dip
/
service-catalog
1
0
Fork 0
Code Issues Pull Requests Packages Projects Releases Wiki Activity
Repository for dip
You can not select more than 25 topics Topics must start with a letter or number, can include dashes ('-') and can be up to 35 characters long.
8 Commits
1 Branch
0 Tags
7.3 MiB
 
 
 
 
 
 
Tag: Branch: Tree: 74a66878b3
Branches Tags
${ item.name }
Create tag ${ searchTerm }
Create branch ${ searchTerm }
from '74a66878b3'
${ noResults }
service-catalog/manifests/helm/gitea/12.4.0/CUSTOM-README.md

283 lines
12 KiB
Raw Blame History

# Gitea 배포
## 1. 배포 전 사전 필요 사항
1. 클러스터 배포 시
- gitea가 배포될 **네임스페이스**에 postgresql이 배포되어 있어야 한다.
- SSO 연동을 위해서는gitea가 배포될 **네임스페이스**에 keycloak 인증서가 secret으로 존재해야 한다.
2. 테넌트 배포시
- SSO 연동을 위해서는 gitea가 배포될 **네임스페이스**에 keycloak 인증서가 secret으로 존재해야 한다.
## 2. custom-values.yaml 설명
- custom-values.yaml에 정의된 값에 대한 설명이다.
### 1) 전역 설정
- private 환경 배포시 사용한다.
| Name | 설명 | 기본값 |
| ---------------------- | ------------------------------------------------------------ | ------ |
| `global.imageRegistry` | 오프라인 설치 시에 설정. <br />paasup 설치시에는 "paasup.io"으로 설정 | `""` |
### 2) Pod 설정
| Name | 설명 | 기본값 |
| ------------------------ | ---------------------------------- | --------- |
| `replicaCount` | gitea pod의 replicas 설정. | "1" |
| tolerations | gitea pod의 toleration 설정. | `[]` |
| nodeSelector | gitea pod의 nodeSelector 설정. | `{}` |
| resources.request.cpu | Gitea pod의 cpu requst 설정. | `"100m"` |
| resources.request.memory | Gitea pod의 memory requst 설정. | `"300Mi"` |
| resources.limits.cpu | Gitea pod의 cpu limits 설정. | `"300m"` |
| resources.limits.memory | Gitea pod의 memory limits 설정. | `500Mi` |
| persistence.enable | Gitea pod에 Persistence 생성 여부. | `"ture"` |
| persistence.size | 생성할 Persistent Volume 사이즈. | `10Gi` |
| persistence.storageClass | Storage Class 설정. | `""` |
### 3) gitea 설정
- Gitea의 계정 설정과 `app.ini`에서 작성되는 기본 설정, 외부 DB 설정 등을 작성한다.
| Name | 설명 | 기본값 |
| ---------------------------------------- | ------------------------------------------------------------ | -------------------------------------------- |
| `gitea.admin.email` | 관리자 계정 이메일. | `"sudouser@cro.com"` |
| `gitea.admin.username` | 관리자 계정 사용자명. | `"sudouser"` |
| `gitea.admin.password` | 관리자 계정 비밀번호. | `"password"` |
| `gitea.config.APP_NAME` | Gitea 애플리케이션 이름. | `"paasup git"` |
| `gitea.config.RUN_MODE` | Gitea 실행 모드. | `"prod"` |
| `gitea.config.server.ROOT_URL` | Gitea 서버의 루트 URL. | `"https://gitea.example.org"` |
| `gitea.config.database.DB_TYPE` | 사용할 DB의 종류. | `"postgres"` |
| `gitea.config.database.HOST` | DB 접속을 위한 hostname. | `"postgresql-postgresql-ha-postgresql:5432"` |
| `gitea.config.database.NAME` | 사용할 Database 이름. | `"gitea"` |
| `gitea.config.database.USER` | DB 접속 시 사용할 계정. | `"gitea"` |
