Container Service for Kubernetes:ack-secret-manager を使用した Alibaba Cloud OOS 暗号化パラメーターのインポート

セキュリティに関する注意事項

シークレットの同期を有効化する前に、以下のリスクを評価してください。

• ファイルシステムへの露出：ファイルシステムからシークレットを読み取るアプリケーションは、攻撃者が CVE 脆弱性を悪用してクラスター内のディレクトリを走査した場合、シークレットを漏洩させる可能性があります。

• 環境変数による漏洩：環境変数経由でシークレットを参照することは、デバッグブレークポイントやログ権限の設定ミスなどにより不適切な動作を引き起こす可能性があるため、セキュリティ上推奨されません。この方法は避けてください。

• 過剰なアクセス権限：シークレットの同期時に付与されるアクセス権限は、最小権限の原則に従い、必要最低限に制限してください。

アプリケーションでシークレットを永続化する必要がない場合は、RRSA を使用して最小限の権限で Pod に権限を付与する方法を採用し、その後、GetSecretParameter API を直接呼び出します。これにより、Pod ファイルシステムや Kubernetes Secrets 内で暗号化パラメーターが公開されるのを回避できます。

前提条件

開始する前に、以下の条件を満たしていることを確認してください。

• OOS サービスと同じリージョンに ACK クラスターが存在すること。対応するクラスタータイプ：ACK マネージドクラスター、ACK 専用クラスター、登録済みクラスター、ACK Serverless クラスター。詳細については、「ACK マネージドクラスターの作成」「ACK One 登録済みクラスターの作成」「ACK Serverless クラスターの作成」をご参照ください。

• OOS 暗号化パラメーターが存在すること。詳細については、「暗号化パラメーターの作成」および「CreateSecretParameter」をご参照ください。

• クラスターの kubeconfig ファイルおよび正常に動作する kubectl 接続が利用可能であること。詳細については、「クラスターの kubeconfig を取得し、kubectl を使用してクラスターに接続」をご参照ください。

仕組み

ack-secret-manager は、OOS 暗号化パラメーターをクラスターに同期するために、以下の 2 つのカスタムリソースを使用します。

• SecretStore — OOS への認証およびアクセス方法を指定

• ExternalSecret — OOS からフェッチする対象および同期先となる Kubernetes Secret を指定

設定後、ack-secret-manager は設定された間隔で OOS に対してポーリングを行い、対象の Kubernetes Secret を最新の状態に保ちます。

ステップ 1：ack-secret-manager のインストール

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理対象のクラスター名をクリックします。クラスターの詳細ページ左側のペインで、[アプリケーション] > [Helm] を選択します。

3. [Helm] ページで、[デプロイ] をクリックします。[チャート] セクションの [デプロイ] パネルで、[ack-secret-manager] を検索・選択し、[次へ] をクリックします。デフォルトでは、ack-secret-manager は kube-system 名前空間にインストールされます。カスタムのアプリケーション名または名前空間を使用する場合は、[アプリケーション名] および [名前空間] を [基本情報] ステップで設定してください。

4. [パラメーター] ステップで、最新のチャートバージョンを選択し、必要に応じて以下のパラメーターを設定して、[OK] をクリックします。インストール完了後、ack-secret-manager ページにリダイレクトされます。以下のリソースが作成された場合、インストールは成功しています。

   • RRSA 認証：RAM Roles for Service Accounts (RRSA) を使用する場合は、rrsa.enable を true に設定します。

   • 定期同期：暗号化パラメーターの自動回転を有効化するには、以下を設定します。

     パラメーター	説明
     command.disablePolling	自動パラメーター回転を有効化するには、false を設定します
     command.pollingInterval	同期頻度（秒単位）。デフォルト値：120（2 分ごと）

   • 速度制限：クラスターに多数の ExternalSecret が存在する場合、OOS または RAM API の速度制限を回避するために、以下を設定します。

     パラメーター	説明	デフォルト
     command.maxConcurrentOosSecretPulls	1 秒あたりに同期する OOS 暗号化パラメーターの最大数	10

