¿Qué funcionalidad puedo obtener con Secrets Manager?

Con Secrets Manager, puede:

• Crea secretos gestionados de « Kubernetes » con certificados de «Ingress» TLS incluidos.
• Cree secretos de Kubernetes de cualquier tipo utilizando el CRN de cualquier instancia de Secrets Manager de su propiedad.
• Actualice automáticamente los secretos en el clúster de forma regular.
• Realice un seguimiento de las fechas de caducidad de los certificados desde la consola de IBM Cloud.
• Controle quién tiene acceso a sus secretos creando grupos de secretos para usuarios aprobados.

Ten en cuenta que, para que tus claves secretas se actualicen automáticamente, debes registrar al menos una instancia de Secrets Manager en tu clúster. Para obtener más información, consulta « Cómo registrar tu instancia de Secrets Manager en tu clúster ».

Habilitar comunicación de servicio a servicio

Para integrar « Secrets Manager » con tu clúster de « IBM Cloud Kubernetes Service », es necesario contar con una autorización para la comunicación entre servicios. Siga los pasos para configurar la autorización. Para obtener más información, consulta Integraciones para Secrets Manager.

1. En la consola de IBM Cloud, pulse Gestionar > Acceso (IAM).
2. Pulse Autorizaciones.
3. Pulse Crear.
4. En la lista de servicios de origen, selecciona Kubernetes Service.
5. Seleccione la opción para limitar el acceso a Todos los recursos.
6. En la lista de servicios de destino, selecciona Secrets Manager.
7. Seleccione la opción para limitar el acceso a Todos los recursos.
8. En la sección Acceso al servicio, marca la opción Manager.
9. Pulse Autorizar.

Crear una instancia de Secrets Manager

Para crear una instancia de « Secrets Manager » en la CLI o en la interfaz de usuario, consulta la documentación de « Secrets Manager ». Es posible que la instancia de « Secrets Manager » tarde varios minutos en completarse.

• Cree una instancia de Secrets Manager en la CLI.
• Cree una instancia de Secrets Manager en la interfaz de usuario.

Cuando creas una instancia de Secrets Manager, esta no se aprovisiona directamente en tu clúster. En el siguiente paso, debes registrar tu nueva instancia de « Secrets Manager » en tu clúster.

Registre la instancia de Secrets Manager en el clúster

Sigue los pasos que se indican a continuación para registrar tu instancia de « Secrets Manager » en tu clúster.

1. Obtenga el CRN de la instancia de Secrets Manager. En la salida, el CRN está en la fila ID.

   ibmcloud resource service-instance <instance_name>
   

   Salida de ejemplo

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. Registre la instancia en el clúster. Especifique el CRN de instancia encontrado en el paso anterior.

   Si desea registrar una instancia en un clúster y establecerla como la instancia predeterminada, incluya la opción --is-default. De otro modo, puede establecer una instancia predeterminada con el mandato ibmcloud ks ingress instance default set.

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. Verifique que la instancia de Secrets Manager se haya registrado en el clúster.

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   Salida de ejemplo

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

Puedes especificar una instancia de « Secrets Manager » y un grupo de secretos al crear un clúster con la opción ibmcloud ks cluster create classic o ibmcloud ks cluster create vpc-gen2 comandos . Utilice la opción --sm-instance para registrar una instancia en el clúster y la opción --sm-group para especificar un grupo de secretos que pueda acceder a los secretos del clúster. Consulta « Registro de una instancia de Secrets Manager al crear un clúster ».

Establezca una instancia predeterminada de Secrets Manager y vuelva a generar los secretos

Cuando establece una instancia de Secrets Manager predeterminada, todos los nuevos certificados de subdominio de Ingress se almacenan en esa instancia.

1. Ejecuta el comando para establecer la nueva instancia predeterminada. Opcionalmente, puede especificar un grupo de secretos que tenga permiso para acceder a los secretos de la instancia.

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. Vuelva a generar sus secretos. Los secretos gestionados por IBM, como los secretos de Ingress predeterminados, se cargan en la nueva instancia predeterminada. Estos secretos se actualizan automáticamente y el CRN se cambia para hacer referencia a la instancia de Secrets Manager.

   1. Enumera los subdominios nlb-dns de tu clúster.

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. Para cada subdominio del clúster, ejecute el mandato para volver a generar los secretos gestionados por IBM. Esto actualiza el CRN de estos secretos para hacer referencia al CRN de la nueva instancia predeterminada de Secrets Manager.
   
       La regeneración de sus secretos está limitada a cinco veces por semana. Siga atentamente los pasos de este documento, ya que repetirlos puede hacer que alcance el límite. Si no regeneras tus claves secretas, o si has alcanzado el límite, estas se subirán a tu instancia de Secrets Manager en el siguiente ciclo de renovación.
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. Verifique que los secretos de Ingress predeterminados se hayan vuelto a generar. En la salida, el CRN de los secretos de Ingress predeterminados debe contener `secrets-manager`.
   
       Los secretos pueden tardar varios minutos en volver a generarse. Durante este proceso, la columna **Estado** de la salida indica `regenerating` y cambia a `created` cuando se completa la regeneración.
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       Salida de ejemplo
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```