Container Service for Kubernetes:ack-secret-manager を使用して KMS からシークレットをインポートする

セキュリティに関する考慮事項

ほとんどの場合、KMS シークレットに関する情報は、アプリケーションが取得するためのファイルに保存されます。この状況では、KMS Secrets Manager から直接シークレットを取得することに互換性の問題が生じます。ack-secret-manager コンポーネントはこの互換性の問題を解決できます。また、このコンポーネントを使用して、KMS から ACK クラスタ内の Kubernetes Secrets にシークレットを同期することもできます。その後、Kubernetes Secrets を環境変数としてマウントして使用できます。このコンポーネントを使用する前に、以下のセキュリティリスクを評価してください：

• クラスタ内のシークレットにファイルシステムを介してアクセスできる場合、攻撃者はアプリケーションの Common Vulnerabilities and Exposures (CVE) の脆弱性を悪用して、クラスタ内のディレクトリを走査する可能性があります。その結果、シークレットが漏洩する可能性があります。

• デバッグ ブレークポイントの構成が不適切である場合、またはログアクセス権限が過剰である場合、クラスタ内のシークレットが公開される可能性があります。潜在的なセキュリティリスクを回避するために、環境変数を介してシークレットを参照しないことをお勧めします。

• シークレットの同期を有効にする場合は、最小権限の原則に厳密に従ってアクセス権限を制限してください。

アプリケーションのシークレットを永続化する必要がない場合は、RRSA を使用して異なるポッドに異なるクラウドサービスへのアクセスを承認するを参照して、ポッドに最小限のアクセス権限を付与することをお勧めします。次に、GetSecretValue 操作を直接呼び出すことによって、アプリケーションでシークレットを取得します。これにより、ポッド ファイルシステムまたは Kubernetes Secrets でシークレットが公開される可能性が低くなります。

前提条件

使用する KMS シークレットと同じリージョンに ACK クラスタが作成されていること。詳細については、ACK マネージドクラスターを作成する、ACK One 登録済みクラスターを作成する、およびServerless Kubernetes クラスターを作成するをご参照ください。

ステップ 1：ack-secret-manager をインストールする

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、目的のクラスターを見つけて名前をクリックします。左側のナビゲーションウィンドウで、[アプリケーション] > [Helm] を選択します。

3. [Helm] ページで、[デプロイ] をクリックします。[チャート] セクションの [デプロイ] パネルで、[ack-secret-manager] を見つけて選択し、その他のパラメーターにはデフォルト値を使用し、[次へ] をクリックします。

   [確認] メッセージに、チャートがデフォルトで kube-system 名前空間にインストールされ、デフォルトのアプリケーション名が使用されることが表示されます。[はい] をクリックします。カスタム アプリケーションとカスタム名前空間を使用するには、[基本情報] ステップで [アプリケーション名] パラメーターと [名前空間] パラメーターを構成します。

4. [パラメーター] ステップで、最新のチャートバージョンを選択し、その他のパラメーターを構成して、[OK] をクリックします。

   • 認証にサービスアカウントの Resource Access Management (RAM) ロール (RRSA) を有効にするには、rrsa.enable パラメーターを [true] に設定します。

   • シークレットの定期的な同期を有効にするには、次の図に示すパラメーターを構成します。

     

     • command.disablePolling：シークレットのラウンドロビンを無効にするかどうかを指定します。[false] の値は、シークレットのラウンドロビンを有効にします。

     • command.pollingInterval：同期の頻度。[120s] の値は、シークレットが 2 分ごとに同期されることを指定します。ビジネス要件に基づいてカスタム値を指定できます。

   • 同期を保留中の KMS シークレットである多数の ExternalSecrets を含むクラスター内のシークレットを調整するには、構成が不適切な場合、KMS 側または RAM 側で調整がトリガーされる可能性があります。したがって、このような問題を回避するには、次の調整パラメーターを設定します：

     

     command.maxConcurrentKmsSecretPulls：1 秒以内に同期できる KMS シークレットの最大数。デフォルト値は 10 です。

   • KMS エンドポイントアドレスを指定するには、kmsEndpoint パラメーターを構成します。

     

     command.kmsEndpoint：KMS の共有ゲートウェイと専用ゲートウェイ。このパラメーターはグローバル構成であり、現在、シークレットレベルの構成もサポートしています。