ステップ 2：ack-secret-manager の OOS 暗号化パラメーターへのアクセス権限付与

OOS からの読み取りを許可するための SecretStore を作成します。SecretStore が存在しない場合、コンポーネントは暗号化パラメーターを同期できません。

クラスタータイプに応じて、以下の権限付与方法のいずれかを選択してください。

ステップ 3：同期設定の指定

認証の構成が完了したら、ExternalSecret を作成して、同期対象の OOS 暗号化パラメーターおよび保存先を指定します。

ack-secret-manager によって作成される Kubernetes Secret は、ExternalSecret と同じ名前空間および同じ名前を持ちます。

1. ExternalSecret を作成します。以下のテンプレートのプレースホルダーを置き換え、external.yaml として保存します。

   プレースホルダー	説明
   {OOS parameter name}	必須。同期対象の OOS 暗号化パラメーターの名前
   {Kubernetes secret key}	必須。対象 Kubernetes Secret 内のキー名
   {secret store name}	任意。ステップ 2 で作成した SecretStore の名前。ワーカー RAM ロール方式を使用する場合は空白のままにしてください
   {secret store namespace}	任意。SecretStore の名前空間。ワーカー RAM ロール方式を使用する場合は空白のままにしてください

   apiVersion: 'alibabacloud.com/v1alpha1'
   kind: ExternalSecret
   metadata:
     name: esdemo
   spec:
     provider: oos   # OOS 暗号化パラメーターの場合は "oos" を設定。デフォルトは "kms"
     data:
       - key: {OOS parameter name}
         name: {Kubernetes secret key}
         secretStoreRef:         # ワーカー RAM ロール方式を使用する場合は空白のままにしてください
           name: {secret store name}
           namespace: {secret store namespace}

   ファイルを適用します。

   kubectl apply -f external.yaml

2. ack-secret-manager が Kubernetes Secret を作成したことを確認します。

   kubectl get secret esdemo

   Secret が存在する場合、OOS 暗号化パラメーターの同期は正常に完了しています。

高度な構成

{"name":"tom","friends":[{"name":"lily"},{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: oos
  data:
    - key: {OOS parameter name}
      secretStoreRef:
        name: {secret store name}
        namespace: {secret store namespace}
      jmesPath:
        - path: "name"              # 抽出結果："tom"
          objectAlias: "myname"
        - path: "friends[0].name"   # 抽出結果："lily"
          objectAlias: "friendname"

name: tom
friends:
  - name: lily
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-yaml-demo
spec:
  provider: oos
  data:
    - key: {OOS parameter name}
      secretStoreRef:
        name: {secret store name}
        namespace: {secret store namespace}
      jmesPath:
        - path: "name"              # 抽出結果："tom"
          objectAlias: "myname"
        - path: "friends[0].name"   # 抽出結果："lily"
          objectAlias: "friendname"

{"/name-invalid":"lily","name-invalid/":[{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: oos
  dataProcess:
    - extract:
        key: {OOS parameter name}
        secretStoreRef:
          name: {secret store name}
          namespace: {secret store namespace}
      replaceRule:
        - source: "^/.*d$"   # `/` で始まり `d` で終わるキー → 「tom」に再命名
          target: "tom"
        - source: "^n.*/$"   # `n` で始まり `/` で終わるキー → 「mark」に再命名
          target: "mark"

/name-invalid: lily
name-invalid/:
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: oos
  dataProcess:
    - extract:
        key: {OOS parameter name}
        secretStoreRef:
          name: {secret store name}
          namespace: {secret store namespace}
      replaceRule:
        - source: "^/.*d$"   # `/` で始まり `d` で終わるキー → 「tom」に再命名
          target: "tom"
        - source: "^n.*/$"   # `n` で始まり `/` で終わるキー → 「mark」に再命名
          target: "mark"

次のステップ

OOS から同期された Kubernetes Secrets および ACK クラスター内にキャッシュされた Secrets を保護するには、シークレット暗号化機能を有効化します。「KMS を使用した Kubernetes Secrets の暗号化」をご参照ください。