Secrets Manager를 사용하여 얻을 수 있는 기능은 무엇입니까?

Secrets Manager를 사용하여 다음을 수행할 수 있습니다.

• Ingress TLS 인증서가 포함된 관리형 Kubernetes 시크릿을 생성합니다.
• 소유한 Secrets Manager 인스턴스의 CRN을 사용하여 모든 유형의 Kubernetes 시크릿을 작성하십시오.
• 정기적으로 클러스터의 시크릿을 자동으로 업데이트합니다.
• IBM Cloud 콘솔에서 인증서의 만기 날짜를 추적하십시오.
• 승인된 사용자에 대한 시크릿 그룹을 작성하여 시크릿에 대한 액세스 권한이 있는 사용자를 제어하십시오.

시크릿이 자동으로 업데이트되려면 클러스터에 최소 한 개의 Secrets Manager 인스턴스를 등록해야 한다는 점에 유의하십시오. 자세한 내용은 ‘ Secrets Manager 인스턴스를 클러스터에 등록하기’를 참조하십시오.

서비스 대 서비스 통신 사용

Secrets Manager 를 IBM Cloud Kubernetes Service 클러스터와 통합하려면 서비스 간 통신에 대한 권한 부여가 필요합니다. 권한을 설정하는 단계를 수행하십시오. 자세한 내용은 ‘ Secrets Manager ’의 ‘연동 기능’을 참조하십시오.

1. IBM Cloud 콘솔에서 관리 > **액세스(IAM)**를 클릭하십시오.
2. 권한을 클릭하십시오.
3. 작성을 클릭하십시오.
4. 'Source' 서비스 목록에서 다음을 선택합니다. Kubernetes Service 를 선택하십시오.
5. 모든 자원에 대한 액세스 범위를 지정하는 옵션을 선택하십시오.
6. ‘Target’ 서비스 목록에서 다음을 선택하십시오 Secrets Manager 를 선택하십시오.
7. 모든 자원에 대한 액세스 범위를 지정하는 옵션을 선택하십시오.
8. '서비스 액세스' 섹션에서 '관리자' 옵션을 선택하십시오.
9. 권한 부여를 클릭하십시오.

Secrets Manager 인스턴스 생성

CLI 또는 UI에서 ‘ Secrets Manager ’ 인스턴스를 생성하려면 ‘ Secrets Manager ’ 문서를 참조하십시오. Secrets Manager 인스턴스가 완전히 프로비저닝되는 데 몇 분이 걸릴 수 있습니다.

• CLI에서 Secrets Manager 인스턴스를 작성하십시오.
• UI에서 Secrets Manager 인스턴스를 작성하십시오.

Secrets Manager 인스턴스를 생성할 때, 해당 인스턴스는 클러스터 내에 직접 프로비저닝되지 않습니다. 다음 단계에서 새로운 Secrets Manager 인스턴스를 클러스터에 등록해야 합니다.

Secrets Manager 인스턴스를 클러스터에 등록하십시오.

다음 단계를 따라 Secrets Manager 인스턴스를 클러스터에 등록하십시오.

1. Secrets Manager 인스턴스의 CRN을 가져오십시오. 출력에서 CRN은 ID 행에 있습니다.

   ibmcloud resource service-instance <instance_name>
   

   출력 예

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. 클러스터에 인스턴스를 등록하십시오. 이전 단계에서 찾은 인스턴스 CRN을 지정하십시오.

   인스턴스를 클러스터에 등록하고 이를 기본 인스턴스로 설정 하려면 --is-default 옵션을 포함하십시오. 그렇지 않으면 ibmcloud ks ingress instance default set 명령을 사용하여 기본 인스턴스를 설정할 수 있습니다.

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. Secrets Manager 인스턴스가 클러스터에 등록되었는지 확인하십시오.

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   출력 예

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

ibmcloud ks cluster create classic 또는 ibmcloud ks cluster create vpc-gen2 명령어를 사용하여 [클러스터 생성](/docs/containers?topic=containers-clusters) 을 수행할 때, Secrets Manager 인스턴스와 시크릿 그룹을 지정할 수 있습니다. --sm-instance 옵션을 사용하여 클러스터에 인스턴스를 등록하고 --sm-group 옵션을 사용하여 클러스터의 시크릿에 액세스할 수 있는 시크릿 그룹을 지정하십시오. “클러스터 생성 시 Secrets Manager 인스턴스 등록”을 참조하십시오.

기본 Secrets Manager 인스턴스를 설정하고 시크릿을 다시 생성하십시오.

Secrets Manager 인스턴스를 기본값으로 설정하면, 새로 생성되는 모든 Ingress 하위 도메인 인증서가 해당 인스턴스에 저장됩니다.

1. 명령을 실행하여 새 기본 인스턴스를 설정하십시오. 인스턴스의 시크릿에 대한 액세스가 허용되는 시크릿 그룹 을 선택적으로 지정할 수 있습니다.

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. 시크릿을 재생성하십시오. IBM에서 관리하는 모든 시크릿 (예: 기본 Ingress 시크릿) 은 새 기본 인스턴스에 업로드됩니다. 이러한 시크릿은 자동으로 업데이트되고 CRN은 Secrets Manager 인스턴스를 참조하도록 변경됩니다.

   1. 클러스터에 있는 nlb-dns 하위 도메인을 나열하십시오.

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. 클러스터의 각 하위 도메인에 대해 명령을 실행하여 IBM관리 시크릿을 다시 생성하십시오. 그러면 새 기본 Secrets Manager 인스턴스의 CRN을 참조하도록 이러한 시크릿의 CRN이 업데이트됩니다.
   
       시크릿을 재생성하는 비율은 주당 5회로 제한됩니다. 이 문서의 단계를 반복하면 한계에 도달할 수 있으므로 주의하여 수행하십시오. 시크릿을 재생성하지 않거나 한도에 도달한 경우, 다음 갱신 주기에 시크릿이 Secrets Manager 인스턴스로 업로드됩니다.
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. 기본 Ingress 시크릿이 재생성되었는지 확인하십시오. 출력에서 기본 Ingress 시크릿의 CRN에는 `secrets-manager` 가 포함되어야 합니다.
   
       시크릿이 재생성되는 데 몇 분이 걸릴 수 있습니다. 이 프로세스 중에 출력의 **상태** 열에 `regenerating` 가 표시되고 재생성이 완료되면 `created` 로 전환됩니다.
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       출력 예
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```