Key Management Service:Akses cepat dari ACK

Langkah 1: Buat namespace dan akun layanan (opsional)

Namespace mempartisi kluster ACK Anda menjadi ruang virtual yang terisolasi secara logis untuk lingkungan berbeda seperti development, testing, dan production. Aplikasi di namespace berbeda tidak dapat mengakses resource satu sama lain secara default. Jika Anda sudah memiliki namespace dan akun layanan untuk aplikasi bisnis Anda, lewati langkah ini.

1. Buat namespace.

   1. Buat namespace menggunakan file YAML. Contoh berikut menggunakan app1-namespace.yaml untuk membuat namespace bernama app1-dev:

      apiVersion: v1
      kind: Namespace
      metadata:
        name: app1-dev

   2. Jalankan perintah berikut untuk membuat namespace:

      kubectl apply -f app1-namespace.yaml

   3. Verifikasi bahwa namespace telah dibuat. Jika output mencakup app1-dev, berarti namespace berhasil dibuat.

      kubectl get namespaces

2. Buat akun layanan.

   1. Buat akun layanan menggunakan file YAML. Contoh berikut menggunakan app1-serviceaccount.yaml untuk membuat akun layanan bernama app1-service di namespace app1-dev yang telah Anda buat pada langkah sebelumnya:

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: app1-service
        namespace: app1-dev

   2. Jalankan perintah berikut untuk membuat akun layanan:

      kubectl apply -f app1-serviceaccount.yaml

   3. Verifikasi bahwa akun layanan telah dibuat. Jika output mencakup app1-service, berarti akun layanan berhasil dibuat.

      kubectl get serviceaccount -n app1-dev

Langkah 2: Konfigurasi izin

Akses cloud-native KMS mendukung dua metode autentikasi berikut.

Langkah 3: Instal ack-kms-agent-webhook-injector

1. Masuk ke Konsol ACK. Di panel navigasi kiri, klik Clusters.

2. Pada halaman Clusters, klik nama kluster target untuk membuka halaman detail.

3. Di panel navigasi kiri halaman detail, pilih Applications > Helm.

4. Pada halaman Helm, klik Deploy. Konfigurasi bagian Basic Information, lalu klik Next.

   Parameter	Deskripsi
   Application Name	Gunakan nama aplikasi default ack-kms-agent-webhook-injector.
   Namespace	Gunakan namespace chart default kube-system. Instal sekali per kluster ACK; tidak perlu menginstal berulang kali.
   Source	Default: Marketplace. Parameter ini tidak dapat diubah.
   Chart	Cari dan pilih ack-kms-agent-webhook-injector.

5. Saat kotak dialog konfirmasi muncul, verifikasi informasi lalu klik Yes.

6. Pada halaman Parameters, konfigurasi parameter berdasarkan metode autentikasi yang Anda pilih pada Langkah 2.

   • OIDC (ACK): Pertahankan konfigurasi default.

   • Peran RAM: Biarkan agent.auth.roleArn kosong, dan atur agent.auth.roleArnMapping menjadi <Namespace>:<ServiceAccountName>:<RAM Role ARN>. Contoh berikut menggunakan data yang dibuat pada Langkah 2:

     Catatan

     Namespace dan ServiceAccountName sesuai dengan namespace dan akun layanan pod yang menjalankan workload. RAM Role ARN dapat dilihat di halaman detail peran RAM.

     agent:
       auth:
         roleArn:
         roleArnMapping:
           app1-dev:app1-service: acs:ram::190325303126****:role/app1-rrsa

7. Setelah konfigurasi selesai, klik OK. Anda akan diarahkan ke halaman detail aplikasi.

Langkah 4: Suntikkan Agent Sidecar

1. Tambahkan anotasi pod: Atur kunci anotasi menjadi kms-agent-webhook-injector/inject dan nilainya menjadi true.

   1. Di panel navigasi kiri halaman detail kluster, pilih Workloads > Deployments.

   2. Beralih ke namespace tempat workload Anda berjalan, lalu tambahkan anotasi pod ke Deployment tersebut.

      Penting

      Untuk metode autentikasi peran RAM, modifikasi konfigurasi YAML Deployment dan atur parameter ServiceAccountName menjadi nama akun layanan pod yang menjalankan workload (misalnya, app1-service). Untuk metode autentikasi OIDC (ACK), tidak diperlukan modifikasi.

      • Buat Deployment baru

        Create from Image

        1. Klik Create from Image di atas daftar Deployment lalu konfigurasi parameter.

        2. Saat mengonfigurasi Advanced, buka bagian Labels and Annotations dan tambahkan anotasi pod: masukkan kms-agent-webhook-injector/inject di kolom Name dan true di kolom Value.

        3. Klik Create untuk menyelesaikan.

        Create from YAML

        1. Klik Create from YAML di atas daftar Deployment.

        2. Edit file YAML dan tambahkan kms-agent-webhook-injector/inject: "true" di bawah spec.template.metadata.annotations (buat bagian ini jika belum ada).

        3. Klik Create untuk menyelesaikan.

      • Modifikasi Deployment yang sudah ada

        1. Temukan workload target lalu klik Actions > Details.

        2. Pada halaman detail, klik Edit YAML di pojok kanan atas.

        3. Tambahkan kms-agent-webhook-injector/inject: "true" di bawah spec.template.metadata.annotations (buat bagian ini jika belum ada).

        4. Klik Update dan tunggu hingga workload siap.

2. Verifikasi penyuntikan

   1. Kembali ke Workloads > Deployments lalu klik nama Deployment target untuk membuka halaman detail.

   2. Pada tab Pods, periksa kolom Image. KMS Agent muncul tersuntik ke dalam pod sebagai Sidecar.

      Catatan

      Sebuah pod mungkin disuntik dengan KMS Agent dua kali. Hal ini terjadi karena container init digunakan untuk inisialisasi. Container init akan berhenti (Terminated) setelah inisialisasi selesai, dan tidak berdampak negatif pada aplikasi atau terus-menerus mengonsumsi resource komputasi.