 연동을 위해서는gitea가 배포될 네임스페이스에 keycloak 인증서가 secret으로 존재해야 한다.
2. 테넌트 배포시
   • SSO 연동을 위해서는 gitea가 배포될 네임스페이스에 keycloak 인증서가 secret으로 존재해야 한다.

2. custom-values.yaml 설명

• custom-values.yaml에 정의된 값에 대한 설명이다.

1) 전역 설정

• private 환경 배포시 사용한다.

Name	설명	기본값
global.imageRegistry	오프라인 설치 시에 설정. paasup 설치시에는 "paasup.io"으로 설정	""

2) Pod 설정

Name	설명	기본값
replicaCount	gitea pod의 replicas 설정.	"1"
tolerations	gitea pod의 toleration 설정.	[]
nodeSelector	gitea pod의 nodeSelector 설정.	{}
resources.request.cpu	Gitea pod의 cpu requst 설정.	"100m"
resources.request.memory	Gitea pod의 memory requst 설정.	"300Mi"
resources.limits.cpu	Gitea pod의 cpu limits 설정.	"300m"
resources.limits.memory	Gitea pod의 memory limits 설정.	500Mi
persistence.enable	Gitea pod에 Persistence 생성 여부.	"ture"
persistence.size	생성할 Persistent Volume 사이즈.	10Gi
persistence.storageClass	Storage Class 설정.	""

3) gitea 설정

• Gitea의 계정 설정과 app.ini에서 작성되는 기본 설정, 외부 DB 설정 등을 작성한다.

Name	설명	기본값
gitea.admin.email	관리자 계정 이메일.	"sudouser@cro.com"
gitea.admin.username	관리자 계정 사용자명.	"sudouser"
gitea.admin.password	관리자 계정 비밀번호.	"password"
gitea.config.APP_NAME	Gitea 애플리케이션 이름.	"paasup git"
gitea.config.RUN_MODE	Gitea 실행 모드.	"prod"
gitea.config.server.ROOT_URL	Gitea 서버의 루트 URL.	"https://gitea.example.org"
gitea.config.database.DB_TYPE	사용할 DB의 종류.	"postgres"
gitea.config.database.HOST	DB 접속을 위한 hostname.	"postgresql-postgresql-ha-postgresql:5432"
gitea.config.database.NAME	사용할 Database 이름.	"gitea"
gitea.config.database.USER	DB 접속 시 사용할 계정.	"gitea"
gitea.config.database.PASSWD	DB 접속 시 사용할 계정의 비밀번호.	"gitea"
gitea.config.database.CHARSET	DB 문자셋 설정.	"utf8"
gitea.config.database.SCHEMA	DB에서 사용할 스키마.	"gitea"
gitea.config.database.SSL_MODE	DB SSL 모드 설정.	"disable"
gitea.config.session.PROVIDER	session engine provider 설정.	"postgres"
gitea.config.session.PROVIDER_CONFIG	session engine provider 접속 설정.	"user=gitea password=gitea host=postgresql-postgresql-ha-postgresql port=5432 dbname=gitea_session sslmode=disable"
gitea.config.session.COOKIE_NAME	세션 쿠키 이름.	"i_hate_gitea"
gitea.config.service.DEFAULT_ALLOW_CREATE_ORGANIZATION	조직 생성 허용 여부.	true
gitea.config.repository.DEFAULT_BRANCH	gitea의 repository에서 사용할 기본 브랜치 이름.	"master"
gitea.oauth	OAuth 설정 목록 (Keycloak SSO 연동).	아래 참조

3. Ingress 설정

• gitea에서 ingress 사용을 위해서는 다음과 같이 설정할 수 있다.

1) tls 시크릿 직접 생성

# ingress 배포 전 인증서 secret 배포 필요(secret 이름은 platform)
ingress:
  enabled: true
  annotations:
    konghq.com/protocols: https
    konghq.com/https-redirect-status-code: "301"
  hosts:
    - host: gitea.example.org
      paths:
        - path: /
          pathType: Prefix
  tls:
    - hosts:
        host: gitea.example.org  # 도메인 수정 필요
      secretName: gitea-tls-secret

• ingress 사용을 위해서는 인증서를 secret으로 제공해야한다. 로컬 파일을 이용해 secret을 생성하는 방법은 다음과 같다.

  kubectl create secret tls gitea-tls-secret --cert=<path-to-cert-file> --key=<path-to-key-file> -n <namespace>
  

2) cert-manager 사용방법

• 해당 방법은 클러스터에 cert-manager가 배포되어 있을 때 사용할 수 있다.

• clusterIssuer 배포

  apiVersion: cert-manager.io/v1
  kind: ClusterIssuer
  metadata:
    name: selfsigned-issuer
  spec:
    selfSigned: {}
  

• custom-values.yaml 정의

ingress:
  enabled: true
  annotations:
    konghq.com/protocols: https
    konghq.com/https-redirect-status-code: "301"
    cert-manager.io/cluster-issuer: "selfsigned-issuer"   # 생성한 cluster issuer 설정
    cert-manager.io/duration: 8760h                       # 인증서 유효기간 설정
    cert-manager.io/renew-before: 720h                    # 자동 갱신 설정. 만료되기 전 갱신 시간 설정
  hosts:
    - host: gitea.example.org
      paths:
        - path: /
          pathType: Prefix
  tls:
    - hosts:
        host: gitea.example.org  # 도메인 수정 필요
      secretName: gitea-tls-secret

4. Keycloak SSO 연동

• Keycloak과의 SSO 연동은 gitea.oauth 설정을 통해 구성한다.
• 사설 인증서를 사용하는 경우 TLS 인증서를 마운트해야 한다.

