Container Service for Kubernetes:csi-secrets-store-provider-alibabacloud を使用した Alibaba Cloud KMS サービス認証情報のインポート

テンプレート

以下は、SecretProviderClass テンプレートの形式です。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # この値は 'alibabacloud' に固定されます。
  parameters:
    objects: |
      - objectName: <KMS 暗号化パラメーター名> # KMS 認証情報の名前。
        objectType: kms # KMS 認証情報を同期する場合は kms に固定されます。

parameters フィールドには、マウントリクエストの次の設定が含まれます。

parameters:
  objects: |
    - objectName: "MySecret"
      objectType: "kms"

使用例

このセクションでは、ACK マネージドクラスター と同じリージョンにある test という名前の KMS サービス認証情報を SecretProviderClass を使用してワークロードにインポートする方法を示します。

1. 次の内容で secretstore.yaml という名前のファイルを作成します。

   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: test-secrets
   spec:
     provider: alibabacloud   # この値は alibabacloud に固定されます。
     parameters:
       objects: | # objectType は oos および kms をサポートします。デフォルトは kms です。
         - objectName: "test-hangzhou"
           objectType: "kms"
           objectAlias: "hangzhou-public"
           kmsEndpoint:  "kms.{region}.aliyuncs.com"

2. 次のコマンドを実行して、SecretProviderClass をデプロイします。

   kubectl apply -f secretstore.yaml

3. 次の内容で deploy.yaml という名前のファイルを作成します。

   このマニフェストには、前述の手順で作成した SecretProviderClass を CSI インラインボリュームを通じて使用する NGINX デプロイメントが含まれています。認証情報は Pod の /mnt/secrets-store ディレクトリにマウントされます。デプロイメントの例の詳細については、「デプロイメントの例」をご参照ください。

   apiVersion: apps/v1  # 1.8.0 より前のバージョンでは apps/v1beta1 を使用します。
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         volumes:
           - name: secrets-store-inline
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: "test-secrets"
         containers:
           - name: nginx
             image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # 実際のイメージに置き換えてください。
             ports:
               - containerPort: 80
             resources:
               limits:
                 cpu: "500m"
             volumeMounts:
               - name: secrets-store-inline
                 mountPath: "/mnt/secrets-store"
                 readOnly: true

4. 次のコマンドを実行して、アプリケーションをデプロイします。

   kubectl apply -f deploy.yaml

5. シークレットが正しくマウントされていることを確認します。

   Pod にログインし、SecretProviderClass で指定されたシークレットと同じ名前のファイルがターゲットマウントパス /mnt/secrets-store に作成されているか、およびファイルの内容が KMS 認証情報で指定された暗号文であるかを確認します。

KMS 認証情報を Kubernetes Secret に同期する

Secrets Store CSI Driver は、Alibaba Cloud KMS や OOS などの外部シークレット管理サービスから取得したシークレットを自動的に同期し、クラスター内にネイティブな Kubernetes Secret として作成できます。これにより、アプリケーションはコードを変更せずに標準的な方法で外部シークレットを使用できます。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # この値は alibabacloud に固定されます。変更しないでください。
  parameters:
    objects: |
      - objectName: <KMS 暗号化パラメーター名>  # KMS 認証情報の名前。
        objectType: kms     # KMS 認証情報を同期する場合は kms に固定されます。
  secretObjects:
  - secretName: <Kubernetes Secret 名>            # Kubernetes Secret の名前。
    type: <Kubernetes Secret タイプ>                  # Kubernetes Secret のタイプ。
    data:
    - objectName: <parameters.objects.objectName>   # parameters.objects.objectName の名前。エイリアスが指定されている場合はエイリアスを使用します。
      key: <Kubernetes Secret データキー>             # Kubernetes Secret データ内のキー名。

kmsEndpoint の構成

専用ゲートウェイまたは共有ゲートウェイを使用して KMS 認証情報にアクセスできます。次の要件に従ってエンドポイントを構成してください。専用ゲートウェイと共有ゲートウェイの違いの詳細については、「共有ゲートウェイと専用ゲートウェイの違い」をご参照ください。

KMS エンドポイントアドレス

KMS エンドポイント構成例

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud # 'alibabacloud' に固定されます
  parameters:
    # ゲートウェイ使用例：
    # hangzhou-public は共有ゲートウェイのパブリックエンドポイントを使用します。{region} は KMS 認証情報が配置されているリージョンに置き換えてください。この方法では、クラスターとは異なるリージョンの KMS 認証情報にアクセスできます。
    # hangzhou-vpc は kmsEndpoint フィールドを指定せず、共有ゲートウェイのデフォルト VPC エンドポイントを使用します。
    # hangzhou-cryptoservice は専用ゲートウェイを使用します。{kms-instance-id} は KMS インスタンスの ID に置き換えてください。
    # london-public は共有ゲートウェイのパブリックエンドポイントを使用します。{region} は KMS 認証情報が配置されているリージョンに置き換えてください。この方法では、クラスターとは異なるリージョンの KMS 認証情報にアクセスできます。
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint:  "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"