Welche Funktionalität kann ich mit Secrets Managernutzen?

Mit Secrets Managerhaben Sie folgende Möglichkeiten:

• Erstellen Sie verwaltete „ Kubernetes “-Geheimnisse, einschließlich Ingress- TLS-Zertifikaten.
• Erstellen Sie geheime Kubernetes-Schlüssel eines beliebigen Typs, indem Sie den CRN einer beliebigen Secrets Manager-Instanz verwenden, deren Eigner Sie sind.
• Aktualisieren Sie Ihre geheimen Schlüssel in Ihrem Cluster regelmäßig automatisch.
• Verfolgen Sie die Ablaufdaten Ihrer Zertifikate über die IBM Cloud-Konsole.
• Steuern Sie, wer Zugriff auf Ihre geheimen Schlüssel hat, indem Sie Gruppen geheimer Schlüssel für genehmigte Benutzer erstellen

Bitte beachten Sie: Damit Ihre Geheimnisse automatisch aktualisiert werden, müssen Sie mindestens eine „ Secrets Manager “-Instanz in Ihrem Cluster registrieren. Weitere Informationen finden Sie unter „ Registrieren Ihrer Secrets Manager-Instanz in Ihrem Cluster “.

Service-zu-Service-Kommunikation aktivieren

Für die Integration von „ Secrets Manager “ in Ihren „ IBM Cloud Kubernetes Service “-Cluster ist eine Autorisierung für die Kommunikation zwischen Diensten erforderlich. Führen Sie die folgenden Schritte aus, um die Autorisierung einzurichten: Weitere Informationen finden Sie unter „Integrationen“ auf Secrets Manager.

1. Klicken Sie in der IBM Cloud-Konsole auf Verwalten > Access (IAM).
2. Klicken Sie auf Autorisierungen.
3. Klicken Sie auf Erstellen.
4. Wählen Sie in der Liste **der Quelldienste **Kubernetes Service aus.
5. Wählen Sie die Option aus, um den Zugriff auf Alle Ressourcen zu definieren.
6. Wählen Sie in der Liste Target Service die Option Secrets Manager aus.
7. Wählen Sie die Option aus, um den Zugriff auf Alle Ressourcen zu definieren.
8. Aktivieren Sie im Abschnitt Servicezugriff die Option Manager.
9. Klicken Sie auf Autorisieren.

Eine Secrets Manager-Instanz erstellen

Informationen zum Erstellen einer „ Secrets Manager “-Instanz über die CLI oder die Benutzeroberfläche finden Sie in der Dokumentation unter „ Secrets Manager “. Es kann einige Minuten dauern, bis Ihre „ Secrets Manager “-Instanz vollständig eingerichtet ist.

• Erstellen Sie eine Secrets Manager-Instanz in der Befehlszeilenschnittstelle.
• Erstellen Sie eine Secrets Manager-Instanz in der Benutzerschnittstelle.

Wenn Sie eine „ Secrets Manager “-Instanz erstellen, wird diese nicht direkt in Ihrem Cluster bereitgestellt. Im nächsten Schritt müssen Sie Ihre neue „ Secrets Manager “-Instanz in Ihrem Cluster registrieren.

Secrets Manager-Instanz im Cluster registrieren

Befolgen Sie die folgenden Schritte, um Ihre „ Secrets Manager “-Instanz in Ihrem Cluster zu registrieren.

1. Rufen Sie den CRN der Secrets Manager-Instanz ab. In der Ausgabe befindet sich der CRN in der Zeile ID.

   ibmcloud resource service-instance <instance_name>
   

   Beispielausgabe

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. Registrieren Sie die Instanz in Ihrem Cluster. Geben Sie den im vorherigen Schritt gefundenen Instanz-CRN an.

   Wenn Sie eine Instanz für einen Cluster und Als Standardinstanz festlegen registrieren möchten, schließen Sie die Option --is-default ein. Andernfalls können Sie mit dem Befehl ibmcloud ks ingress instance default set eine Standardinstanz festlegen.

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. Überprüfen Sie, ob die Instanz Secrets Manager im Cluster registriert wurde.

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   Beispielausgabe

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

Secrets Manager Sie können beim Erstellen eines Clusters mit dem Befehl ibmcloud ks cluster create classic oder ibmcloud ks cluster create vpc-gen2 Befehls einen „xml-ph-0000@deepl.internal“-Instanz und eine „Secret“-Gruppe angeben. Verwenden Sie die Option --sm-instance, um eine Instanz im Cluster zu registrieren, und die Option --sm-group, um eine Gruppe geheimer Schlüssel anzugeben, die auf die geheimen Schlüssel im Cluster zugreifen kann. Siehe „ Registrieren einer Secrets Manager-Instanz beim Erstellen eines Clusters “.

Secrets Manager-Standardinstanz festlegen und geheime Schlüssel neu generieren

Wenn Sie eine Secrets Manager-Standardinstanz festlegen, werden alle neuen Zertifikate der Ingress-Unterdomäne in dieser Instanz gespeichert.

1. Führen Sie den Befehl aus, um die neue Standardinstanz festzulegen. Sie können optional eine Gruppe geheimer Schlüssel angeben, die Zugriff auf die geheimen Schlüssel in der Instanz hat.

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. Generieren Sie Ihre geheimen Schlüssel neu. Alle geheimen Schlüssel, die von IBMverwaltet werden, wie z. B. Ihre geheimen Ingress-Standardschlüssel, werden in die neue Standardinstanz hochgeladen. Diese geheimen Schlüssel werden automatisch aktualisiert und der CRN wird so geändert, dass er auf die Instanz Secrets Manager verweist.

   1. Listen Sie die nlb-dns-Subdomains in Ihrem Cluster auf.

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. Führen Sie für jede Unterdomäne in Ihrem Cluster den Befehl zum erneuten Generieren Ihrer von IBMverwalteten geheimen Schlüssel aus. Dadurch wird der CRN dieser geheimen Schlüssel aktualisiert, um auf den CRN der neuen Standardinstanz Secrets Manager zu verweisen.
   
       Die erneute Generierung Ihrer geheimen Schlüssel ist auf fünf Mal pro Woche begrenzt. Befolgen Sie die Schritte in diesem Dokument sorgfältig, da deren Wiederholung dazu führen kann, dass Sie den Grenzwert erreichen. Wenn Sie Ihre Geheimnisse nicht neu generieren oder das Limit erreicht haben, werden Ihre Geheimnisse beim nächsten Erneuerungszyklus auf Ihre „ Secrets Manager “-Instanz hochgeladen.
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. Überprüfen Sie, ob Ihre geheimen Ingress-Standardschlüssel neu generiert wurden. In der Ausgabe sollte der CRN der standardmäßigen geheimen Ingress-Schlüssel `secrets-manager` enthalten.
   
       Es kann einige Minuten dauern, bis Ihre geheimen Schlüssel neu generiert werden. Während dieses Prozesses wird in der Spalte **Status** in der Ausgabe `regenerating` angezeigt und nach Abschluss der Neugenerierung zu `created` gewechselt.
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       Beispielausgabe
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```