   コンポーネントをインストールすると、ack-secret-manager ページにリダイレクトされます。コンポーネントがインストールされているかどうかを確認できます。次の図に示すリソースが作成されている場合、コンポーネントはインストールされています。

ステップ 2：ack-secret-manager に KMS シークレットへのアクセスを承認する

KMS シークレットにアクセスするために ack-secret-manager を承認するには、SecretStore を作成する必要があります。そうしないと、ack-secret-manager は KMS から ACK クラスタにシークレットをインポートまたは同期できません。以下の方法を使用して、ack-secret-manager に KMS シークレットへのアクセスを承認できます。

• RRSA を使用して権限を付与する：この方法は、Kubernetes 1.22 以降を実行する ACK マネージドクラスター および Serverless Kubernetes クラスター に適用されます。

• クラスターのワーカー RAM ロールに権限を付与する：この方法は、ACK マネージドクラスター、ACK 専用クラスター、および 登録済みクラスター に適用されます。

• RAM ロールを偽装するために使用する AccessKey ペアを指定する：この方法は、すべてのタイプの ACK クラスタに適用されます。

ステップ 3：同期の詳細を指定する

ack-secret-manager に KMS シークレットへのアクセスを承認した後、アクセスする KMS シークレットの詳細を指定するために ExternalSecret を作成する必要があります。これにより、KMS からクラスター内の Kubernetes Secret にシークレットをインポートできます。

1. ExternalSecret を作成します。

   1. 次の説明に基づいて次のコードブロックを変更します。次に、変更したコードブロックに基づいて external.yaml という名前のファイルを作成します。

      パラメーター	説明
      {KMS シークレット名}	必須。値を、アクセスする KMS シークレットの名前に置き換えます。
      {Kubernetes シークレットキー}	必須。これはキーと値のペアの集合です。KMS シークレットのデータは、Kubernetes Secret にキーと値のペアとして保存されます。{Kubernetes シークレットキー} を対応するキーと値のペアのキーに置き換える必要があります。
      {KMS シークレットバージョンステージ}	オプション。値を、KMS シークレットのバージョン番号ではなく、KMS シークレットのステージラベルに置き換えます。例：ACSCurrent。 RDS シークレット、PolarDB シークレット、Redis/Tair シークレット、RAM シークレット、および ECS シークレットは、ACSPrevious パラメーターと ACSCurrent パラメーターに対応するシークレットバージョンのみを取得できます。 同期のために KMS シークレットのバージョン番号を指定するには、次のテンプレートの versionStage フィールドを versionId に置き換え、KMS シークレットのバージョン番号を入力します。 RDS シークレット、PolarDB シークレット、Redis/Tair シークレット、RAM シークレット、および ECS シークレットは、VersionId パラメーターの指定をサポートしていません。このパラメーターの設定は無視されます。 シークレットバージョンとバージョンステータスの詳細については、シークレット要素 のシークレットバージョンをご参照ください。
      {KMS サービス エンドポイントアドレス}	オプション。KMS リクエスト エンドポイントを指定する場合は、このパラメーターを対応するエンドポイントアドレスに置き換えます。 KMS の共有ゲートウェイと専用ゲートウェイがサポートされており、ビジネス要件に基づいて構成できます。 このパラメーターはシークレットレベルの構成であり、KMS シークレット専用のエンドポイントアドレスを構成できます。グローバル構成もサポートされています。構成の説明の詳細については、KMS エンドポイントアドレスを構成するをご参照ください。 このパラメーターを設定すると、グローバル構成とデフォルト構成がオーバーライドされ、シークレットリクエストのエンドポイントアドレスはこのパラメーターの値になります。
      {シークレットストア名}	オプション。値を、作成した SecretStore の名前に置き換えます。SecretStore は、ack-secret-manager が KMS シークレットにアクセスすることを承認するために使用されます。 説明 コンポーネントがワーカー RAM ロールによって承認されている場合、このパラメーターは空のままにすることができます。
      {シークレットストアの名前空間}	オプション。値を、作成した SecretStore の名前空間に置き換えます。 説明 コンポーネントがワーカー RAM ロールによって承認されている場合、このパラメーターは空のままにすることができます。