| `gitea.config.database.PASSWD` | DB 접속 시 사용할 계정의 비밀번호. | `"gitea"` |
| `gitea.config.database.CHARSET` | DB 문자셋 설정. | `"utf8"` |
| `gitea.config.database.SCHEMA` | DB에서 사용할 스키마. | `"gitea"` |
| `gitea.config.database.SSL_MODE` | DB SSL 모드 설정. | `"disable"` |
| `gitea.config.session.PROVIDER` | session engine provider 설정. | `"postgres"` |
| `gitea.config.session.PROVIDER_CONFIG` | session engine provider 접속 설정. | `"user=gitea password=gitea host=postgresql-postgresql-ha-postgresql port=5432 dbname=gitea_session sslmode=disable"` |
| `gitea.config.session.COOKIE_NAME` | 세션 쿠키 이름. | `"i_hate_gitea"` |
| `gitea.config.service.DEFAULT_ALLOW_CREATE_ORGANIZATION` | 조직 생성 허용 여부. | `true` |
| `gitea.config.repository.DEFAULT_BRANCH` | gitea의 repository에서 사용할 기본 브랜치 이름. | `"master"` |
| `gitea.oauth` | OAuth 설정 목록 (Keycloak SSO 연동). | 아래 참조 |
## 3. Ingress 설정
- gitea에서 ingress 사용을 위해서는 다음과 같이 설정할 수 있다.
### 1) tls 시크릿 직접 생성
``` yaml
# ingress 배포 전 인증서 secret 배포 필요(secret 이름은 platform)
ingress:
enabled: true
annotations:
konghq.com/protocols: https
konghq.com/https-redirect-status-code: "301"
hosts:
- host: gitea.example.org
paths:
- path: /
pathType: Prefix
tls:
- hosts:
host: gitea.example.org # 도메인 수정 필요
secretName: gitea-tls-secret
```
- ingress 사용을 위해서는 인증서를 secret으로 제공해야한다. 로컬 파일을 이용해 secret을 생성하는 방법은 다음과 같다.
``` sh
kubectl create secret tls gitea-tls-secret --cert=<path-to-cert-file> --key=<path-to-key-file> -n <namespace>
```
### 2) cert-manager 사용방법
- 해당 방법은 클러스터에 cert-manager가 배포되어 있을 때 사용할 수 있다.
- `clusterIssuer` 배포
``` yaml
apiVersion: cert-manager.io/v1
kind: ClusterIssuer
metadata:
name: selfsigned-issuer
spec:
selfSigned: {}
```
- custom-values.yaml 정의
``` yaml
ingress:
enabled: true
annotations:
konghq.com/protocols: https
konghq.com/https-redirect-status-code: "301"
cert-manager.io/cluster-issuer: "selfsigned-issuer" # 생성한 cluster issuer 설정
cert-manager.io/duration: 8760h # 인증서 유효기간 설정
cert-manager.io/renew-before: 720h # 자동 갱신 설정. 만료되기 전 갱신 시간 설정
hosts:
- host: gitea.example.org
paths:
- path: /
pathType: Prefix
tls:
- hosts:
host: gitea.example.org # 도메인 수정 필요
secretName: gitea-tls-secret
```
## 4. Keycloak SSO 연동
- Keycloak과의 SSO 연동은 `gitea.oauth` 설정을 통해 구성한다.
- 사설 인증서를 사용하는 경우 TLS 인증서를 마운트해야 한다.
### 4-1) OAuth 설정
``` yaml
gitea:
oauth:
- autoDiscoverUrl: http://keycloak/realms/paasup/.well-known/openid-configuration
key: gitea # Keycloak에서 설정한 Client ID
name: Keycloak # OAuth 제공자 표시 이름
provider: openidConnect # OAuth 제공자 타입
secret: VWIjYDNosSlPseEo5Uo8nkP3OHO4MigA # Keycloak Client Secret
```
### 4-2) 사설 인증서 사용 시 추가 설정
``` yaml
# 사설 인증서를 사용 시 아래 내용 추가
extraVolumes:
- name: gitea-tls
secret:
secretName: gitea-tls-secret
extraContainerVolumeMounts:
- name: gitea-tls
