Container Service for Kubernetes:Impor kredensial Alibaba Cloud KMS menggunakan csi-secrets-store-provider-alibabacloud

Parameter SecretProviderClass

Spesifikasi SecretProviderClass menggunakan bidang provider: alibabacloud dan bagian parameters:

apiVersion: secrets-store.csi.x-k8s.io/v1alpha1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # Harus diatur ke alibabacloud
  parameters:

Bagian parameters mendukung bidang berikut:

`objects` (wajib)

Konfigurasi YAML yang mencantumkan secret KMS untuk dimount. Setiap entri mendukung subfield berikut:

• objectName (wajib): Nama secret di KMS Secrets Manager. Lihat SecretName.

• objectType (opsional): Layanan Alibaba Cloud tempat sinkronisasi dilakukan. Nilai valid: kms, oos. Default ke kms.

• objectAlias (opsional): Nama file yang digunakan saat memount secret ke pod. Default ke nilai objectName.

• objectVersion (opsional): Sesuai dengan VersionId di KMS Secrets Manager. Tidak didukung untuk secret ApsaraDB RDS, PolarDB, ApsaraDB for Redis/Tair, RAM, dan ECS.

• objectVersionLabel (opsional): Sesuai dengan VersionStage di KMS Secrets Manager. Untuk secret RAM, ApsaraDB RDS, PolarDB, ApsaraDB for Redis, Tair, dan ECS, hanya ACSPrevious dan ACSCurrent yang didukung.

• jmesPath (opsional): Mengekstrak pasangan kunci-nilai tertentu dari secret berformat JSON. Misalnya, diberikan secret dengan nilai berikut:

  • path (wajib): Ekspresi JMESPath untuk mengekstrak nilai.

  • objectAlias (opsional): Nama file untuk nilai yang diekstrak di pod.

  {
    "username": "testuser",
    "password": "testpassword"
  }

  Gunakan jmesPath untuk memount username dan password sebagai file terpisah. Setiap entri memerlukan:

• kmsEndpoint (opsional): Titik akhir KMS untuk secret ini. Diterapkan per secret—setiap secret dalam daftar objects dapat menggunakan titik akhir berbeda. Jika tidak diatur, titik akhir VPC gateway bersama default digunakan. Lihat referensi kmsEndpoint.

`region` (opsional)

Wilayah server KMS Secrets Manager tempat mengirim permintaan. Default ke wilayah node saat ini. Tentukan bidang ini secara eksplisit jika aplikasi Anda menjalankan banyak pod, untuk menghindari overhead performa dari deteksi wilayah otomatis.

`pathTranslation` (opsional)

Karakter yang digunakan untuk menggantikan pemisah path dalam nama secret. Misalnya, My/Path/Secret menjadi My_Path_Secret secara default. Atur ke "False" untuk menonaktifkan penggantian.

Contoh: Mount secret KMS ke pod NGINX

Contoh ini memount secret KMS test-hangzhou ke pod NGINX di wilayah yang sama dengan kluster.

1. Buat secretstore.yaml dengan konten berikut:

   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: test
   spec:
     provider: alibabacloud   # Harus diatur ke alibabacloud
     parameters:
       objects: |
         - objectName: "test-hangzhou"     # Nama secret di KMS Secrets Manager
           objectType: "kms"               # kms atau oos; default ke kms
           objectAlias: "hangzhou-public"  # Nama file di mount pod
           kmsEndpoint: "kms.{region}.aliyuncs.com"  # Ganti {region} dengan wilayah Anda

2. Terapkan SecretProviderClass:

   kubectl apply -f secretstore.yaml

3. Buat deploy.yaml dengan konten berikut. Deployment NGINX ini memount secret dari SecretProviderClass ke /mnt/secrets-store. Untuk contoh lain, lihat Contoh Deployment.

   apiVersion: apps/v1  # Jika versi API lebih awal dari 1.8.0, gunakan apps/v1beta1.
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         volumes:
           - name: secrets-store-inline
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: "test-secrets"
         containers:
           - name: nginx
             image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # Ganti dengan image Anda.
             ports:
               - containerPort: 80
             resources:
               limits:
                 cpu: "500m"
             volumeMounts:
               - name: secrets-store-inline
                 mountPath: "/mnt/secrets-store"
                 readOnly: true

4. Terapkan Deployment:

   kubectl apply -f deploy.yaml

5. Verifikasi bahwa secret telah dimount. Dapatkan nama pod dan baca file secret yang dimount:

   # Dapatkan nama pod
   kubectl get pods -l app=nginx
   
   # Baca secret yang dimount (ganti <pod-name> dengan nama pod Anda)
   kubectl exec <pod-name> -- cat /mnt/secrets-store/hangzhou-public

   Output menampilkan nilai secret yang disimpan di KMS.

Referensi kmsEndpoint

Setiap secret dalam daftar objects dapat menentukan kmsEndpoint-nya sendiri. Jika tidak diatur, plugin menggunakan titik akhir VPC gateway bersama secara default.

Contoh berikut menunjukkan SecretProviderClass dengan beberapa secret yang menggunakan titik akhir berbeda:

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud  # Harus diatur ke alibabacloud.
  parameters:
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint: "kms.{region}.aliyuncs.com"           # Gateway bersama, domain publik. Ganti {region}.
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"                         # Tidak ada kmsEndpoint -- menggunakan titik akhir VPC default.
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint: "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"  # Gateway khusus. Ganti {kms-instance-id}.
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint: "kms.{region}.aliyuncs.com"           # Akses lintas wilayah melalui domain publik. Ganti {region}.

Untuk informasi selengkapnya, lihat Perbedaan antara gateway bersama dan khusus untuk mengakses KMS.