Container Service for Kubernetes:csi-secrets-store-provider-alibabacloud を使用した Alibaba Cloud KMS 認証情報のインポート

パラメーター

spec.parameters セクションは、次のフィールドをサポートします。

objects (必須)

マウントする KMS シークレットを定義する YAML リストです。各エントリは次のサブフィールドをサポートします。

region (オプション)

KMS Secrets Manager サーバーのリージョン。省略された場合、プラグインは現在のノードのリージョンを使用します。多数の Pod を持つクラスターの場合、リクエストごとのルックアップオーバーヘッドを回避するためにこのフィールドを指定してください。

pathTranslation (オプション)

シークレット名内のパス区切り文字の置換文字 (例: My/Path/Secret は My_Path_Secret になります)。デフォルト: _。パス区切り文字の置換を無効にするには "False" に設定します。

KMS エンドポイント

各シークレットエントリは kmsEndpoint を指定して、どの KMS ゲートウェイがリクエストを処理するかを制御できます。専用ゲートウェイと共有ゲートウェイの違いの詳細については、「KMS にアクセスするための共有ゲートウェイと専用ゲートウェイの違い」をご参照ください。

kmsEndpoint を省略すると、共有ゲートウェイ VPC エンドポイント (デフォルト) が使用されます。

例

この例では、KMS から test-hangzhou シークレットをインポートし、NGINX Pod にマウントします。

1. SecretProviderClass の作成

以下を secretstore.yaml として保存します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud
  parameters:
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint: "kms.{region}.aliyuncs.com"            # 共有ゲートウェイ、パブリックエンドポイント
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"
        # kmsEndpoint omitted — デフォルトの共有ゲートウェイ VPC エンドポイントを使用
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint: "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"  # 専用ゲートウェイ
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint: "kms.{region}.aliyuncs.com"            # パブリックエンドポイント経由のクロスリージョンアクセス

kubectl apply -f secretstore.yaml

2. シークレットをマウントする Deployment の作成

以下を deploy.yaml として保存します。Deployment は SecretProviderClass を CSI インラインボリュームとして /mnt/secrets-store にマウントします。

その他の例については、「Deployment の例」をご参照ください。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: nginx-deployment-basic
  labels:
    app: nginx
spec:
  replicas: 2
  selector:
    matchLabels:
      app: nginx
  template:
    metadata:
      labels:
        app: nginx
    spec:
      volumes:
        - name: secrets-store-inline
          csi:
            driver: secrets-store.csi.k8s.io
            readOnly: true
            volumeAttributes:
              secretProviderClass: "test-secrets"   # SecretProviderClass 名と一致する必要があります
      containers:
        - name: nginx
          image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6
          ports:
            - containerPort: 80
          resources:
            limits:
              cpu: "500m"
          volumeMounts:
            - name: secrets-store-inline
              mountPath: "/mnt/secrets-store"
              readOnly: true

kubectl apply -f deploy.yaml

3. シークレットがマウントされていることの確認

Pod が実行された後、Pod にログインし、SecretProviderClass で指定されたシークレットがマウントポイント /mnt/secrets-store に作成されているかどうか、およびシークレットに KMS に保存されている対応する暗号文が含まれているかどうかを確認します。

マルチエンドポイントの例

次の SecretProviderClass は、単一の構成で異なる KMS ゲートウェイを介してシークレットにアクセスする方法を示しています。すべてのエントリは KMS シークレットを参照し、kmsEndpoint フィールドは、各リクエストがどのゲートウェイを使用するかを制御します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud
  parameters:
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint: "kms.{region}.aliyuncs.com"            # 共有ゲートウェイ、パブリックエンドポイント
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"
        # kmsEndpoint は省略されています — デフォルトの共有ゲートウェイ VPC エンドポイントを使用します
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint: "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"  # 専用ゲートウェイ
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint: "kms.{region}.aliyuncs.com"            # パブリックエンドポイントを介したクロスリージョンアクセス