      apiVersion: 'alibabacloud.com/v1alpha1'
      kind: ExternalSecret
      metadata:
        name: esdemo
      spec:
        provider: kms # デフォルトでは、同期される Alibaba Cloud サービスのタイプは KMS です。KMS シークレットを同期する場合、このフィールドは空のままにするか、値 kms を割り当てることができます。
        data: # データソースに追加の構成は必要ありません。
          - key: {KMS シークレット名}
            name: {Kubernetes シークレットキー}
            versionStage: {KMS シークレットバージョンステージ}
            secretStoreRef: # コンポーネントがワーカー RAM ロールを介して承認されている場合、このパラメーターは不要です。
              name: {シークレットストア名}
              namespace: {シークレットストアの名前空間}
                  - key: {KMS シークレット名}
            name: {Kubernetes シークレットキー}
            versionStage: {KMS シークレットバージョンステージ}
            kmsEndpoint: {KMS サービス エンドポイントアドレス}

   2. 次のコマンドを実行して、ExternalSecret を作成します。

      kubectl apply -f external.yaml

2. 次のコマンドを実行して、Kubernetes Secret が存在するかどうかを確認します。

   kubectl get secret esdemo

   Kubernetes Secret が存在する場合、KMS シークレットは KMS からクラスターに同期されます。

高度な ack-secret-manager 構成

{"name":"tom","friends":[{"name":"lily"},{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: kms
  data: 
    - key: {KMS シークレット名}
      versionStage: {KMS シークレットバージョンステージ}
      secretStoreRef:
        name: {シークレットストア名}
        namespace: {シークレットストアの名前空間}
      jmesPath: # 一部の json フィールドを解析する
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

{"/name-invalid":"lily","name-invalid/":[{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {KMS シークレット名}
        versionStage: ACSCurrent # KMS シークレットのバージョン。
        secretStoreRef:
          name: {シークレットストア名}
          namespace: {シークレットストアの名前空間}
      replaceRule: # キーを置き換えるルール。
        - source: "^/.*d$" # スラッシュ (/) で始まり小文字の d で終わるキーを tom に置き換えます。
          target: "tom"
        - source: "^n.*/$" # 小文字の n で始まりスラッシュ (/) で終わるキーを mark に置き換えます。
          target: "mark"

name: tom
friends:
  - name: lily
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: kms
  data: 
    - key: {KMS シークレット名}
      versionStage: {KMS シークレットバージョンステージ}
      secretStoreRef:
        name: {シークレットストア名}
        namespace: {シークレットストアの名前空間}
      jmesPath: # yaml 文字列内の一部のフィールドを解析する
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

/name-invalid: lily
name-invalid/:
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: kms
  dataProcess:
    - extract:
        key: {KMS シークレット名}
        versionStage: ACSCurrent # KMS シークレットのバージョン。
        secretStoreRef:
          name: {シークレットストア名}
          namespace: {シークレットストアの名前空間}
      replaceRule: # キーを置き換えるルール。
        - source: "^/.*d$" # スラッシュ (/) で始まり小文字の d で終わるキーを tom に置き換えます。
          target: "tom"
        - source: "^n.*/$" # 小文字の n で始まりスラッシュ (/) で終わるキーを mark に置き換えます。
          target: "mark"

apiVersion: "alibabacloud.com/v1alpha1"
kind: ExternalSecret
metadata:
  name: esdemo
spec:
  provider: kms
  data:
    - key: test-hangzhou # 実際のエンドポイントアドレス：グローバル構成が存在する場合はそれを使用します。それ以外の場合は、デフォルト構成：kms-vpc.{region}.aliyuncs.com を使用します
      name: hangzhou-vpc
      versionId: v1
    - key: test-hangzhou # 実際のエンドポイントアドレス：kmsEndpoint フィールドで指定されたエンドポイントは kms.cn-hangzhou.aliyuncs.com です
      name: hangzhou-public
      versionId: v1
      kmsEndpoint: kms.cn-hangzhou.aliyuncs.com

参考資料

KMS シークレットから同期され ACK クラスタにキャッシュされた Kubernetes Secrets を保護するには、Secret 暗号化機能を有効にすることをお勧めします。詳細については、KMS を使用して Kubernetes Secrets を暗号化するをご参照ください。