Container Service for Kubernetes:csi-secrets-store-provider-alibabacloud を使用した KMS からのサービス認証情報のインポート

セキュリティリスク

ファイルシステムからシークレットを読み取るワークロードと Secrets Manager とが直接対話すると、互換性の問題が発生する可能性があります。csi-secrets-store-provider-alibabacloud はこれらの問題を解決し、シークレットを Kubernetes Secret オブジェクトに同期して環境変数として使用することをサポートします。続行する前に、以下のセキュリティリスクを評価してください。

• キーがファイルシステムでアクセス可能な場合、アプリケーションの脆弱性によってディレクトリトラバーサルの脅威が生じ、機密情報が漏洩する可能性があります。

• デバッグエンドポイントやログ権限の設定を誤ると、キーが漏洩する可能性があります。そのため、環境変数で参照としてキーをマウントする方法は安全ではなく、推奨されません。

• シークレット同期機能を有効にする場合は、最小権限の原則に基づいてアクセス権限を厳密に制御する必要があります。

これらの理由から、アプリケーションが暗号文の永続的なストレージを必要としない場合は、RRSA を使用して Pod レベルのアクセス制御を行い、アプリケーションに最小限の Pod レベルの権限を設定し、アプリケーション内で直接 GetSecretValue API を使用してキー認証情報を取得することを推奨します。これにより、Pod のファイルシステムや Kubernetes Secret でのキーコンテンツの漏洩リスクを低減できます。

前提条件

• 次の要件を満たす ACK クラスターを作成してください (「ACK マネージドクラスターの作成」または「ACK One 登録済みクラスターの作成」をご参照ください)。

  • クラスターは Kubernetes 1.20 以降で実行されています。サポートされているクラスタータイプには、ACK マネージドクラスター、ACK 専用クラスター、ACK Edge クラスター、および ACK One 登録クラスターが含まれます。ACK Serverless クラスターはサポートされていません。

• kubectl クライアントがクラスターに接続されている必要があります。

ステップ 1：アドオンの認証設定

csi-secrets-store-provider-alibabacloud が KMS から認証情報を取得するための認証を設定します。認証がない場合、csi-secrets-store-provider-alibabacloud はクラスターに認証情報をインポートまたは同期できません。クラスターのタイプに応じて、次のいずれかの認可方法を選択してください。

• RRSA を使用した権限付与：この方法は、Kubernetes 1.22 以降を実行する ACK マネージドクラスターに適用できます。

• クラスターのワーカー RAM ロールへの権限付与：この方法は、ACK マネージドクラスター、ACK 専用クラスター、および ACK One 登録済みクラスターに適用できます。

• AccessKey ID と AccessKey シークレットを指定して特定の RAM ロールを引き受ける：この方法は、すべての ACK クラスターに適用できます。

ステップ 2: csi-secrets-store-provider-alibabacloud アドオンをインストールする

1. ACKコンソールにログインします。 左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、管理するクラスターの名前をクリックします。 左側のナビゲーションウィンドウで、[アプリケーション] > [ヘルム] を選択します。

3. [Helm] ページで、デプロイ をクリックします。csi-secrets-store-provider-alibabacloud を検索して選択します。デフォルト設定のまま、次 をクリックします。

   設定を確認します。アドオンは、アドオンと同じ名前の Helm リリースで、デフォルトの kube-system 名前空間にインストールされます。アプリケーション名や名前空間をカスタマイズするには、プロンプトに従ってパラメーターを設定します。

4. 最新の Chart バージョン を選択します。[Parameters] セクションで、ステップ 1 の認証方法に基づいてパラメーターを設定します。その後、OK をクリックします。

   • RRSA を使用した権限付与を選択した場合、rrsa.enable を true に設定します。

     その他のパラメーター：

     envVarsFromSecret:
     #  ACCESS_KEY_ID:
     #    secretKeyRef: alibaba-credentials
     #    key: id
     #  SECRET_ACCESS_KEY:
     #    secretKeyRef: alibaba-credentials
     #    key: secret
       ALICLOUD_ROLE_ARN:
         secretKeyRef: alibaba-credentials
         key: rolearn
     #  ALICLOUD_ROLE_SESSION_NAME:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionname
     #  ALICLOUD_ROLE_SESSION_EXPIRATION:
     #    secretKeyRef: alibaba-credentials
     #   key: rolesessionexpiration
       ALICLOUD_OIDC_PROVIDER_ARN:
         secretKeyRef: alibaba-credentials
         key: oidcproviderarn

