CertBridge 보안 강화 및 에어갭 가이드

패키지 압축 해제 및 이미지 디렉토리 병합

서버 패키지를 해제한 경로 아래로, 개별 다운로드한 docker-images 디렉토리를 병합합니다.

tar -xzf certbridge-server-v0.1.0-ubuntu.tar.gz
cd certbridge-server-ubuntu
# 다운로드한 docker-images 폴더를 이곳으로 복사
mv /path/to/downloaded/docker-images ./

자동 셋업 스크립트 실행

오프라인 설치용 셋업 스크립트 setup-airgap.sh에 실행 권한을 부여하고 가동합니다. 이 스크립트는 Docker load 명령을 통해 오프라인 tar 및 tar.gz 이미지를 전체 복구하고 인프라 서비스를 기동합니다.

chmod +x setup-airgap.sh
sudo ./setup-airgap.sh

독립 모드(--profile standalone) 서비스 기동 상태 조회

NPM 및 Authentik 서비스를 포함하여 정상 구동 중인지 아래 명령으로 확인합니다.

sudo docker compose --profile standalone ps

관리자 화면(Admin UI) 로그인

웹 브라우저로 http://:81 에 접속합니다. 최초 기본 로그인 계정은 다음과 같습니다.

• Email Address: admin@example.com
• Password: changeme

※ 로그인 직후 즉시 관리자 이메일과 비밀번호를 변경해야 합니다.

사설 SSL/TLS 인증서 추가 (에어갭 환경)

인프라망이 에어갭 오프라인이므로 Let's Encrypt 자동 발급을 사용할 수 없습니다. 기관 내부 CA 또는 사설로 발급받은 인증서 파일을 수동 등록해야 합니다.

1. NPM 상단 메뉴의 "SSL Certificates" 탭 클릭
2. 우측 상단 "Add SSL Certificate" > "Custom" 선택
3. 인증서 이름 입력 후, Certificate Key File (.key) 및 Certificate File (.crt/pem) 업로드 후 저장

Proxy Host 추가 (CertBridge API 등)

NPM 프록시 호스트를 생성하여 외부 HTTPS 요청을 내부 컨테이너로 전달합니다.

• Domain Names: certbridge.local (또는 기관용 도메인)
• Scheme: http
• Forward Hostname / IP: certbridge-api (Docker 브릿지 컨테이너 호스트명)
• Forward Port: 8090
• Block Common Exploits: 활성화
• SSL 탭: 위에서 등록한 Custom SSL 선택 및 Force SSL 활성화

최초 인스턴스 셋업 및 초기화

웹 브라우저로 http://:9000/if/flow/initial-setup/ 에 접속합니다. 최초 부트스트랩 화면에서 관리자 계정 akadmin에 대한 안전한 비밀번호를 설정하여 초기화를 완료합니다.

Proxy Provider 생성 (NPM Forward Auth 연동용)

MinIO와 Neo4j 등 개별 보안이 필요한 레거시 화면 보호를 위해 Proxy Provider를 생성합니다.

1. Authentik Admin Interface 진입 (우측 상단 "Admin interface")
2. 좌측 메뉴 Applications > Providers > "Create" 클릭
3. Proxy Provider 선택 후 설정:
   • Name: infra-proxy-provider
   • Authorization flow: 기본 flow 선택 (e.g. default-authorization-flow)
   • External host: http://minio.certbridge.local (외부 노출될 URL)
   • Mode: Forward auth (single application) 선택

NPM Custom Nginx Configuration 적용

Nginx Proxy Manager에서 해당 Proxy Host로 들어오는 트래픽이 Authentik을 거쳐 인증되도록 Custom Nginx 설정 블록을 넣어줍니다.

# Authentik Forward Auth Integration
location / {
    # Authentik Server IP / Container Port
    auth_request     /outpost.goauthentik.io/auth/request;
    error_page       401 = @goauthentik_login;

    # Pass the actual request back to Authentik
    proxy_pass       $forward_scheme://$server:$port;

    # Auth variables sync
    auth_request_set $auth_cookie $upstream_http_set_cookie;
    add_header       Set-Cookie $auth_cookie;
    
    # Headers
    auth_request_set $authentik_username $upstream_http_x_authentik_username;
    auth_request_set $authentik_groups $upstream_http_x_authentik_groups;
    auth_request_set $authentik_email $upstream_http_x_authentik_email;
    auth_request_set $authentik_name $upstream_http_x_authentik_name;

    proxy_set_header X-Authentik-Username $authentik_username;
    proxy_set_header X-Authentik-Groups $authentik_groups;
    proxy_set_header X-Authentik-Email $authentik_email;
    proxy_set_header X-Authentik-Name $authentik_name;
}

location = /outpost.goauthentik.io/auth/request {
    proxy_pass          http://certbridge-authentik-server:9000/outpost.goauthentik.io/auth/request;
    proxy_set_header    Host $host;
    proxy_set_header    X-Original-URL $scheme://$http_host$request_uri;
    proxy_set_header    X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header    Content-Length "";
    proxy_method        GET;
}

location @goauthentik_login {
    return 302 http://certbridge-authentik-server:9000/outpost.goauthentik.io/auth/start?rd=$scheme://$http_host$request_uri;
}