Container Service for Kubernetes：使用csi-secrets-store-provider-alibabacloud匯入阿里雲KMS服務憑據

配置模板說明

SecretProviderClass模板格式定義如下所示。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # 此處配置固定為'alibabacloud'。
  parameters:
    objects: |
      - objectName: <KMS Encryption Parameter Name> # KMS 憑據名稱
        objectType: kms # 同步 KMS 憑據時固定為 kms

其中parameters通常包含掛載請求的三個欄位：

parameters:
  objects: |
    - objectName: "MySecret"
      objectType: "kms"

配置使用樣本

本樣本以ACK託管叢集同一地區下的KMS服務憑據test為例，介紹如何通過SecretProviderClass將其匯入到叢集應用中。

1. 使用以下簡單的SecretProviderClass樣本，建立secretstore.yaml檔案。

   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: test-secrets
   spec:
     provider: alibabacloud   # 此處固定配置為alibabacloud。
     parameters:
       objects: | # objectType 支援oos和kms, 預設為kms
         - objectName: "test-hangzhou"
           objectType: "kms"
           objectAlias: "hangzhou-public"
           kmsEndpoint:  "kms.{region}.aliyuncs.com"

2. 執行以下命令，部署SecretProviderClass。

   kubectl apply -f secretstore.yaml

3. 使用以下內容，建立deploy.yaml。

   包含一個Nginx Deployment執行個體，通過CSI Inline檔案系統的形式聲明使用了上面樣本中已經建立的SecretProviderClass，並在Pod中的/mnt/secrets-store目錄下掛載憑據密鑰。關於Deployment執行個體更多資訊，請參見Deployment樣本。

   apiVersion: apps/v1  # 1.8.0之前版本請使用apps/v1beta1。
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         volumes:
           - name: secrets-store-inline
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: "test-secrets"
         containers:
           - name: nginx
             image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # 替換為您的實際鏡像。
             ports:
               - containerPort: 80
             resources:
               limits:
                 cpu: "500m"
             volumeMounts:
               - name: secrets-store-inline
                 mountPath: "/mnt/secrets-store"
                 readOnly: true

4. 執行以下命令，部署Deploy應用。

   kubectl apply -f deploy.yaml

5. 驗證密鑰是否被正常掛載。

   登入Pod查看Secret的目標掛載路徑/mnt/secrets-store下是否已經建立了SecretProviderClass執行個體中指定密鑰名稱為檔案名稱的密鑰檔案，同時查看檔案內容是否為KMS憑據中指定的密文。

將 KMS 憑據同步為 Kubernetes Secret

Secrets Store CSI Driver 支援將從外部金鑰管理服務（如阿里雲KMS、OOS）中擷取的密鑰，自動同步並建立為叢集內原生的 Kubernetes Secret。應用無需修改代碼，就能以標準方式使用這些外部金鑰。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # 此處配置固定為alibabacloud，請勿修改。
  parameters:
    objects: |
      - objectName: <KMS Encryption Parameter Name>  # KMS 憑據名稱
        objectType: kms     # 同步 KMS 憑據時固定為 kms
  secretObjects:
  - secretName: <Kubernetes Secret Name>            # Kubernetes Secret 名稱
    type: <Kubernetes Secret Type>                  # Kubernetes Secret 類型
    data:
    - objectName: <parameters.objects.objectName>   # parameters.objects.objectName 名稱，當指定別名時，使用別名
      key: <Kubernetes Secret Data Key>             # Kubernetes Secret Data Key 欄位名稱

kmsEndpoint配置說明

可通過專屬網關訪問或共用網關訪問兩種方式訪問KMS服務擷取憑據，請參考以下要求進行Endpoint配置。關於專屬網關訪問和共用網關訪問的更多差異，請參見共用網關和專屬網關的差異。

KMS Endpoint地址說明

KMS Endpoint配置樣本

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud # 固定值為 'alibabacloud'
  parameters:
    # 樣本使用網關說明：
    # hangzhou-public 使用共用網關公網網域名稱，需要將{region}替換為KMS憑據所在的Region，此方式可擷取和叢集不在同一Region的KMS憑據
    # hangzhou-vpc 未指定kmsEndpoint欄位，使用預設的共用網關VPC網域名稱
    # hangzhou-cryptoservice 使用專屬網關，需要替換{kms-instance-id}為KMS憑據所屬執行個體ID
    # london-public 使用共用網關公網網域名稱，需要將{region}替換為KMS憑據所在的Region，此方式可擷取和叢集不在同一Region的KMS憑據
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint:  "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"