Container Service for Kubernetes：Gunakan ack-secret-manager untuk mengimpor rahasia dari KMS

Pertimbangan keamanan

Informasi rahasia KMS sering disimpan dalam file agar aplikasi dapat mengambilnya. Hal ini menimbulkan masalah kompatibilitas dengan pengambilan langsung rahasia dari KMS Secrets Manager. Komponen ack-secret-manager dapat menyelesaikan masalah ini. Sebelum menggunakan komponen ini, evaluasi risiko keamanan berikut:

• Penyerang dapat mengeksploitasi kerentanan CVE pada aplikasi untuk menjelajahi direktori kluster dan mengakses rahasia melalui sistem file.

• Konfigurasi titik henti debug yang tidak tepat atau izin log berlebihan dapat mengekspos rahasia. Hindari merujuk rahasia melalui variabel lingkungan untuk mengurangi risiko keamanan.

• Aktifkan sinkronisasi rahasia sesuai prinsip hak istimewa minimal untuk membatasi akses.

Jika tidak perlu menyimpan rahasia untuk aplikasi, gunakan RRSA untuk memberi otorisasi pod mengakses layanan cloud. Dapatkan rahasia secara langsung melalui operasi GetSecretValue.

Prasyarat

Kluster ACK harus dibuat di wilayah yang sama dengan rahasia KMS yang ingin digunakan. Untuk informasi lebih lanjut, lihat Buat Kluster ACK yang Dikelola, Buat Kluster Terdaftar ACK One, dan Buat Kluster ACK Serverless.

Langkah 1: Instal ack-secret-manager

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Di halaman Clusters, temukan kluster yang diinginkan dan klik namanya. Di panel navigasi kiri, pilih Applications > Helm.

3. Di halaman Helm, klik Deploy. Di bagian Chart dari panel Deploy, pilih ack-secret-manager. Gunakan nilai default untuk parameter lainnya, lalu klik Next.

   Di pesan konfirmasi Confirm, informasi menunjukkan bahwa chart akan diinstal di namespace kube-system secara default. Klik Yes. Untuk menggunakan aplikasi kustom dan namespace kustom, konfigurasikan parameter Application Name dan Namespace di langkah Basic Information.

4. Di langkah Parameters, pilih versi chart terbaru, konfigurasikan parameter lainnya, lalu klik OK.

   • Untuk mengaktifkan RRSA untuk otentikasi, atur parameter rrsa.enable ke true.

   • Untuk mengaktifkan sinkronisasi rahasia terjadwal, konfigurasikan parameter berikut:

     

     • command.disablePolling: Menentukan apakah round-robin untuk rahasia dinonaktifkan. Nilai false mengaktifkan round-robin.

     • command.pollingInterval: Frekuensi sinkronisasi. Nilai 120s menentukan sinkronisasi setiap 2 menit.

   • Untuk membatasi rahasia di kluster dengan banyak ExternalSecrets, konfigurasikan parameter berikut:

     

     command.maxConcurrentKmsSecretPulls: Jumlah maksimum rahasia KMS yang disinkronkan per detik. Nilai default adalah 10.

   • Untuk menentukan alamat endpoint KMS, konfigurasikan parameter kmsEndpoint.

     

     command.kmsEndpoint: Gateway bersama atau khusus untuk KMS.

   Setelah instalasi, Anda akan dialihkan ke halaman ack-secret-manager. Periksa sumber daya yang dibuat untuk memastikan instalasi berhasil.

Langkah 2: Otorisasi ack-secret-manager untuk mengakses rahasia KMS

Anda perlu membuat SecretStore untuk memberi otorisasi ack-secret-manager mengakses rahasia KMS. Tanpa otorisasi ini, ack-secret-manager tidak dapat mengimpor atau menyinkronkan rahasia dari KMS ke kluster ACK Anda. Gunakan metode berikut untuk memberikan otorisasi kepada ack-secret-manager dalam mengakses rahasia KMS:

• Gunakan RRSA untuk Memberikan Izin: Metode ini berlaku untuk kluster ACK managed cluster dan kluster ACK Serverless yang menjalankan Kubernetes 1.22 atau lebih baru.