mountPath: /etc/ssl/certs/ca.crt
subPath: ca.crt
extraInitVolumeMounts:
- name: gitea-tls
mountPath: /etc/ssl/certs/ca.crt
subPath: ca.crt
```
### 4-3) OAuth 설정 파라미터
| Name | 설명 | 기본값 |
| ------------------- | ------------------------------------------------------- | ---------------------------------------------------------------- |
| `autoDiscoverUrl` | Keycloak OpenID Connect 자동 검색 URL | `"http://keycloak/realms/paasup/.well-known/openid-configuration"` |
| `key` | Keycloak에서 설정한 Client ID | `"gitea"` |
| `name` | OAuth 제공자 표시 이름 | `"Keycloak"` |
| `provider` | OAuth 제공자 타입 | `"openidConnect"` |
| `secret` | Keycloak Client Secret | `"VWIjYDNosSlPseEo5Uo8nkP3OHO4MigA"` |
## 5. 의존성 설정
- 현재 custom-values.yaml에서는 외부 PostgreSQL을 사용하도록 설정.
- 차트에 포함된 PostgreSQL과 Valkey는 비활성화.
``` yaml
# Postgresql 비활성화 (외부 PostgreSQL 사용)
postgresql:
enabled: false
postgresql-ha:
enabled: false
# valkey 비활성화
valkey:
enabled: false
valkey-cluster:
enabled: false
```
### 5-1) 테넌트 배포 (내장 PostgreSQL 사용)
- 테넌트 배포를 위하여 차트에 포함된 postgresql를 포함하여 배포하기 위한 설정이다.
``` yaml
gitea:
admin:
existingSecret:
username: sudouser
password: password
email: "sudouser@cro.com"
config:
APP_NAME: paasup git
RUN_MODE: prod
server:
ROOT_URL: https://gitea.example.org
service:
DEFAULT_ALLOW_CREATE_ORGANIZATION: true
repository:
DEFAULT_BRANCH: master
postgresql:
enabled: true
global:
postgresql:
postgresqlDatabase: gitea # 데이터베이스 이름 설정
postgresqlUsername: gitea # 데이터베이스 사용자 이름 설정
postgresqlPassword: gitea # 데이터베이스 사용자 비밀번호 설정
persistence:
size: 5Gi
# storageClass: "" # 생성할 볼륨의 storageClass를 설정한다.
postgresql-ha:
enabled: false
valkey:
enabled: true
primary:
persistence:
size: 8Gi
valkey-cluster:
enabled: false
```
## 6. Infisical 서비스 연동
``` yaml
---
apiVersion: secrets.infisical.com/v1alpha1
kind: InfisicalSecret
metadata:
name: infisicalsecret-git # 고유한 이름으로 사용자 정의
namespace: infisical
labels:
label-to-be-passed-to-managed-secret: test-git-secret # 고유한 이름으로 사용자 정의 (아래 annotations값과 동일)
annotations:
example.com/annotation-to-be-passed-to-managed-secret: "test-git-secret" # 고유한 이름으로 사용자 정의 (위의 label값과 동일)
spec:
hostAPI: http://infisical-infisical-standalone-infisical.infisical.svc.cluster.local:8080/api # Infisical API
resyncInterval: 10
authentication:
kubernetesAuth:
identityId: 5ffaf885-7df2-4c75-a3a5-292a996aa3d7 # Infisical에서 생성한 값
serviceAccountRef:
name: infisical-auth
namespace: infisical
secretsScope:
projectSlug: project1-9j-pp # 프로젝트 GET
envSlug: dev # 프로젝트 GET
secretsPath: "/system/gitea" # 시크릿의 경로정의
recursive: true
managedSecretReference:
secretName: gitea-user-secret # 생성할 시크릿 이름(values.yaml와 특정 이름으로 맞추면 변경하지 않아도됨)
secretNamespace: test-git # Gitea가 배포될 네임스페이스 (네임스페이스가 사전에 생성되어 있어야함)
creationPolicy: "Orphan" ## Owner | Orphan
```