ACK クラスターでは、ack-secret-manager、csi-secrets-store-provider-alibabacloud、および ack-kms-agent-webhook-injector の 3 つのコンポーネントを使用して、Key Management Service (KMS) から管理対象の認証情報を取得できます。これら 3 つのコンポーネントは、サポートされるクラスターのバージョンとアクセス方法が異なります。ビジネス要件に基づいて適切なコンポーネントを選択してください。
コンポーネントの概要
ack-secret-manager：KMS の Secrets Manager からクラスターにシークレットを Kubernetes Secret オブジェクトとしてインポートまたは同期します。これにより、クラスター内のアプリケーションは機密データに安全にアクセスできます。ワークロードは、特定の Secret をファイルシステムとしてマウントして使用できます。
csi-secrets-store-provider-alibabacloud：KMS の Secrets Manager からクラスターにシークレットを Kubernetes Secret オブジェクトとしてインポートまたは同期します。このコンポーネントは、CSI インラインボリュームを使用してシークレットをファイルシステムとしてアプリケーションに直接マウントすることもサポートしているため、ファイルからシークレットを読み取るアプリケーションに最適です。
ack-kms-agent-webhook-injector：KMS Agent をサイドカーコンテナとして Pod にインジェクトします。これにより、アプリケーションは、ローカル HTTP インターフェイスを使用して KMS Agent 経由で KMS からシークレットをフェッチし、メモリにキャッシュできます。この方法は、機密情報のハードコーディングを回避し、データセキュリティを強化します。
ユースケース
コンポーネント | サポート対象クラスター | 説明 | 関連操作 |
ack-secret-manager |
| Secret の同期と更新をサポートします。 | ack-secret-manager を使用して Alibaba Cloud KMS のサービス認証情報をインポートする |
csi-secrets-store-provider-alibabacloud | バージョン 1.20 以降の ACK クラスター：
|
| csi-secrets-store-provider-alibabacloud を使用して KMS 認証情報をインポートする |
ack-kms-agent-webhook-injector | バージョン 1.22 以降の ACK クラスター：
|
|
課金
ack-secret-manager と csi-secrets-store-provider-alibabacloud は、インストールおよび使用は無料ですが、インストール後にワーカーノードのリソースを消費します。インストール時に、各モジュールのリソース要求を設定できます。
KMS Secrets Manager の使用には料金が発生します。詳細については、「Billing」をご参照ください。