Secrets Managerではどのような機能を利用できますか?

Secrets Managerを使用して、以下を行うことができます。

• Ingressの TLS 証明書を含む、 Kubernetes のマネージドシークレットを作成します。
• 所有する任意の Secrets Manager インスタンスの CRN を使用して、任意のタイプの Kubernetes シークレットを作成します。
• クラスター内のシークレットを定期的に自動更新します。
• IBM Cloud コンソールから証明書の有効期限を追跡します。
• 承認済みユーザーのシークレット・グループを作成して、シークレットにアクセスできるユーザーを制御します。

シークレットを自動的に更新するには、クラスターに少なくとも1つの Secrets Manager インスタンスを登録する必要があることに注意してください。 詳細については、「 Secrets Manager インスタンスをクラスターに登録する 」を参照してください。

サービス間通信を有効にする

Secrets Manager を IBM Cloud Kubernetes Service クラスターと統合するには、サービス間通信の認証が必要です。 許可をセットアップする手順に従います。 詳細については、 「Secrets Manager の連携機能 」をご覧ください。

1. IBM Cloud コンソールで、「管理」 > **「アクセス (IAM)」**をクリックします。
2. 「許可」 をクリックします。
3. 「作成」 をクリックします。
4. 「 ソース」サービス一覧で、 Kubernetes Service を選択します。
5. アクセスの有効範囲を 「すべてのリソース」 に設定するオプションを選択します。
6. 「 ターゲット」サービス一覧で、 Secrets Manager を選択します。
7. アクセスの有効範囲を 「すべてのリソース」 に設定するオプションを選択します。
8. 「 サービスへのアクセス 」セクションで、「 マネージャー 」オプションにチェックを入れます。
9. 「許可」 をクリックします。

Secrets Manager のインスタンスを作成する

CLI または UI で Secrets Manager インスタンスを作成するには、『 Secrets Manager 』のドキュメントを参照してください。 Secrets Manager インスタンスのプロビジョニングが完了するまで、数分かかる場合があります。

• CLI で Secrets Manager インスタンスを作成します。
• UI で Secrets Manager インスタンスを作成します。

Secrets Manager インスタンスを作成しても、そのインスタンスはクラスター内に直接プロビジョニングされるわけではありません。 次の手順で、新しい Secrets Manager インスタンスをクラスターに登録する必要があります。

Secrets Manager インスタンスをクラスターに登録します。

以下の手順に従って、 Secrets Manager インスタンスをクラスターに登録してください。

1. Secrets Manager インスタンスの CRN を取得します。 出力では、CRN は ID 行にあります。

   ibmcloud resource service-instance <instance_name>
   

   出力例

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. インスタンスをクラスターに登録します。 前のステップで見つかったインスタンス CRN を指定します。

   インスタンスをクラスターに登録し、それをデフォルト・インスタンスとして設定する場合は、--is-default オプションを含めます。 それ以外の場合は、ibmcloud ks ingress instance default set コマンドを使用してデフォルト・インスタンスを設定できます。

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. Secrets Manager インスタンスがクラスターに登録されていることを確認します。

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   出力例

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

ibmcloud ks cluster create classic または ibmcloud ks cluster create vpc-gen2 コマンドを使用して [クラスタを作成する](/docs/containers?topic=containers-clusters) を実行する際、 Secrets Manager インスタンスとシークレットグループを指定することができます。 クラスターにインスタンスを登録するには --sm-instance オプションを使用し、クラスター上のシークレットにアクセスできるシークレット・グループを指定するには --sm-group オプションを使用します。 「 クラスタ作成時の Secrets Manager インスタンスの登録 」を参照してください。

デフォルトの Secrets Manager インスタンスを設定して、シークレットを再生成します。

デフォルトの Secrets Manager インスタンスを設定すると、すべての新規 Ingress サブドメイン証明書がそのインスタンスに保管されます。

1. コマンドを実行して、新しいデフォルトのインスタンスを設定してください。 オプションで、インスタンス内のシークレットへのアクセスを許可する シークレット・グループ を指定できます。

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. シークレットを再生成します。 IBMによって管理されるすべてのシークレット (デフォルトの Ingress シークレットなど) は、新しいデフォルト・インスタンスにアップロードされます。 これらのシークレットは自動的に更新され、 Secrets Manager インスタンスを参照するように CRN が変更されます。

   1. クラスタ内の nlb-dns サブドメインを一覧表示してください。

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. クラスター内のサブドメインごとに、コマンドを実行して IBM管理対象シークレットを再生成します。 これにより、これらのシークレットの CRN が、新しいデフォルト Secrets Manager インスタンスの CRN を参照するように更新されます。
   
       シークレットの再生成は、1 週間に 5 回に制限されています。 これらを繰り返すと制限に達する可能性があるため、本書の手順は慎重に実行してください。 シークレットを再生成しない場合、または上限に達している場合は、次回の更新サイクルでシークレットが Secrets Manager インスタンスにアップロードされます。
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. デフォルトの Ingress シークレットが再生成されたことを確認します。 出力では、デフォルトの Ingress シークレットの CRN に `secrets-manager` が含まれている必要があります。
   
       シークレットが再生成されるまでに数分かかる場合があります。 このプロセス中に、再生成が完了すると、出力の **「状況」** 列に `regenerating` と表示され、 `created` に切り替わります。
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       出力例
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```