• Berikan Izin ke Peran RAM Pekerja Kluster: Metode ini berlaku untuk kluster ACK managed cluster, kluster ACK dedicated cluster, dan kluster terdaftar.

• Tentukan Pasangan AccessKey untuk Mengasumsikan Peran RAM: Metode ini berlaku untuk semua jenis kluster ACK.

Langkah 3: Tentukan detail sinkronisasi

Setelah memberi otorisasi ack-secret-manager untuk mengakses rahasia KMS, buat ExternalSecret untuk menentukan detail rahasia KMS yang ingin diakses. Dengan cara ini, rahasia KMS dapat disinkronkan ke Kubernetes Secret di kluster Anda.

1. Buat ExternalSecret.

   1. Ubah blok kode berikut sesuai deskripsi. Buat file bernama external.yaml berdasarkan blok kode yang dimodifikasi.

      Parameter	Deskripsi
      {Nama rahasia KMS}	Wajib. Ganti nilainya dengan nama rahasia KMS yang ingin Anda akses.
      {Kunci rahasia Kubernetes}	Wajib. Ini adalah kumpulan pasangan kunci-nilai. Data rahasia KMS disimpan sebagai pasangan kunci-nilai dalam Kubernetes Secret. Anda harus mengganti {Kunci rahasia Kubernetes} dengan kunci dari pasangan kunci-nilai yang sesuai.
      {Tahap versi rahasia KMS}	Opsional. Ganti nilainya dengan label tahap versi rahasia KMS alih-alih nomor versi rahasia KMS. Contoh: ACSCurrent. Rahasia RDS, rahasia PolarDB, rahasia Redis/Tair, rahasia RAM, dan rahasia ECS hanya dapat mengambil versi rahasia yang sesuai dengan parameter ACSPrevious dan ACSCurrent. Untuk menentukan nomor versi rahasia KMS untuk sinkronisasi, Anda dapat mengganti bidang versionStage dalam template berikut dengan versionId, dan isi nomor versi rahasia KMS. Rahasia RDS, rahasia PolarDB, rahasia Redis/Tair, rahasia RAM, dan rahasia ECS tidak mendukung penentuan parameter VersionId. Pengaturan parameter ini diabaikan. Untuk informasi lebih lanjut tentang versi rahasia dan status versi, lihat versi rahasia dalam Elemen rahasia.
      {Alamat endpoint layanan KMS}	Opsional. Jika Anda ingin menentukan endpoint permintaan KMS, ganti parameter ini dengan alamat endpoint yang sesuai. Gateway bersama dan gateway khusus untuk KMS didukung dan dapat dikonfigurasi berdasarkan kebutuhan bisnis Anda. Parameter ini merupakan konfigurasi tingkat rahasia, yang memungkinkan Anda mengonfigurasi alamat endpoint secara khusus untuk rahasia KMS. Konfigurasi global juga didukung. Untuk informasi lebih lanjut tentang deskripsi konfigurasi, lihat Konfigurasikan alamat endpoint KMS. Setelah parameter ini diatur, konfigurasi global dan konfigurasi default akan digantikan, dan alamat endpoint untuk permintaan rahasia adalah nilai dari parameter ini.
      {Nama SecretStore}	Opsional. Ganti nilainya dengan nama SecretStore yang Anda buat. SecretStore digunakan untuk memberi otorisasi ack-secret-manager mengakses rahasia KMS. Catatan Anda dapat meninggalkan parameter ini kosong jika komponen diotorisasi oleh peran RAM pekerja.
      {namespace penyimpanan rahasia}	Opsional. Ganti nilainya dengan namespace dari SecretStore yang Anda buat. Catatan Anda dapat meninggalkan parameter ini kosong jika komponen diotorisasi oleh peran RAM pekerja.

