Vinculación manual de las credenciales de servicio a su clúster

Antes de empezar:

• Asegúrese de que tiene los roles siguientes:
  • Editor o Administrador IBM Cloud Rol de acceso a la plataforma IAM para el cluster donde se desea vincular un servicio.
  • Escritor o Administrador IBM Cloud Rol de acceso al servicio IAM para el espacio de nombres Kubernetes donde desea vincular el servicio.
• Inicie una sesión en la cuenta. If applicable, target the appropriate resource group. Establezca el contexto para el clúster.

Puede añadir manualmente credenciales de servicio a su clúster completando los siguientes pasos.

1. Obtenga el nombre de instancia del servicio que desea agregar a su clúster.

   ibmcloud resource service-instances
   

2. Crear una clave de servicio. Para más información, consulte la página referencia de comando.

   ibmcloud resource service-key-create NAME [ROLE] --instance-name SERVICE_INSTANCE
   

3. Copie la sección Credentials y guárdela en un archivo sin extensión llamado creds.

4. Cree un secreto de Kubernetes que utilice el archivo de credenciales que ha creado.

   kubectl create secret generic my-secret --from-file=path/to/creds
   

Adición de servicios a clústeres mediante la CLI service bind

¿Puedo utilizar las credenciales de servicio existentes al vincular?

Puede especificar opcionalmente el parámetro --key al ejecutar el comando service bind y proporcionar el nombre de sus credenciales de servicio existentes. La vinculación de servicios IBM Cloud crea automáticamente un secreto Kubernetes con sus credenciales de servicio existentes.

¿Qué ocurre si mis credenciales existentes son credenciales de vista única?

El comando service bind no soporta traer tus propias credenciales de vista única. Por lo tanto, si desea utilizar el comando service bind, no especifique el parámetro --key. Si ejecuta el comando sin --key, se creará un nuevo conjunto de credenciales.

Si desea utilizar credenciales que se ven una sola vez, debe vincular el servicio manualmente a su clúster. Esta opción le permite utilizar sus credenciales de vista única existentes.

¿Qué ocurre si deseo utilizar credenciales de servicio que utilizan el punto final de servicio en la nube privado?

Por defecto, el comando service bind crea credenciales de servicio con el punto final del servicio de nube pública. Para utilizar el punto final de servicio en la nube privado, debe crear manualmente las credenciales de servicio para el servicio que utiliza el punto final de servicio en la nube privado y, a continuación, utilizar la opción --key para especificar el nombre de las credenciales de servicio existentes. Si piensa traer sus propias credenciales, asegúrese de que las credenciales existentes no sean credenciales de visualización única. Para más información, consulte Credenciales únicas.

Es posible que el servicio aún no admita puntos finales de servicio en la nube privados. Si tiene un clúster de sólo privado, debe utilizar las credenciales de servicio que utilizan el punto final de servicio en la nube privado o abrir la dirección IP pública y el puerto para conectar con el servicio.

Revise las siguientes secciones para conocer los pasos para vincular las credenciales de servicio a su clúster.

Utilice el enlace de servicios de IBM Cloud para crear automáticamente credenciales de servicio para los servicios de IBM Cloud y almacene estas credenciales en un secreto de Kubernetes.

Si su servicio admite puntos finales de servicio de nube privada, puede crear manualmente las credenciales de servicio con el punto final de servicio de nube privada y, a continuación, utilizar la opción --key para especificar el nombre de las credenciales.

Antes de empezar:

• Asegúrese de que tiene los roles siguientes:
  • Editor o Administrador IBM Cloud Rol de acceso a la plataforma IAM para el cluster donde se desea vincular un servicio.
  • Escritor o Administrador IBM Cloud Rol de acceso al servicio IAM para el espacio de nombres Kubernetes donde desea vincular el servicio.
• Inicie una sesión en la cuenta. If applicable, target the appropriate resource group. Establezca el contexto para el clúster.

