Container Service for Kubernetes:csi-secrets-store-provider-alibabacloud を使用して KMS からシークレットをインポートする

セキュリティに関する注意事項

デフォルトでは、ボリュームからのシークレットの読み取りには、KMS の Secrets Manager との互換性の問題が伴います。csi-secrets-store-provider-alibabacloud プラグインは、この互換性の問題を解決できます。さらに、環境変数をマウントするときに、クラスタ内に Kubernetes ネイティブの Secret としてシークレットを作成できます。プラグインを使用する前に、以下のセキュリティリスクを評価してください。

• クラスタ内のシークレットにファイルシステムを介してアクセスできる場合、攻撃者はアプリケーションの Common Vulnerabilities and Exposures (CVE) の脆弱性を悪用して、クラスタ内のディレクトリを走査する可能性があります。その結果、シークレットが漏洩する可能性があります。

• デバッグブレークポイントの構成が不適切である場合、またはログアクセス権限が広すぎる場合は、クラスタ内のシークレットが公開される可能性があります。潜在的なセキュリティリスクを回避するために、環境変数を介してシークレットを参照しないことをお勧めします。

• シークレットの同期を有効にする場合は、最小権限の原則に厳密に従ってアクセス権限を制限してください。

アプリケーションのシークレットを永続化する必要がない場合は、RRSA を使用して異なるポッドに異なるクラウドサービスへのアクセスを承認するを参照して、ポッドに最小限のアクセス権限を付与することをお勧めします。次に、GetSecretValue 操作を直接呼び出すことによって、アプリケーションでシークレットを取得します。これにより、ポッドファイルシステムまたは Kubernetes Secrets でシークレットが公開される可能性が低くなります。

前提条件

• 以下の要件を満たす ACK クラスタが作成されていること。詳細については、ACK マネージドクラスターを作成するおよびACK One 登録済みクラスターを作成するをご参照ください。

  • クラスタの Kubernetes バージョンが 1.20 以降であること。ACK マネージドクラスター、ACK 専用クラスター、または登録済みクラスターを作成できます。ACK Serverless クラスターはサポートされていません。

  • クラスタと KMS シークレットが同じリージョンにあること。

• kubectl クライアントがクラスタに接続されていること。

ステップ 1: コンポーネント認証情報を構成する

csi-secrets-store-provider-alibabacloud の認証情報を構成して、プラグインが KMS からシークレットを取得するための権限を持っていることを確認する必要があります。そうでない場合、csi-secrets-store-provider-alibabacloud はクラスタにシークレットをインポートまたは同期できません。クラスタタイプに基づいて、以下のいずれかの認証方法を選択できます。

• RRSA を使用して権限を付与する: この方法は、Kubernetes 1.22 以降を実行するACK マネージドクラスターに適用できます。

• クラスタのワーカー Resource Access Management (RAM) ロールに権限を付与する: この方法は、ACK マネージドクラスター、ACK 専用クラスター、および登録済みクラスターに適用されます。

• 特定の RAM ロールを引き受ける AccessKey ペアを指定する: この方法は、すべてのタイプの ACK クラスタに適用できます。

ステップ 2: csi-secrets-store-provider-alibabacloud コンポーネントをインストールする

1. ACK コンソールにログインします。左側のナビゲーションウィンドウで、[クラスター] をクリックします。

2. [クラスター] ページで、目的のクラスターを見つけて名前をクリックします。左側のナビゲーションウィンドウで、[アプリケーション] > [Helm] を選択します。

3. [Helm] ページで、[デプロイ] をクリックします。「Chart」セクションに、[csi-secrets-store-provider-alibabacloud] と入力します。その他のパラメーターはデフォルト設定のままにして、[次へ] をクリックします。

   表示されるダイアログボックスで、コンポーネントがデフォルトの kube-system 名前空間にインストールされ、アプリケーションがコンポーネント名でリリースされることを確認します。カスタムアプリケーション名と名前空間を指定する場合は、プロンプトに従ってアプリケーション名と名前空間を構成します。

