Key Management Service:Accès rapide depuis ACK

Étape 1 : Créer un namespace et un compte de service (facultatif)

Un namespace partitionne votre cluster ACK en espaces virtuels logiquement isolés pour différents environnements tels que le développement, les tests et la production. Par défaut, les applications situées dans différents namespaces ne peuvent pas accéder aux ressources des autres. Si vous disposez déjà d'un namespace et d'un compte de service pour votre application métier, ignorez cette étape.

1. Créez un namespace.

   1. Créez un namespace à l'aide d'un fichier YAML. L'exemple suivant utilise app1-namespace.yaml pour créer un namespace nommé app1-dev :

      apiVersion: v1
      kind: Namespace
      metadata:
        name: app1-dev

   2. Exécutez la commande suivante pour créer le namespace :

      kubectl apply -f app1-namespace.yaml

   3. Vérifiez que le namespace a été créé. Si la sortie inclut app1-dev, le namespace est créé.

      kubectl get namespaces

2. Créez un compte de service.

   1. Créez un compte de service à l'aide d'un fichier YAML. L'exemple suivant utilise app1-serviceaccount.yaml pour créer un compte de service nommé app1-service dans le namespace app1-dev que vous avez créé à l'étape précédente :

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: app1-service
        namespace: app1-dev

   2. Exécutez la commande suivante pour créer le compte de service :

      kubectl apply -f app1-serviceaccount.yaml

   3. Vérifiez que le compte de service a été créé. Si la sortie inclut app1-service, le compte de service est créé.

      kubectl get serviceaccount -n app1-dev

Étape 2 : Configurer les autorisations

L'accès cloud natif à KMS prend en charge les deux méthodes d'authentification suivantes.

Étape 3 : Installer ack-kms-agent-webhook-injector

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom du cluster cible pour accéder à la page des détails.

3. Dans le volet de navigation de gauche de la page des détails, choisissez Applications > Helm.

4. Sur la page Helm, cliquez sur Deploy. Configurez la section Basic Information, puis cliquez sur Next.

   Paramètre	Description
   Application Name	Utilisez le nom d'application par défaut ack-kms-agent-webhook-injector.
   Namespace	Utilisez le namespace de chart par défaut kube-system. Installez-le dans un seul namespace par cluster ACK ; inutile de l'installer plusieurs fois.
   Source	Par défaut : Marketplace. Ce paramètre ne peut pas être modifié.
   Chart	Recherchez et sélectionnez ack-kms-agent-webhook-injector.

5. Lorsque la boîte de dialogue de confirmation apparaît, vérifiez les informations et cliquez sur Yes.

6. Sur la page Parameters, configurez les paramètres en fonction de la méthode d'authentification que vous avez sélectionnée à l'étape 2.

   • OIDC (ACK) : Conservez la configuration par défaut.

   • Rôle RAM : Laissez agent.auth.roleArn vide et définissez agent.auth.roleArnMapping sur <Namespace>:<ServiceAccountName>:<RAM Role ARN>. L'exemple suivant utilise les données créées à l'étape 2 :

     Remarque

     Les valeurs Namespace et ServiceAccountName correspondent au namespace et au compte de service du pod exécutant la charge de travail. L'ARN du rôle RAM peut être consulté sur la page des détails du rôle RAM.

     agent:
       auth:
         roleArn:
         roleArnMapping:
           app1-dev:app1-service: acs:ram::190325303126****:role/app1-rrsa

7. Une fois la configuration terminée, cliquez sur OK. Vous êtes redirigé vers la page des détails de l'application.

Étape 4 : Injecter le Sidecar Agent

1. Ajouter une annotation de pod : Définissez la clé d'annotation sur kms-agent-webhook-injector/inject et la valeur sur true.

   1. Dans le volet de navigation de gauche de la page des détails du cluster, choisissez Workloads > Deployments.

   2. Basculez vers le namespace dans lequel votre charge de travail s'exécute et ajoutez l'annotation de pod au Deployment.

      Important

      Pour la méthode d'authentification par rôle RAM, modifiez la configuration YAML du Deployment et définissez le paramètre ServiceAccountName sur le nom du compte de service du pod exécutant la charge de travail (par exemple, app1-service). Pour la méthode d'authentification OIDC (ACK), aucune modification n'est requise.

      • Créer un nouveau Deployment

        Create from Image

        1. Cliquez sur Create from Image au-dessus de la liste des Deployments et configurez les paramètres.

        2. Lors de la configuration de Advanced, accédez à la section Labels and Annotations et ajoutez l'annotation de pod : saisissez kms-agent-webhook-injector/inject dans la colonne Name et true dans la colonne Value.

        3. Cliquez sur Create pour terminer.

        Create from YAML

        1. Cliquez sur Create from YAML au-dessus de la liste des Deployments.

        2. Modifiez le fichier YAML et ajoutez kms-agent-webhook-injector/inject: "true" sous spec.template.metadata.annotations (créez cette section si elle n'existe pas).

        3. Cliquez sur Create pour terminer.

      • Modifier un Deployment existant

        1. Recherchez la charge de travail cible et cliquez sur Actions > Details.

        2. Sur la page des détails, cliquez sur Edit YAML en haut à droite.

        3. Ajoutez kms-agent-webhook-injector/inject: "true" sous spec.template.metadata.annotations (créez cette section si elle n'existe pas).

        4. Cliquez sur Update et attendez que la charge de travail soit prête.

2. Vérifier l'injection

   1. Revenez à Workloads > Deployments et cliquez sur le nom du Deployment cible pour accéder à la page des détails.

   2. Dans l'onglet Pods, vérifiez la colonne Image. Le KMS Agent apparaît injecté dans le pod en tant que Sidecar.

      Remarque

      Un pod peut être injecté deux fois avec le KMS Agent. Cela se produit parce qu'un conteneur d'initialisation est utilisé pour l'initialisation. Le conteneur d'initialisation se termine (Terminated) une fois l'initialisation achevée et n'a pas d'impact négatif sur l'application ni ne consomme continuellement des ressources de calcul.