Para añadir un servicio IBM Cloud al clúster:

1. Cree una instancia del servicio IBM Cloud.

   • Algunos servicios de IBM Cloud solo están disponibles en determinadas regiones. Puede enlazar un servicio con el clúster sólo si el servicio está disponible en la misma región que el clúster. Además, si desea crear una instancia de servicio en la zona de Washington DC, debe utilizar la CLI.
   • Para los servicios habilitados para IAM: Debe crear la instancia de servicio en el mismo grupo de recursos que el clúster. Un servicio solo se puede crear en un grupo de recursos y no se puede cambiar después.
   • Asegúrese de que el nombre de servicio tenga el formato myservice o example.com. Los espacios y guiones bajos no están permitidos.

2. Compruebe el tipo de servicio que ha creado y tome nota del Nombre de la instancia de servicio.

   ibmcloud resource service-instances
   

   Salida de ejemplo

   NAME                          Location   State    Type               Tags
   <iam_service_instance_name>   <region>   active   service_instance
   

3. Identifique el espacio de nombres del clúster que desea utilizar para añadir el servicio.

   kubectl get namespaces
   

4. Enlace el servicio a su clúster para crear credenciales de servicio para el servicio que utilicen el punto final de servicio en la nube público y almacenen las credenciales en un secreto de Kubernetes. Si ya dispone de credenciales de servicio, utilice la opción --key para especificar el nombre de las credenciales. Para los servicios habilitados para IAM, las credenciales se crean automáticamente con el rol de acceso al servicio Escritor, pero puede utilizar la opción --role para especificar un rol de acceso al servicio diferente. Si utiliza la opción --key, no incluya la opción --role.

   Si planea traer sus propias credenciales, asegúrese de que sus credenciales existentes no sean credenciales de vista única o utilice la forma recomendada de guardar manualmente las credenciales de servicio en su clúster. Para más información, consulte Credenciales únicas.

   ibmcloud ks cluster service bind --cluster <cluster_name_or_ID> --namespace <namespace> --service <service_instance_name> [--key <service_instance_key>] [--role <IAM_service_role>]
   

   Cuando la creación de las credenciales de servicio es satisfactoria, se crea un secreto de Kubernetes con el nombre binding-<service_instance_name>.

   Salida de ejemplo

   ibmcloud ks cluster service bind --cluster mycluster --namespace mynamespace --service cleardb
   Binding service instance to namespace...
   OK
   Namespace:         mynamespace
   Secret name:     binding-<service_instance_name>
   

5. Verifique las credenciales de servicio en el secreto de Kubernetes.

   1. Obtenga los detalles del secreto y anote el valor de binding. El valor de binding está codificado en base64 y contiene las credenciales para la instancia de servicio en formato JSON.

      kubectl get secrets binding-<service_instance_name> --namespace=<namespace> -o yaml
      

      Salida de ejemplo

      apiVersion: v1
      data:
      binding: <binding>
      kind: Secret
      metadata:
        annotations:
          service-instance-id: 1111aaaa-a1aa-1aa1-1a11-111aa111aa11
          service-key-id: 2b22bb2b-222b-2bb2-2b22-b22222bb2222
        creationTimestamp: 2018-08-07T20:47:14Z
        name: binding-<service_instance_name>
        namespace: <namespace>
        resourceVersion: "6145900"
        selfLink: /api/v1/namespaces/default/secrets/binding-mycloudant
        uid: 33333c33-3c33-33c3-cc33-cc33333333c
      type: Opaque
      

   2. Descodifique el valor de enlace.

      echo "<binding>" | base64 -D
      

      Salida de ejemplo

      {"apikey":"<API_key>","host":"<ID_string>-bluemix.cloudant.com","iam_apikey_description":"Auto generated apikey during resource-key operation for Instance - crn:v1:bluemix:public:cloudantnosqldb:us-south:a/<ID_string>::","iam_apikey_name":"auto-generated-apikey-<ID_string>","iam_role_crn":"crn:v1:bluemix:public:iam::::serviceRole:Writer","iam_serviceid_crn":"crn:v1:bluemix:public:iam-identity::a/1234567890brasge5htn2ec098::serviceid:ServiceId-<ID_string>","password":"<ID_string>","port":443,"url":"https://<ID_string>-bluemix.cloudant.com","username":"123b45da-9ce1-4c24-ab12-rinwnwub1294-bluemix"}
      

   3. Opcional: compare las credenciales de servicio que ha descodificado en el paso anterior con las credenciales de servicio que encuentre para la instancia de servicio en el panel de control de IBM Cloud.

