Key Management Service:ACK からのクイックアクセス

ステップ 1：名前空間とサービスアカウントの作成 (任意)

名前空間は、ACK クラスターを開発、テスト、本番などのさまざまな環境用に、論理的に分離された仮想空間に分割します。デフォルトでは、異なる名前空間のアプリケーションは互いのリソースにアクセスできません。ビジネスアプリケーション用の名前空間とサービスアカウントが既にある場合は、このステップをスキップしてください。

1. 名前空間を作成します。

   1. YAML ファイルを使用して名前空間を作成します。次の例では、app1-namespace.yaml を使用して、app1-dev という名前の名前空間を作成します。

      apiVersion: v1
      kind: Namespace
      metadata:
        name: app1-dev

   2. 次のコマンドを実行して、名前空間を作成します。

      kubectl apply -f app1-namespace.yaml

   3. 名前空間が作成されたことを確認します。出力に app1-dev が含まれていれば、名前空間は作成されています。

      kubectl get namespaces

2. サービスアカウントを作成します。

   1. YAML ファイルを使用してサービスアカウントを作成します。次の例では、app1-serviceaccount.yaml を使用して、前のステップで作成した app1-dev 名前空間に app1-service という名前のサービスアカウントを作成します。

      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: app1-service
        namespace: app1-dev

   2. 次のコマンドを実行して、サービスアカウントを作成します。

      kubectl apply -f app1-serviceaccount.yaml

   3. サービスアカウントが作成されたことを確認します。出力に app1-service が含まれていれば、サービスアカウントは作成されています。

      kubectl get serviceaccount -n app1-dev

ステップ 2：権限の設定

KMS クラウドネイティブアクセスは、以下の 2 つの認証方式をサポートしています。

ステップ 3：ack-kms-agent-webhook-injector のインストール

1. ACK コンソールにログインします。左側のナビゲーションペインで、クラスターリスト をクリックします。

2. [Clusters] ページで、対象クラスターの名前をクリックし、詳細ページに移動します。

3. 詳細ページの左側のナビゲーションペインで、アプリケーション > Helm を選択します。

4. [Helm] ページで、デプロイ をクリックします。基本情報 セクションを設定し、次 をクリックします。

   パラメーター	説明
   [アプリケーション名]	デフォルトのアプリケーション名 ack-kms-agent-webhook-injector を使用します。
   [名前空間]	デフォルトのチャート名前空間 kube-system を使用します。ACK クラスターごとに 1 つの名前空間にインストールするため、複数回インストールする必要はありません。
   [発生元]	デフォルト：Marketplace。このパラメーターは変更できません。
   チャート	ack-kms-agent-webhook-injector を検索して選択します。

5. 確認ダイアログが表示されたら、情報を確認して 可 をクリックします。

6. パラメーター ページで、ステップ 2 で選択した認証方式に基づいてパラメーターを設定します。

   • OIDC (ACK)：デフォルト設定を維持します。

   • RAM ロール：agent.auth.roleArn を空のままにし、agent.auth.roleArnMapping を <Namespace>:<ServiceAccountName>:<RAM Role ARN> に設定します。次の例では、ステップ 2 で作成したデータを使用します。

     説明

     Namespace と ServiceAccountName は、ワークロードを実行している Pod の名前空間とサービスアカウントに対応します。RAM Role ARN は RAM ロールの詳細ページで確認できます。

     agent:
       auth:
         roleArn:
         roleArnMapping:
           app1-dev:app1-service: acs:ram::190325303126****:role/app1-rrsa

7. 設定完了後、OK をクリックします。アプリケーションの詳細ページにリダイレクトされます。

ステップ 4：Agent サイドカーのインジェクト

1. Pod アノテーションの追加：アノテーションキーを kms-agent-webhook-injector/inject に、値を true に設定します。

   1. クラスター詳細ページの左側のナビゲーションペインで、ワークロード > デプロイメント を選択します。

   2. ワークロードが実行されている名前空間に切り替え、デプロイメントに Pod アノテーションを追加します。

      重要

      RAM ロール認証方式の場合、デプロイメントの YAML 設定を変更し、ServiceAccountName パラメーターをワークロードを実行している Pod のサービスアカウント名 (例：app1-service) に設定します。OIDC (ACK) 認証方式の場合、変更は不要です。

      • 新しいデプロイメントの作成

        [イメージによる作成]

        1. デプロイメントリストの上にある イメージによる作成 をクリックし、パラメーターを設定します。

        2. 上級 を設定する際、Labels and Annotations セクションに移動し、Pod アノテーションを追加します：名前 列に kms-agent-webhook-injector/inject を、値 列に true を入力します。

        3. 作成する をクリックして完了します。

        [YAML のリソースの作成]

        1. デプロイメントリストの上にある YAML のリソースの作成 をクリックします。

        2. YAML ファイルを編集し、spec.template.metadata.annotations の下に kms-agent-webhook-injector/inject: "true" を追加します (このセクションが存在しない場合は作成します)。

        3. 作成する をクリックして完了します。

      • 既存のデプロイメントの変更

        1. 対象のワークロードを見つけ、アクション > 詳細 をクリックします。

        2. 詳細ページで、右上隅の YAML の編集 をクリックします。

        3. spec.template.metadata.annotations の下に kms-agent-webhook-injector/inject: "true" を追加します (このセクションが存在しない場合は作成します)。

        4. 更新 をクリックし、ワークロードの準備が完了するまで待ちます。

2. インジェクトの検証

   1. ワークロード > デプロイメント に戻り、対象のデプロイメントの名前をクリックして詳細ページに移動します。

   2. ポッド タブで、イメージ 列を確認します。KMS Agent がサイドカーとして Pod にインジェクトされていることを確認できます。

      説明

      Pod に KMS Agent が 2 回インジェクトされることがあります。これは、初期化に init コンテナが使用されるために発生します。init コンテナは初期化完了後に終了 (Terminated) し、アプリケーションに悪影響を与えたり、コンピューティングリソースを継続的に消費したりすることはありません。