Container Service for Kubernetes:ack-secret-manager を使用して OOS 暗号化パラメータをインポートする

セキュリティに関する注意事項

ほとんどの場合、アプリケーションはファイルシステムから直接シークレットを読み取ります。アプリケーションと OOS 暗号化パラメータの間には互換性の問題が存在する可能性があります。ack-secret-manager コンポーネントは、互換性の問題を解決できます。また、このコンポーネントを使用して、OOS から ACK クラスターの Kubernetes Secrets に暗号化パラメータを同期することもできます。その後、Kubernetes Secrets を環境変数としてマウントして使用できます。このコンポーネントを使用する前に、以下のセキュリティリスクを評価してください。

• クラスター内のシークレットがファイルシステムを介してアクセス可能な場合、攻撃者はアプリケーションの Common Vulnerabilities and Exposures (CVE) 脆弱性を悪用して、クラスター内のディレクトリを走査する可能性があります。その結果、シークレットが漏洩する可能性があります。

• デバッグのブレークポイントまたはログ権限の誤設定により、認証情報の漏洩につながる可能性があるため、環境変数を参照してシークレットを使用することは安全ではなく、推奨されません。

• シークレットの同期を有効にする場合は、最小権限の原則に厳密に従ってアクセス権限を制限してください。

アプリケーションでシークレットを永続化する必要がない場合は、RRSA を使用して異なるポッドに異なるクラウドサービスへのアクセスを承認するを参照して、ポッドに最小限のアクセス権限を付与することをお勧めします。次に、GetSecretParameter を参照して、アプリケーションが API 操作を呼び出して暗号化パラメータを直接取得するように構成します。これにより、ポッドファイルシステムまたは Kubernetes Secrets で暗号化パラメータが公開される可能性が低くなります。

前提条件

• 使用する OOS サービスと同じリージョンに ACK クラスターが作成されていること。ACK マネージドクラスター、ACK 専用クラスター、登録済みクラスター、または ACK Serverless クラスター を作成できます。詳細については、ACK マネージドクラスターを作成する、ACK One 登録済みクラスターを作成する、および ACK Serverless クラスターを作成する を参照してください。

• OOS 暗号化パラメータが作成されていること。詳細については、暗号化パラメータを作成する および CreateSecretParameter を参照してください。

• クラスターの kubeconfig ファイルを取得し、kubectl を使用してクラスターに接続していること。詳細については、クラスターの kubeconfig ファイルを取得し、kubectl を使用してクラスターに接続する を参照してください。

ステップ 1: ack-secret-manager をインストールする

1. ACK コンソール にログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターを見つけ、その名前をクリックします。クラスター詳細ページの左側のペインで、[アプリケーション] > [Helm] を選択します。

3. [Helm] ページで、[デプロイ] をクリックします。[デプロイ] パネルの [Chart] セクションで、[ack-secret-manager] を見つけて選択し、その他のパラメーターにはデフォルト値を使用し、[次へ] をクリックします。

   確認メッセージに表示される情報は、コンポーネントがデフォルトで kube-system 名前空間にインストールされ、デフォルトのアプリケーション名がコンポーネント名として使用されることを示しています。 [はい] をクリックします。カスタムアプリケーションとカスタム名前空間を使用する場合は、[基本情報] ステップで [アプリケーション名] パラメーターと [名前空間] パラメーターを設定します。

4. [パラメーター] ステップで、最新のチャートバージョンを選択し、その他のパラメーターを設定して、[OK] をクリックします。

   • サービスアカウントの RAM ロール (RRSA) を認証に使用する場合、[true] に rrsa.enable パラメーターを設定します。

   • 暗号化パラメーターのスケジュールされた同期を有効にする場合は、次の図に示すパラメーターを構成します。

     • command.disablePolling: 暗号化パラメーターの自動回転機能を有効にするかどうかを指定します。暗号化パラメーターの自動回転機能を有効にするには、値を [false] に設定します。

     • command.pollingInterval: 暗号化パラメーターを同期する頻度を指定します。この例では、このパラメーターは [120] 秒に設定されており、暗号化パラメーターが 2 分ごとに同期されることを指定しています。必要に応じて値を調整できます。

   • 調整パラメーターの構成: クラスタに多数の ExternalSecrets (同期される OOS 暗号化パラメーター) がある場合、不適切な構成によって OOS または RAM で調整が発生する可能性があります。そのため、調整を回避するには、次の調整パラメーターを構成する必要があります。 command.maxConcurrentOosSecretPulls: 1 秒あたりに同期できる OOS 暗号化パラメーターの最大数を指定します。デフォルト値: 10。

   コンポーネントをインストールすると、[ack-secret-manager] ページにリダイレクトされます。コンポーネントがインストールされているかどうかを確認できます。次の図に示すリソースが作成されている場合、コンポーネントはインストールされています。

ステップ 2: ack-secret-manager に OOS 暗号化パラメータへのアクセスを承認する

ack-secret-manager が OOS 暗号化パラメータにアクセスできるようにするには、SecretStore を作成する必要があります。そうしないと、ack-secret-manager は OOS から ACK クラスターに暗号化パラメータをインポートまたは同期できません。次の方法を使用して、ack-secret-manager に OOS 暗号化パラメータへのアクセスを承認できます。