4-1) OAuth 설정

gitea:
  oauth:
  - autoDiscoverUrl: http://keycloak/realms/paasup/.well-known/openid-configuration
    key: gitea                                    # Keycloak에서 설정한 Client ID
    name: Keycloak                               # OAuth 제공자 표시 이름
    provider: openidConnect                      # OAuth 제공자 타입
    secret: VWIjYDNosSlPseEo5Uo8nkP3OHO4MigA    # Keycloak Client Secret

4-2) 사설 인증서 사용 시 추가 설정

# 사설 인증서를 사용 시 아래 내용 추가
extraVolumes:
  - name: gitea-tls
    secret:
      secretName: gitea-tls-secret

extraContainerVolumeMounts:
  - name: gitea-tls
    mountPath: /etc/ssl/certs/ca.crt
    subPath: ca.crt

extraInitVolumeMounts:
  - name: gitea-tls
    mountPath: /etc/ssl/certs/ca.crt
    subPath: ca.crt

4-3) OAuth 설정 파라미터

Name	설명	기본값
autoDiscoverUrl	Keycloak OpenID Connect 자동 검색 URL	"http://keycloak/realms/paasup/.well-known/openid-configuration"
key	Keycloak에서 설정한 Client ID	"gitea"
name	OAuth 제공자 표시 이름	"Keycloak"
provider	OAuth 제공자 타입	"openidConnect"
secret	Keycloak Client Secret	"VWIjYDNosSlPseEo5Uo8nkP3OHO4MigA"

5. 의존성 설정

• 현재 custom-values.yaml에서는 외부 PostgreSQL을 사용하도록 설정.
• 차트에 포함된 PostgreSQL과 Valkey는 비활성화.

# Postgresql 비활성화 (외부 PostgreSQL 사용)
postgresql:
  enabled: false
postgresql-ha:
  enabled: false

# valkey 비활성화
valkey:
  enabled: false
valkey-cluster:
  enabled: false

5-1) 테넌트 배포 (내장 PostgreSQL 사용)

• 테넌트 배포를 위하여 차트에 포함된 postgresql를 포함하여 배포하기 위한 설정이다.

gitea:
  admin:
    existingSecret:
    username: sudouser
    password: password
    email: "sudouser@cro.com"
  config:
    APP_NAME: paasup git
    RUN_MODE: prod
    server:
      ROOT_URL: https://gitea.example.org
    service:
      DEFAULT_ALLOW_CREATE_ORGANIZATION: true
    repository:
      DEFAULT_BRANCH: master

postgresql:
  enabled: true
  global:
    postgresql:
      postgresqlDatabase: gitea  # 데이터베이스 이름 설정
      postgresqlUsername: gitea  # 데이터베이스 사용자 이름 설정
      postgresqlPassword: gitea  # 데이터베이스 사용자 비밀번호 설정
  persistence:
    size: 5Gi
    # storageClass: ""           # 생성할 볼륨의 storageClass를 설정한다.
postgresql-ha:
  enabled: false
valkey:
  enabled: true
  primary:
    persistence:
      size: 8Gi
valkey-cluster:
  enabled: false

6. Infisical 서비스 연동

---
apiVersion: secrets.infisical.com/v1alpha1
kind: InfisicalSecret
metadata:
  name: infisicalsecret-git # 고유한 이름으로 사용자 정의
  namespace: infisical
  labels:
    label-to-be-passed-to-managed-secret: test-git-secret # 고유한 이름으로 사용자 정의 (아래 annotations값과 동일)
  annotations:
    example.com/annotation-to-be-passed-to-managed-secret: "test-git-secret" # 고유한 이름으로 사용자 정의 (위의 label값과 동일)
spec:
  hostAPI: http://infisical-infisical-standalone-infisical.infisical.svc.cluster.local:8080/api # Infisical API
  resyncInterval: 10
  authentication:
    kubernetesAuth:
      identityId: 5ffaf885-7df2-4c75-a3a5-292a996aa3d7 # Infisical에서 생성한 값
      serviceAccountRef:
        name: infisical-auth
        namespace: infisical
      secretsScope:
        projectSlug: project1-9j-pp # 프로젝트 GET 
        envSlug: dev # 프로젝트 GET
        secretsPath: "/system/gitea" # 시크릿의 경로정의
        recursive: true
  managedSecretReference:
    secretName: gitea-user-secret # 생성할 시크릿 이름(values.yaml와 특정 이름으로 맞추면 변경하지 않아도됨)
    secretNamespace: test-git # Gitea가 배포될 네임스페이스 (네임스페이스가 사전에 생성되어 있어야함)
    creationPolicy: "Orphan" ## Owner | Orphan