      apiVersion: 'alibabacloud.com/v1alpha1'
      kind: ExternalSecret
      metadata:
        name: esdemo
      spec:
        provider: kms # Secara default, jenis Layanan Alibaba Cloud yang akan disinkronkan adalah KMS. Saat menyinkronkan rahasia KMS, bidang ini dapat dibiarkan kosong atau diberi nilai kms.
        data: # Tidak diperlukan konfigurasi tambahan untuk sumber data.
          - key: {Nama rahasia KMS}
            name: {Kunci rahasia Kubernetes}
            versionStage: {Tahap versi rahasia KMS}
            secretStoreRef: # Parameter ini tidak diperlukan saat komponen diotorisasi melalui peran RAM pekerja.
              name: {Nama SecretStore}
              namespace: {Namespace SecretStore}
                  - key: {Nama rahasia KMS}
            name: {Kunci rahasia Kubernetes}
            versionStage: {Tahap versi rahasia KMS}
            kmsEndpoint: {Alamat endpoint layanan KMS}

   2. Jalankan perintah berikut untuk membuat ExternalSecret:

      kubectl apply -f external.yaml

2. Jalankan perintah berikut untuk memeriksa apakah Kubernetes Secret ada:

   kubectl get secret esdemo

   Jika Kubernetes Secret ada, rahasia KMS telah disinkronkan ke kluster Anda.

Konfigurasi lanjutan ack-secret-manager

{"name":"tom","friends":[{"name":"lily"},{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: kms
  data: 
    - key: {Nama rahasia KMS}
      versionStage: {Tahap versi rahasia KMS}
      secretStoreRef:
        name: {Nama SecretStore}
        namespace: {Namespace SecretStore}
      jmesPath: # Mengurai beberapa bidang json 
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

{"name-invalid":"lily","name-invalid/":[{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {Nama rahasia KMS}
        versionStage: ACSCurrent # Versi rahasia KMS.
        secretStoreRef:
          name: {Nama SecretStore}
          namespace: {Namespace SecretStore}
      replaceRule: #Aturan untuk mengganti kunci.
        - source: "^/.*d$" # Ganti kunci yang dimulai dengan garis miring (/) dan diakhiri dengan huruf kecil d dengan tom.
          target: "tom"
        - source: "^n.*/$" # Ganti kunci yang dimulai dengan huruf kecil n dan diakhiri dengan garis miring (/) dengan mark.
          target: "mark"

name: tom
friends:
  - name: lily
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: kms
  data: 
    - key: {Nama rahasia KMS}
      versionStage: {Tahap versi rahasia KMS}
      secretStoreRef:
        name: {Nama SecretStore}
        namespace: {Namespace SecretStore}
      jmesPath: # Mengurai beberapa bidang dalam string yaml
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

/name-invalid: lily
name-invalid/:
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {Nama rahasia KMS}
        versionStage: ACSCurrent # Versi rahasia KMS.
        secretStoreRef:
          name: {Nama SecretStore}
          namespace: {Namespace SecretStore}
      replaceRule: # Aturan untuk mengganti kunci.
        - source: "^/.*d$" # Ganti kunci yang dimulai dengan garis miring (/) dan diakhiri dengan huruf kecil d dengan tom.
          target: "tom"
        - source: "^n.*/$" # Ganti kunci yang dimulai dengan huruf kecil n dan diakhiri dengan garis miring (/) dengan mark.
          target: "mark"

apiVersion: "alibabacloud.com/v1alpha1"
kind: ExternalSecret
metadata:
  name: esdemo
spec:
  provider: kms
  data:
    - key: test-hangzhou # Alamat endpoint sebenarnya: Gunakan konfigurasi global jika ada. Jika tidak, gunakan konfigurasi default: kms-vpc.{region}.aliyuncs.com
      name: hangzhou-vpc
      versionId: v1
    - key: test-hangzhou # Alamat endpoint sebenarnya: Endpoint yang ditentukan oleh bidang kmsEndpoint adalah kms.cn-hangzhou.aliyuncs.com
      name: hangzhou-public
      versionId: v1
      kmsEndpoint: kms.cn-hangzhou.aliyuncs.com

Referensi

Untuk mengamankan Kubernetes Secrets yang disinkronkan dari rahasia KMS dan disimpan di kluster ACK, aktifkan fitur Enkripsi Secret. Lihat Gunakan KMS untuk Mengenkripsi Kubernetes Secrets.