6. Ahora que el servicio está enlazado con el clúster, debe configurar la app para que acceda a las credenciales de servicio en el secreto de Kubernetes.

Acceso a las credenciales de servicio desde las apps

Para acceder a una instancia de servicio de IBM Cloud desde la app, debe permitir que la app acceda a las credenciales de servicio almacenadas en el secreto de Kubernetes.

Las credenciales de una instancia de servicio están codificadas como base64 y se almacenan en el secreto en formato JSON. Para acceder a los datos del secreto, elija una de las opciones siguientes:

• Monte el secreto como un volumen en el pod
• Haga referencia al secreto en variables de entorno

Antes de empezar:

• Asegúrese de que dispone de la función de acceso al servicio IAM Writer o Manager IBM Cloud para el espacio de nombres kube-system.
• Inicie una sesión en la cuenta. If applicable, target the appropriate resource group. Establezca el contexto para el clúster.
• Añada un servicio de IBM Cloud a su clúster.

Eliminación de un servicio de un clúster

Si no desea utilizar un servicio de IBM Cloud que ha enlazado con el clúster, puede eliminar manualmente el secreto de Kubernetes y los pods que acceden al secreto desde el clúster.

1. Obtenga una lista de los servicios que están enlazados a su clúster y anote el nombre del servicio y el espacio de nombres al que está enlazado el servicio.

   ibmcloud ks cluster service ls --cluster
   

   Salida de ejemplo

   OK
   Service   Instance GUID                          Key                                                                  Namespace   
   myservice 12345ab1-1234-1abc-a12b-12abc12a12ab   kube-a1a12abcd12a123abc1a12ab1a1234ab7.abcdefg0p1abcd123lgg.default   default  
   

2. Cree una lista de los secretos de Kubernetes del espacio de nombres al que está enlazado el servicio y busque el secreto con un nombre que siga el formato binding-<service_name>.

   kubectl get secrets -n <namespace> | grep Opaque
   

   Salida de ejemplo

   binding-myservice   Opaque     1      3d23h
   

3. Recuperar todos los pods que acceden al secreto.

   kubectl get pods --all-namespaces -o=jsonpath='{range .items[*]}{"\n"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.secret.secretName}{" "}{end}{end}' | grep "<secret_name>"
   

   Si la salida de la CLI está vacía, significa que no existen pods en el clúster que monten el secreto.

4. Si tiene pods que monten el secreto, elimine el pod o el despliegue que gestiona el pod, o bien actualice el pod y archivo YAML de despliegue para que utilicen otro secreto.

   • Para eliminar un pod o un despliegue:

     kubectl delete pod <pod_name> -n <namespace>
     

     kubectl delete deployment <deployment_name> -n <namespace>
     

   • Para actualizar un pod o un despliegue existentes:
     1. Obtenga el archivo YAML del pod o del despliegue.

        kubectl get pod <pod_name> -o yaml
        

        kubectl get deployment <deployment_name> -o yaml
        

     2. Copie el archivo YAML y en la sección spec.volumes y cambie el nombre del secreto que desea utilizar.
     3. Aplique el cambio al clúster.

        kubectl apply -f pod.yaml
        

        kubectl apply -f deployment.yaml
        

     4. Verifique que se ha creado un nuevo pod con la especificación de volumen actualizada.

        kubectl get pods
        

        kubectl describe pod <pod_name>
        

5. Elimine el secreto.

   kubectl delete secret <secret_name> -n <namespace>
   

6. Verifique que el secreto se ha eliminado.

   kubectl get secrets -n <namespace>
   

7. Opcional. Elimine la instancia del servicio IBM Cloud.

   ibmcloud resource service-instance-delete <service_name>