Quelles fonctionnalités puis-je obtenir avec Secrets Manager?

Avec Secrets Manager, vous pouvez:

• Créez des secrets gérés d' Kubernetes, avec des certificats d' TLS Ingress inclus.
• Créez des secrets Kubernetes de n'importe quel type à l'aide du CRN de n'importe quelle instance Secrets Manager que vous possédez.
• Mettez à jour automatiquement vos secrets dans votre cluster de manière régulière.
• Suivez les dates d'expiration de vos certificats à partir de la console IBM Cloud.
• Contrôlez qui a accès à vos secrets en créant des groupes de secrets pour les utilisateurs approuvés.

Notez que pour que vos secrets soient mis à jour automatiquement, vous devez enregistrer au moins une instance d' Secrets Manager dans votre cluster. Pour plus d'informations, consultez la section « Enregistrement de votre instance d' Secrets Manager » dans votre cluster.

Activer la communication de service à service

L'intégration d' Secrets Manager à votre cluster IBM Cloud Kubernetes Service nécessite une autorisation de communication entre services. Suivez les étapes de configuration de l'autorisation. Pour plus d'informations, consultez la section « Intégrations » sur Secrets Manager.

1. Dans la console IBM Cloud, cliquez sur Gérer > Accès (IAM).
2. Cliquez sur Autorisations.
3. Cliquez sur Créer.
4. Dans la liste des services Source, sélectionnez Kubernetes Service.
5. Sélectionnez l'option permettant de définir la portée de l'accès à Toutes les ressources.
6. Dans la liste des services cibles, sélectionnez Secrets Manager.
7. Sélectionnez l'option permettant de définir la portée de l'accès à Toutes les ressources.
8. Dans la section Accès au service, cochez l'option Manager.
9. Cliquez sur Autoriser.

Créer une instance d' Secrets Manager

Pour créer une instance d' Secrets Manager via l'interface de ligne de commande (CLI) ou l'interface utilisateur (UI), consultez la documentation « Secrets Manager ». La mise en service complète de votre instance Secrets Manager peut prendre plusieurs minutes.

• Créez une instance Secrets Manager dans l'interface de ligne de commande.
• Créez une instance Secrets Manager dans l'interface utilisateur.

Lorsque vous créez une instance d' Secrets Manager, celle-ci n'est pas directement déployée dans votre cluster. Vous devez enregistrer votre nouvelle instance d' Secrets Manager auprès de votre cluster à l'étape suivante.

Enregistrez votre instance Secrets Manager dans votre cluster

Suivez les étapes suivantes pour enregistrer votre instance d' Secrets Manager e sur votre cluster.

1. Obtenez le CRN de l'instance Secrets Manager. Dans la sortie, le CRN se trouve dans la ligne ID.

   ibmcloud resource service-instance <instance_name>
   

   Exemple de sortie

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. Enregistrez l'instance dans votre cluster. Indiquez le CRN d'instance trouvé à l'étape précédente.

   Si vous souhaitez enregistrer une instance dans un cluster et la définir comme l'instance par défaut, incluez l'option--is-default. Sinon, vous pouvez définir une instance par défaut avec la commandeibmcloud ks ingress instance default set.

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. Vérifiez que l'instance Secrets Manager a été enregistrée dans le cluster.

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   Exemple de sortie

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

Vous pouvez spécifier une instance d' Secrets Manager et un groupe de secrets lors de la création d'un cluster à l'aide de l'option ibmcloud ks cluster create classic ou ibmcloud ks cluster create vpc-gen2 ». Utilisez l'option --sm-instance pour enregistrer une instance dans le cluster et l'option --sm-group pour spécifier un groupe de secrets pouvant accéder aux secrets sur le cluster. Voir la section « Enregistrement d'une instance d' Secrets Manager lors de la création d'un cluster ».

Définissez une instance Secrets Manager par défaut et régénérez vos secrets

Lorsque vous définissez une instance Secrets Manager par défaut, tous les nouveaux certificats d'entrée de sous-domaine sont stockés dans cette instance.

1. Exécutez la commande pour définir la nouvelle instance par défaut. Vous pouvez éventuellement spécifier un groupe de secrets qui est autorisé à accéder aux secrets dans l'instance.

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. Régénérez vos secrets. Tous les secrets gérés par IBM, tels que vos secrets Ingress par défaut, sont téléchargés dans la nouvelle instance par défaut. Ces secrets sont automatiquement mis à jour et le CRN est modifié pour référencer l'instance Secrets Manager.

   1. Répertoriez les sous-domaines nlb-dns de votre cluster.

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. Pour chaque sous-domaine de votre cluster, exécutez la commande pour régénérer vos secrets gérés par IBM. Le CRN de ces secrets est mis à jour pour référencer le CRN de la nouvelle instance par défaut Secrets Manager.
   
       La régénération de vos secrets est limitée à cinq fois par semaine. Suivez attentivement les étapes de ce document, car les répéter peut vous amener à atteindre la limite. Si vous ne régénérez pas vos secrets, ou si vous avez atteint la limite, vos secrets seront téléchargés vers votre instance Secrets Manager lors du prochain cycle de renouvellement.
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. Vérifiez que vos secrets Ingress par défaut ont été régénérés. Dans la sortie, le CRN des secrets Ingress par défaut doit contenir `secrets-manager`.
   
       La régénération de vos secrets peut prendre plusieurs minutes. Au cours de ce processus, la colonne **Statut** de la sortie indique `regenerating` et passe à `created` lorsque la régénération est terminée.
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       Exemple de sortie
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```