• RRSA を使用して権限を付与する: この方法は、Kubernetes 1.22 以降を実行する ACK マネージドクラスター および ACK Serverless クラスター に適用されます。

• クラスターのワーカー RAM ロールに権限を付与する: この方法は、ACK マネージドクラスター、ACK 専用クラスター、および 登録済みクラスター に適用されます。

• RAM ロールを偽装するために使用する AccessKey ペアを指定する: この方法は、すべてのタイプの ACK クラスターに適用されます。

ステップ 3: 同期詳細を指定する

認証情報が構成された後、ExternalSecret を使用してアクセスされる OOS 暗号化パラメーターを構成する必要があります。 これにより、OOS 暗号化パラメーターを Kubernetes Secret にインポートできます。

1. ExternalSecret を作成します。

   1. 次の説明に基づいて、次のコードブロックを変更します。 次に、変更したコードブロックに基づいて external.yaml という名前のファイルを作成します。

      パラメーター	説明
      {OOS パラメーター名}	必須。 値を目的の OOS 暗号化パラメーターの名前に置き換えます。
      {Kubernetes シークレットキー}	必須。 キーと値のペアのコレクション。 単一の OOS 暗号化パラメーターは、Kubernetes Secret 内の特定のキーと値のペアに格納されます。 {Kubernetes シークレットキー} を目的のキーと値のペアのキーに置き換える必要があります。
      {シークレットストア名}	オプション。 作成した SecretStore の名前に値を置き換えます。 SecretStore は、ack-secret-manager が OOS 暗号化パラメーターにアクセスすることを承認するために使用されます。 説明 コンポーネントがワーカー RAM ロールによって承認されている場合は、このパラメーターを空のままにすることができます。
      {シークレットストアの名前空間}	オプション。 作成した SecretStore の名前空間に値を置き換えます。 説明 コンポーネントがワーカー RAM ロールによって承認されている場合は、このパラメーターを空のままにすることができます。

      apiVersion: 'alibabacloud.com/v1alpha1'
      kind: ExternalSecret
      metadata:
        name: esdemo
      spec:
        provider: oos # 同期する Alibaba Cloud サービスの種類。 デフォルト値は kms です。 OOS 暗号化パラメーターを同期する場合は、値を oos に設定する必要があります。
        data: # データソースに追加の構成は必要ありません。
          - key: {OOS パラメーター名}
            name: {Kubernetes シークレットキー}
            secretStoreRef:   # コンポーネントがワーカー RAM ロールによって承認されている場合は、このパラメーターを空のままにすることができます。
              name: {シークレットストア名}
              namespace: {シークレットストアの名前空間}

   2. 次のコマンドを実行して、ExternalSecret を作成します。

      kubectl apply -f external.yaml

2. 次のコマンドを実行して、Kubernetes Secret が作成されたかどうかを確認します。

   kubectl get secret esdemo

   Kubernetes Secret が作成されると、暗号化パラメーターは OOS からクラスターに同期されます。

高度な ack-secret-manager 構成

{"name":"tom","friends":[{"name":"lily"},{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: oos
  data: 
    - key: {OOS パラメーター名}
      secretStoreRef:
        name: {シークレットストア名}
        namespace: {シークレットストアの名前空間}
      jmesPath: # json 文字列の一部のフィールドを解析する
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

{"/name-invalid":"lily","name-invalid/":[{"name":"mark"}]}

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: oos
  dataProcess:
    - extract:
        key: {OOS パラメーター名}
        secretStoreRef:
          name: {シークレットストア名}
          namespace: {シークレットストアの名前空間}
      replaceRule: # キーを置き換えるルール。
        - source: "^/.*d$" # スラッシュ (/) で始まり小文字の d で終わるキーを tom に置き換えます。
          target: "tom"
        - source: "^n.*/$" # 小文字の n で始まりスラッシュ (/) で終わるキーを mark に置き換えます。
          target: "mark"

name: tom
friends:
  - name: lily
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: es-json-demo
spec:
  provider: oos
  data: 
    - key: {OOS パラメーター名}
      secretStoreRef:
        name: {シークレットストア名}
        namespace: {シークレットストアの名前空間}
      jmesPath: # yaml 文字列の一部のフィールドを解析する
        - path: "name"
          objectAlias: "myname"
        - path: "friends[0].name"
          objectAlias: "friendname"

/name-invalid: lily
name-invalid/:
  - name: mark

apiVersion: 'alibabacloud.com/v1alpha1'
kind: ExternalSecret
metadata:
  name: extract-secret
spec:
  provider: oos
  dataProcess:
    - extract:
        key: {OOS パラメーター名}
        secretStoreRef:
          name: {シークレットストア名}
          namespace: {シークレットストアの名前空間}
      replaceRule: # キーを置き換えるルール。
        - source: "^/.*d$" # スラッシュ (/) で始まり小文字の d で終わるキーを tom に置き換えます。
          target: "tom"
        - source: "^n.*/$" # 小文字の n で始まりスラッシュ (/) で終わるキーを mark に置き換えます。
          target: "mark"

参考資料

OOS シークレットから同期され、ACK クラスタにキャッシュされている Kubernetes シークレットを保護するために、シークレット暗号化機能を有効にすることをお勧めします。詳細については、「KMS を使用して Kubernetes シークレットを暗号化する」をご参照ください。