Container Service for Kubernetes:ack-secret-manager を使用した Alibaba Cloud KMS サービス認証情報のインポート

仕組み

ack-secret-manager は、2 つのカスタムリソースを使用して KMS シークレットをクラスターに同期します。

• SecretStore — ack-secret-manager が KMS で認証する *方法* (認証情報と認証メソッド) を定義します。

• ExternalSecret — フェッチする *対象* (どの KMS シークレット、どのバージョン、どの Kubernetes Secret キーに値を書き込むか) を定義します。

ExternalSecret を適用すると、ack-secret-manager は参照先の SecretStore を読み取って KMS で認証し、指定されたシークレットをフェッチして、ExternalSecret と同じ名前と名前空間を持つ Kubernetes Secret を作成します。

セキュリティに関する考慮事項

ack-secret-manager を設定する前に、以下のセキュリティリスクを確認してください。

• クラスター内のいずれかのアプリケーションに共通脆弱性識別子 (CVE) の脆弱性がある場合、ファイルシステムへのアクセスにより、ディレクトリトラバーサル攻撃にシークレットが晒される可能性があります。

• デバッグのブレークポイントや誤って設定されたログ権限によって、シークレットが漏洩する可能性があります。環境変数を使用してシークレットをマウントしないでください。この方法はファイルシステムへのマウントよりも安全性が低いです。

• シークレットの同期を有効にする場合は、最小権限の原則に従い、アクセス権限を厳密に制限してください。

アプリケーションでシークレットを永続化する必要がない場合は、RRSA を使用して Pod に必要な最小限の権限を付与し、アプリケーションコードから直接 GetSecretValue API を呼び出します。これにより、シークレットが Pod のファイルシステムや Kubernetes シークレットとして保存されるのを回避できます。

前提条件

開始する前に、以下が準備できていることを確認してください。

• KMS シークレットと同じリージョンにある ACK クラスター。サポートされているクラスタータイプ：ACK マネージドクラスター、ACK 専用クラスター、登録済みクラスター、ACK Serverless クラスター。作成手順については、「ACK マネージドクラスターの作成」、「登録済みクラスターの作成」、および「ACK Serverless クラスターの作成」をご参照ください。

• クラスターに接続された kubectl クライアント

ステップ 1：ack-secret-manager のインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理したいクラスターを見つけてその名前をクリックします。左側のナビゲーションウィンドウで、[アプリケーション] > [Helm] を選択します。

3. [Helm] ページで、[デプロイ] をクリックします。[デプロイ] パネルの [チャート] セクションで、[ack-secret-manager] を見つけて選択し、他のパラメーターにはデフォルト値を使用してから、[次へ] をクリックします。[確認] メッセージに表示される情報は、コンポーネントがデフォルトで kube-system 名前空間にインストールされ、デフォルトのアプリケーション名がコンポーネント名として使用されることを示します。[はい] をクリックします。カスタムのアプリケーション名と名前空間を使用するには、[基本情報] ステップで [アプリケーション名] と [名前空間] パラメーターを設定します。

4. [パラメーター] ステップで、最新のチャートバージョンを選択し、必要に応じて以下のパラメーターを設定してから、[OK] をクリックします。

   • 認証に RAM Roles for Service Accounts (RRSA) を有効にするには、rrsa.enable を [true] に設定します。

   • シークレットのスケジュールされた同期を有効にするには、次の図に示すパラメーターを設定します。

     • command.disablePolling：シークレットのポーリングを無効化するかどうかを指定します。false を設定すると、ポーリングが有効になります。

     • command.pollingInterval：同期間隔です。120s を指定すると、シークレットが 2 分ごとに同期されます。ご利用の要件に応じて調整してください。

   • クラスターに同期待ちの ExternalSecret が多数ある場合は、KMS 側または RAM 側でレート制限がトリガーされるのを避けるために、次のスロットリングパラメーターを設定します。 command.maxConcurrentKmsSecretPulls：1 秒あたりに同期できる KMS シークレットの最大数。デフォルト：10。

5. コンポーネントをインストールすると、ack-secret-manager ページにリダイレクトされます。コンポーネントがインストールされているかどうかを確認できます。次の図に示すリソースが作成されていれば、コンポーネントはインストールされています。

   

ステップ 2：ack-secret-manager に KMS シークレットへのアクセスを認可する

ack-secret-manager が KMS シークレットを読み取れるように SecretStore を作成します。SecretStore がないと、ack-secret-manager はシークレットをインポートまたは同期できません。

クラスターのタイプとセキュリティ要件に基づいて、次のいずれかの方法を選択してください。

ステップ 3：KMS シークレットをクラスターに同期する

ExternalSecret は、どの KMS シークレットをフェッチし、それを Kubernetes Secret としてどのように保存するかを ack-secret-manager に指示します。Kubernetes Secret は ExternalSecret と同じ名前と名前空間を持ちます。

1. ExternalSecret を作成します。

   1. external.yaml という名前のファイルを作成します。プレースホルダーを実際の値に置き換えます。

      プレースホルダー	説明	{KMS secret name}
      同期する KMS シークレットの名前	{Kubernetes secret key}
      結果として生成される Kubernetes シークレットで使用するキー名	{KMS secret version stage}
      KMS シークレットのバージョンステージラベル (例：ACSCurrent	)。代わりにバージョン番号で同期するには、versionStage	をversionId	に置き換え、バージョン番号を入力します	{secret store name}
      作成した SecretStore の名前。ワーカー RAM ロールを介して ack-secret-manager を認可した場合は、空白のままにします	{secret store namespace}

      apiVersion: 'alibabacloud.com/v1alpha1'
      kind: ExternalSecret
      metadata:
        name: esdemo
      spec:
        provider: kms # KMS から同期します。このフィールドは空のままにすることも、kms と設定することもできます。
        data:
      

      • キー： {KMS シークレット名} 名前： {Kubernetes シークレットキー} バージョンステージ： {KMS シークレットバージョンステージ} secretStoreRef：# ワーカー RAM ロールを介して承認されている場合は不要です。 名前： {シークレットストア名} 名前空間： {シークレットストア 名前空間}

   2. ExternalSecret を適用します。

      kubectl apply -f external.yaml 

2. 次のコマンドを実行して、Kubernetes Secret が存在するかどうかを確認します。

   kubectl get secret esdemo

   Kubernetes Secret が存在する場合、ack-secret-manager は KMS シークレットをクラスターに正常に同期しました。

高度な設定

{"name":"tom","friends":[{"name":"lily"},{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: kms
  data:
    - key: {KMS secret name}
      versionStage: {KMS secret version stage}
      secretStoreRef:
        name: {secret store name}
        namespace: {secret store namespace}
      jmesPath:
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

{"/name-invalid":"lily","name-invalid/":[{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {KMS secret name}
        versionStage: ACSCurrent
        secretStoreRef:
          name: {secret store name}
          namespace: {secret store namespace}
      replaceRule:
        - source: "^/.*d$"   # / で始まり d で終わるキー → "tom" に名前変更
          target: "tom"
        - source: "^n.*/$"   # n で始まり / で終わるキー → "mark" に名前変更
          target: "mark"

次のステップ

KMS から同期され、クラスターにキャッシュされた Kubernetes Secret を保護するには、シークレットの暗号化機能を有効にします。詳細については、「KMS を使用した Kubernetes Secret の暗号化」をご参照ください。