Secrets Managerではどのような機能を利用できますか?

Secrets Managerを使用して、以下を行うことができます。

• Ingress TLS 証明書が含まれた管理対象 Kubernetes シークレットを作成します。
• 所有する任意の Secrets Manager インスタンスの CRN を使用して、任意のタイプの Kubernetes シークレットを作成します。
• クラスター内のシークレットを定期的に自動更新します。
• IBM Cloud コンソールから証明書の有効期限を追跡します。
• 承認済みユーザーのシークレット・グループを作成して、シークレットにアクセスできるユーザーを制御します。

シークレットを自動的に更新するには、少なくとも 1 つの Secrets Manager インスタンスをクラスターに登録する必要があります。 詳しくは、 クラスターへの Secrets Manager インスタンスの登録 を参照してください。

サービス間通信を有効にする

Secrets Manager を IBM Cloud Kubernetes Service クラスターと統合するには、サービス間通信の許可が必要です。 許可をセットアップする手順に従います。 追加情報については、 Integrations for Secrets Manager を参照してください。

1. IBM Cloud コンソールで、 [管理] > [アクセス（IAM） ]をクリックします。
2. 「許可」 をクリックします。
3. 「作成」 をクリックします。
4. ソースサービスリストで、選択します Kubernetes Service 選択します。
5. アクセスの有効範囲を 「すべてのリソース」 に設定するオプションを選択します。
6. ターゲットサービスリストで、選択します Secrets Manager 選択します。
7. アクセスの有効範囲を 「すべてのリソース」 に設定するオプションを選択します。
8. サービスへのアクセスセクションで、 マネージャーオプションにチェックを入れます。
9. 「許可」 をクリックします。

Secrets Manager インスタンスを作成する

CLI または UI で Secrets Manager インスタンスを作成するには、 Secrets Manager の資料を参照してください。 Secrets Manager インスタンスが完全にプロビジョンされるまでに数分かかる場合があります。

• CLI で Secrets Manager インスタンスを作成します。
• UI で Secrets Manager インスタンスを作成します。

Secrets Manager インスタンスを作成しても、クラスターに直接プロビジョンされることはありません。 次のステップで、新しい Secrets Manager インスタンスをクラスターに登録する必要があります。

Secrets Manager インスタンスをクラスターに登録します。

手順に従って、 Secrets Manager インスタンスをクラスターに登録します。

1. Secrets Manager インスタンスの CRN を取得します。 出力では、CRN は ID 行にあります。

   ibmcloud resource service-instance <instance_name>
   

   出力例

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. インスタンスをクラスターに登録します。 前のステップで見つかったインスタンス CRN を指定します。

   インスタンスをクラスターに登録し、それをデフォルト・インスタンスとして設定する場合は、--is-default オプションを含めます。 それ以外の場合は、ibmcloud ks ingress instance default set コマンドを使用してデフォルト・インスタンスを設定できます。

   ibmcloud ks ingress instance register --cluster <cluster_name_or_id> --crn <instance_crn> [--is-default]
   

3. Secrets Manager インスタンスがクラスターに登録されていることを確認します。

   ibmcloud ks ingress instance ls --cluster <cluster_name_or_id>
   

   出力例

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

ibmcloud ks cluster create classic または ibmcloud ks cluster create vpc-gen2 コマンドを使用して クラスターを作成 するときに、 Secrets Manager インスタンスとシークレット・グループを指定できます。 クラスターにインスタンスを登録するには --sm-instance オプションを使用し、クラスター上のシークレットにアクセスできるシークレット・グループを指定するには --sm-group オプションを使用します。 クラスター作成時の Secrets Manager インスタンスの登録 を参照してください。

デフォルトの Secrets Manager インスタンスを設定して、シークレットを再生成します。

デフォルトの Secrets Manager インスタンスを設定すると、すべての新規 Ingress サブドメイン証明書がそのインスタンスに保管されます。

1. 新しいデフォルトのインスタンスを設定するコマンドを実行します。 オプションで、インスタンス内のシークレットへのアクセスを許可する シークレット・グループ を指定できます。

   ibmcloud ks ingress instance default set --cluster <cluster_name_or_id> --name <instance_name> --secret-group <secret_group_id>
   

2. シークレットを再生成します。 IBMによって管理されるすべてのシークレット (デフォルトの Ingress シークレットなど) は、新しいデフォルト・インスタンスにアップロードされます。 これらのシークレットは自動的に更新され、 Secrets Manager インスタンスを参照するように CRN が変更されます。

   1. クラスタ内の nlb-dns サブドメインをリストアップします。

      ibmcloud ks nlb-dns ls --cluster <cluster_name_or_id>
      

   2. クラスター内のサブドメインごとに、コマンドを実行して IBM管理対象シークレットを再生成します。 これにより、これらのシークレットの CRN が、新しいデフォルト Secrets Manager インスタンスの CRN を参照するように更新されます。

      シークレットの再生成は、1 週間に 5 回に制限されています。 これらを繰り返すと制限に達する可能性があるため、本書の手順は慎重に実行してください。 シークレットを再生成しない場合、または制限に達した場合、シークレットは次回の更新サイクルで Secrets Manager インスタンスにアップロードされます。

      ibmcloud ks nlb-dns secret regenerate --cluster <cluster_name_or_id> --nlb-subdomain <nlb_subdomain>
      

   3. デフォルトの Ingress シークレットが再生成されたことを確認します。 出力では、デフォルトの Ingress シークレットの CRN に secrets-manager が含まれている必要があります。

      シークレットが再生成されるまでに数分かかる場合があります。 このプロセス中に、再生成が完了すると、出力の 「状況」 列に regenerating と表示され、 created に切り替わります。

      ibmcloud ks ingress secret ls --show-crn --cluster <cluster_name_or_id>
      

      出力例

      Name                                Namespace   Expiry              Domains                                Status    Type   CRN
      secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
      secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2