4. [Chart のバージョン] パラメーターを最新バージョンに設定します。「Parameters」セクションで、ステップ 1で選択した認証方法に基づいてパラメーターを構成し、[OK] をクリックします。

   • RRSA を使用して権限を付与することを選択した場合は、rrsa.enable パラメーターを [true] に設定して RRSA を有効にする必要があります。

     次のコードブロックは、その他のパラメーターを示しています。

     envVarsFromSecret:
     #  ACCESS_KEY_ID:
     #    secretKeyRef: alibaba-credentials
     #    key: id
     #  SECRET_ACCESS_KEY:
     #    secretKeyRef: alibaba-credentials
     #    key: secret
       ALICLOUD_ROLE_ARN:
         secretKeyRef: alibaba-credentials
         key: rolearn
     #  ALICLOUD_ROLE_SESSION_NAME:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionname
     #  ALICLOUD_ROLE_SESSION_EXPIRATION:
     #    secretKeyRef: alibaba-credentials
     #   key: rolesessionexpiration
       ALICLOUD_OIDC_PROVIDER_ARN:
         secretKeyRef: alibaba-credentials
         key: oidcproviderarn

   • クラスタのワーカー RAM ロールに権限を付与することを選択した場合は、デフォルトのパラメーター設定を使用して csi-secrets-store-provider-alibabacloud を直接インストールできます。

   • 特定の RAM ロールを引き受ける AccessKey ペアを指定することを選択した場合は、以下のパラメーターを構成する必要があります。

     envVarsFromSecret:
       ACCESS_KEY_ID:
         secretKeyRef: alibaba-credentials
         key: id
       SECRET_ACCESS_KEY:
         secretKeyRef: alibaba-credentials
         key: secret
       ALICLOUD_ROLE_ARN:
         secretKeyRef: alibaba-credentials
         key: rolearn
     #  ALICLOUD_ROLE_SESSION_NAME:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionname
     #  ALICLOUD_ROLE_SESSION_EXPIRATION:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionexpiration
     #  ALICLOUD_OIDC_PROVIDER_ARN:
     #    secretKeyRef: alibaba-credentials
     #    key: oidcproviderarn

   • スケジュールされたシークレット同期機能を有効にするには、以下のパラメーターを構成する必要があります。

     • secrets-store-csi-driver.enableSecretRotation: シークレットの自動回転機能を有効にするかどうかを指定します。値を [true] に設定すると、シークレットの自動回転機能が有効になります。

     • secrets-store-csi-driver.rotationPollInterval: シークレットを同期する頻度を指定します。この例では、このパラメーターは [120] 秒に設定されており、シークレットが 2 分ごとに同期されることを指定しています。必要に応じて値を調整できます。

   作成後、クラスタの csi-secrets-store-provider-alibabacloud ページにリダイレクトされ、インストール結果を確認できます。次の図のすべてのリソースが作成されている場合、コンポーネントはインストールされています。

ステップ 3: データ同期情報を構成する

認証情報を構成した後、SecretProviderClass を使用して KMS シークレットを構成する必要があります。

apiVersion: secrets-store.csi.x-k8s.io/v1alpha1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # 値を alibabacloud に設定します。
  parameters:

parameters:
    objects: |
        - objectName: "MySecret"

{region}kmsEndpoint{kms-instance-id}{region}apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud # 値を alibabacloud に設定します。
  parameters:
    # objects: KMS ゲートウェイの使用例
    # hangzhou-public: 共有ゲートウェイパブリックエンドポイントを使用します。<code data-tag="code" id="0c3242c29695n">{region}

関連情報

• ACK Serverless クラスターのアプリケーションに KMS からシークレットをインポートする方法の詳細については、ack-secret-manager を使用して KMS からシークレットをインポートするをご参照ください。

• KMS から読み取られ、ACK クラスタにキャッシュされたシークレットを保護するために、ワンクリック暗号化を実行できます。詳細については、KMS を使用して Kubernetes Secrets を暗号化するをご参照ください。