Container Service for Kubernetes:Impor kredensial layanan Alibaba Cloud KMS menggunakan ack-secret-manager

Konfigurasi izin untuk Akun A

1. Gunakan Akun A untuk membuat peran RAM dengan Akun B sebagai entitas tepercaya. Pilih Other Account dan masukkan ID Akun B. Untuk detailnya, lihat Buat peran RAM untuk akun Alibaba Cloud tepercaya.

2. Buat kebijakan RAM kustom yang memberikan akses ke rahasia KMS:

   {
       "Action": [
          "kms:GetSecretValue",
          "kms:Decrypt"
       ],
       "Resource": [
           "*"
       ],
       "Effect": "Allow"
   }

3. Sambungkan kebijakan tersebut ke peran RAM. Untuk detailnya, lihat Berikan izin ke peran RAM.

Konfigurasi izin untuk Akun B

1. Aktifkan RRSA untuk kluster ACK di Konsol ACK. Saat menginstal ack-secret-manager, atur rrsa.enable ke true. Untuk detailnya, lihat Aktifkan RRSA.

2. Buat peran RAM di Akun B dengan OIDC IdP sebagai entitas tepercaya. Atur Principal Type ke Identity provider dan konfigurasikan parameter berikut. Untuk detailnya, lihat Buat peran RAM untuk OIDC IdP.

   Parameter	Nilai
   Identity provider type	Pilih OIDC
   Identity provider	Pilih ack-rrsa-<cluster_id>, dengan <cluster_id> sebagai ID kluster Anda
   Condition — oidc:iss	Pertahankan nilai default
   Condition — oidc:aud	Pertahankan nilai default
   Condition — oidc:sub	Tambahkan secara manual: Key = oidc:sub, Operator = StringEquals, Value = system:serviceaccount:kube-system:ack-secret-manager

3. Buat kebijakan RAM kustom di Akun B yang memungkinkan mengasumsikan peran RAM di Akun A, lalu sambungkan ke peran RAM Akun B.

   1. Buat kebijakan dengan konten berikut. Ganti <account-id> dengan ID Akun A dan <role-name> dengan peran RAM yang dibuat di Akun A. Untuk detail cara menemukan ARN, lihat Bagaimana cara melihat ARN peran RAM?

      {
        "Statement": [
          {
            "Action": "sts:AssumeRole",
            "Effect": "Allow",
            "Resource": "acs:ram:*:<account-id>:role/<role-name>"
          }
        ],
        "Version": "1"
      }

   2. Sambungkan kebijakan tersebut ke peran RAM yang dibuat di Akun B.

4. Buat SecretStore untuk akses lintas akun.

   1. Buat file bernama secretstore-ramrole.yaml dengan konten berikut. Ganti placeholder seperti yang dijelaskan.

      Placeholder	Deskripsi
      {ACK-accountID}	ID Akun B (akun yang memiliki kluster ACK)
      {clusterID}	ID kluster ACK Anda
      {ACK-roleName}	Nama peran RAM yang dibuat di Akun B
      {KMS-accountID}	ID Akun A (akun yang memiliki instans KMS)
      {KMS-roleName}	Nama peran RAM yang dibuat di Akun A
      {roleSessionName}	Nama sesi peran — string kustom apa pun

      apiVersion: 'alibabacloud.com/v1alpha1'
      kind: SecretStore
      metadata:
        name: scdemo-cross-account
      spec:
        KMS:
          KMSAuth:
            oidcProviderARN: "acs:ram::{ACK-accountID}:oidc-provider/ack-rrsa-{clusterID}"
            ramRoleARN: "acs:ram::{ACK-accountID}:role/{ACK-roleName}"
            remoteRamRoleARN: "acs:ram::{KMS-accountID}:role/{KMS-roleName}"
            remoteRamRoleSessionName: {roleSessionName}

5. Buat ExternalSecret untuk menentukan detail sinkronisasi. Untuk detailnya, lihat Langkah 3: Sinkronkan rahasia KMS ke kluster.

Ekstrak bidang tertentu dari rahasia JSON

Gunakan jmesPath untuk mengekstrak pasangan kunci-nilai tertentu dari rahasia KMS yang disimpan dalam format JSON.

Sebagai contoh, diberikan rahasia JSON berikut yang disimpan di KMS Secrets Manager:

{"name":"tom","friends":[{"name":"lily"},{"name":"mark"}]}

Buat ExternalSecret dengan jmesPath untuk mengekstrak bidang tertentu:

• path: Ekspresi JMESPath untuk mengekstrak bidang. Wajib. Lihat spesifikasi JMESPath.

• objectAlias: Nama kunci di Kubernetes Secret hasil.

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: kms
  data:
    - key: {KMS secret name}
      versionStage: {KMS secret version stage}
      secretStoreRef:
        name: {secret store name}
        namespace: {secret store namespace}
      jmesPath:
        - path: "name"              # Mengekstrak: "tom"
          objectAlias: "myname"
        - path: "friends[0].name"   # Mengekstrak: "lily"
          objectAlias: "friendname"

Uraikan otomatis rahasia JSON

Jika struktur JSON tidak diketahui atau bervariasi, gunakan dataProcess.extract untuk secara otomatis mengurai semua pasangan kunci-nilai dari rahasia JSON. Gunakan dataProcess.replaceRule untuk mengganti nama kunci yang tidak sesuai dengan persyaratan penamaan kunci Kubernetes Secret.

Sebagai contoh, diberikan rahasia JSON berikut dengan nama kunci yang tidak sesuai:

{"/name-invalid":"lily","name-invalid/":[{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {KMS secret name}
        versionStage: ACSCurrent
        secretStoreRef:
          name: {secret store name}
          namespace: {secret store namespace}
      replaceRule:
        - source: "^/.*d$"   # Kunci yang dimulai dengan / dan diakhiri d -> "tom"
          target: "tom"
        - source: "^n.*/$"   # Kunci yang dimulai dengan n dan diakhiri / -> "mark"
          target: "mark"

Ekstrak bidang tertentu dari rahasia YAML

Gunakan jmesPath untuk mengekstrak pasangan kunci-nilai tertentu dari rahasia KMS yang disimpan dalam format YAML.

Sebagai contoh, diberikan rahasia YAML berikut yang disimpan di KMS Secrets Manager:

name: tom
friends:
  - name: lily
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-yaml-demo
spec:
  provider: kms
  data:
    - key: {KMS secret name}
      versionStage: {KMS secret version stage}
      secretStoreRef:
        name: {secret store name}
        namespace: {secret store namespace}
      jmesPath:
        - path: "name"              # Mengekstrak: "tom"
          objectAlias: "myname"
        - path: "friends[0].name"   # Mengekstrak: "lily"
          objectAlias: "friendname"

Uraikan otomatis rahasia YAML

Jika struktur YAML tidak diketahui atau bervariasi, gunakan dataProcess.extract untuk mengurai otomatis semua pasangan kunci-nilai. Gunakan dataProcess.replaceRule untuk menangani nama kunci yang tidak sesuai.

Sebagai contoh, diberikan rahasia YAML berikut:

/name-invalid: lily
name-invalid/:
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {KMS secret name}
        versionStage: ACSCurrent
        secretStoreRef:
          name: {secret store name}
          namespace: {secret store namespace}
      replaceRule:
        - source: "^/.*d$"   # Kunci yang dimulai dengan / dan diakhiri d -> "tom"
          target: "tom"
        - source: "^n.*/$"   # Kunci yang dimulai dengan n dan diakhiri / -> "mark"
          target: "mark"