前提条件

• クラスターに対するマネージャーのサービス・アクセス役割があることを確認します。
• KMS プロバイダーをセットアップします。
• 以下の apikey、または access_key_id および secret_access_keyIBM Cloud Object Storage サービスの認証情報を 取得してください。 サービス資格情報は、アプリが実行する必要があるバケット操作に対して十分なものでなければならないことに注意してください。 たとえば、アプリがバケットからデータを読み取る場合、シークレットに表示されるサービスの認証情報には、少なくとも「 Reader 」権限が設定されている必要があります。

クラスターでのオブジェクト・ストレージ・シークレットの作成

IBM Cloud Object Storageのシークレットをクラスターに作成するには、以下の手順を実行します。

クラスター内の PVC から新規バケットを作成するときに Key Protect 暗号化を統合する場合は、 IBM Cloud Object Storage シークレット の作成時にルート・キー CRN を含める必要があります。 Key Protect 暗号化を既存のバケットに追加できないことに注意してください。 暗号化は、新規バケットを作成する場合にのみ使用できます。 暗号化に使用されているルート鍵が削除されると、関連するバケット内のすべてのファイルにアクセスできなくなります。

• アカウントにログインします。 該当する場合は、適切なリソース・グループをターゲットにします。 クラスターのコンテキストを設定します。

1. IBM Cloud Object Storage サービス・インスタンスの GUID を取得します。

   ibmcloud resource service-instance <service_name> | grep GUID
   

2. サービス資格情報を保管する Kubernetes シークレットを作成します。 以下のいずれかの例を選択して、シークレットを作成します。

   • API キーを使用する create secret コマンドの例。

       kubectl create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=api-key=<api_key> --from-literal=service-instance-id=<service_instance_guid>
       ```
   * HMAC 認証を使用する `create secret` コマンドの例。
   ```sh {: pre}
       kubectl create secret generic cos-write-access --type=ibm/ibmc-s3fs --from-literal=access-key=<access_key_ID> --from-literal=secret-key=<secret_access_key>    
       ```
   * KMS プロバイダーで暗号化を有効にするための秘密構成ファイルの例。
       1. 以下の YAML をファイルに保存します。
           ```yaml {: codeblock}
           apiVersion: v1
           data:
               access-key: xxx
               secret-key: xxx
               kp-root-key-crn: <CRN> # Key Protect or HPCS root key crn in base64 encoded format
           kind: Secret
           metadata:
               name: cos-write-access
           type: ibm/ibmc-s3fs
           ```
           `api-key`
           :   以前に IBM Cloud Object Storage サービス資格情報から取得した API キーを入力します。 HMAC 認証を使用する場合は、代わりに `access-key` および `secret-key` を指定します。
   
           `access-key`
           :   以前に IBM Cloud Object Storage サービス資格情報から取得したアクセス・キー ID を入力します。 OAuth2 認証を使用する場合は、代わりに `api-key` を指定します。
   
           `secret-key`
           :   以前に IBM Cloud Object Storage サービス資格情報から取得したシークレット・アクセス・キーを入力します。 OAuth2 認証を使用する場合は、代わりに `api-key` を指定します。
   
           `service-instance-id`
           :   以前に取得した IBM Cloud Object Storage サービス・インスタンスの GUID を入力します。
   
           `kp-root-key-crn`
           :   base64 エンコードの Key Protect ルート鍵の CRN を入力して、 Key Protect 暗号化を使用します。
   
       1. その秘訣をクラスターに適用してください。
           ```sh {: pre}
           kubectl apply -f <secret_name>
           ```
   
   

3. クラスター内のシークレットを取得し、出力を確認します。

   kubectl get secret
   

   出力例

   NAME                  TYPE                                  DATA   AGE
   cos-write-access      ibm/ibmc-s3fs                         2      7d19h
   default-au-icr-io     kubernetes.io/dockerconfigjson        1      55d
   default-de-icr-io     kubernetes.io/dockerconfigjson        1      55d
   ...
   

4. IBM Cloud Object Storage プラグインをインストールするか、またはプラグインが既にインストールされている場合は IBM Cloud Object Storage バケットの構成を決定してください。

5. オプション: デフォルトのストレージ・クラスにシークレットを追加します。 ストレージ・クラス・リファレンス