   • クラスターのワーカー RAM ロールへの権限付与を選択した場合、デフォルト設定を使用します。

   • AccessKey ID と AccessKey シークレットを指定して特定の RAM ロールを引き受けるを選択した場合、次のパラメーターを設定します。

     envVarsFromSecret:
       ACCESS_KEY_ID:
         secretKeyRef: alibaba-credentials
         key: id
       SECRET_ACCESS_KEY:
         secretKeyRef: alibaba-credentials
         key: secret
       ALICLOUD_ROLE_ARN:
         secretKeyRef: alibaba-credentials
         key: rolearn
     #  ALICLOUD_ROLE_SESSION_NAME:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionname
     #  ALICLOUD_ROLE_SESSION_EXPIRATION:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionexpiration
     #  ALICLOUD_OIDC_PROVIDER_ARN:
     #    secretKeyRef: alibaba-credentials
     #    key: oidcproviderarn

   • シークレットを Kubernetes Secret オブジェクトに同期するには、次のパラメーターを設定します。

     syncSecret:
       enabled: true

     secrets-store-csi-driver.syncSecret.enabled：シークレットを Kubernetes Secret として同期します。true の場合、必要な RBAC Role と RoleBinding をデプロイします。

   • シークレットの自動ローテーションを有効にするには、次のパラメーターを設定します。

     • secrets-store-csi-driver.enableSecretRotation：シークレットの自動ローテーションを有効にします。true に設定します。

     • secrets-store-csi-driver.rotationPollInterval：シークレットの同期間隔。例：120s は 2 分ごとに同期します。要件に応じて調整してください。

   デプロイ後、csi-secrets-store-provider-alibabacloud ページにリダイレクトされます。すべてのリソースが作成されたことを確認してください。コンソールの [Resources] ページで、アドオンによって作成された Kubernetes リソース (secrets-store-csi-driver と csi-secrets-store-provider-alibabacloud (ServiceAccount)、secretproviderclasses-admin-role、secretproviderclasses-viewer-role、secretproviderclasses-role (ClusterRole)、secretproviderclasses-rolebinding (ClusterRoleBinding)、secrets-store-csi-driver と csi-secrets-store-provider-alibabacloud (DaemonSet)、および secrets-store.csi.k8s.io (CSIDriver)) を確認できます。

ステップ 3：データ同期の設定

認証を設定した後、SecretProviderClass を使用してインポートする KMS 認証情報を指定します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # この値は 'alibabacloud' に固定されています。
  parameters:
    objects: |
      - objectName: <KMS Encryption Parameter Name> # KMS 認証情報の名前。
        objectType: kms # KMS 認証情報を同期する場合は kms に固定されます。

parameters:
  objects: |
    - objectName: "MySecret"
      objectType: "kms"

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # この値は alibabacloud に固定されています。変更しないでください。
  parameters:
    objects: |
      - objectName: <KMS Encryption Parameter Name>  # KMS 認証情報の名前。
        objectType: kms     # KMS 認証情報を同期する場合は kms に固定されます。
  secretObjects:
  - secretName: <Kubernetes Secret Name>            # Kubernetes Secret の名前。
    type: <Kubernetes Secret Type>                  # Kubernetes Secret のタイプ。
    data:
    - objectName: <parameters.objects.objectName>   # parameters.objects.objectName からの名前。エイリアスが指定されている場合は、そのエイリアスを使用します。
      key: <Kubernetes Secret Data Key>             # Kubernetes Secret データ内のキー名。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud # 'alibabacloud' に固定
  parameters:
    # ゲートウェイの使用例：
    # hangzhou-public は共有ゲートウェイのパブリックエンドポイントを使用します。{region} を KMS 認証情報が配置されているリージョンに置き換えます。この方法により、クラスターとは異なるリージョンから KMS 認証情報にアクセスできます。
    # hangzhou-vpc は kmsEndpoint フィールドを指定せず、共有ゲートウェイのデフォルトの VPC エンドポイントを使用します。
    # hangzhou-cryptoservice は専用ゲートウェイを使用します。{kms-instance-id} を KMS 認証情報のインスタンス ID に置き換えます。
    # london-public は共有ゲートウェイのパブリックエンドポイントを使用します。{region} を KMS 認証情報が配置されているリージョンに置き換えます。この方法により、クラスターとは異なるリージョンから KMS 認証情報にアクセスできます。
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint:  "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"

関連ドキュメント

• ACK サーバーレスクラスターのワークロードについては、「ack-secret-manager を使用した Alibaba Cloud KMS サービス認証情報のインポート」をご参照ください。

• キャッシュされた KMS シークレットを保護するには、Alibaba Cloud KMS を使用して保管時に暗号化します。