Que funcionalidade eu posso ganhar com Secrets Manager?

Com Secrets Manager, você pode:

• Crie segredos gerenciados do Kubernetes com certificados do Ingress TLS incluídos.
• Crie Kubernetes segredos de qualquer tipo usando o CRN de qualquer instância Secrets Manager você possui.
• Atualize automaticamente seus segredos em seu cluster em uma base regular.
• Controle as datas de expiração de seus certificados por meio do console do IBM Cloud.
• Controle quem tem acesso aos seus segredos, criando grupos secretos para usuários aprovados.

Observe que, para que seus segredos sejam atualizados automaticamente, você deve registrar pelo menos uma instância do Secrets Manager no seu cluster. Para obter mais informações, consulte “Registrando sua instância do Secrets Manager no seu cluster ”.

Ativar a comunicação serviço-a-serviço

A integração do Secrets Manager com seu cluster do IBM Cloud Kubernetes Service requer autorização para comunicação entre serviços. Siga os passos para configurar a autorização. Para obter mais informações, acesse Integrações para Secrets Manager.

1. No console da IBM Cloud, clique em Gerenciar > Acesso (IAM).
2. Clique em Autorizações.
3. Clique em Criar.
4. Na lista de serviços de origem, selecione Kubernetes Service.
5. Selecione a opção para escoar o acesso a Todos os recursos.
6. Na lista de serviços de destino, selecione Secrets Manager.
7. Selecione a opção para escoar o acesso a Todos os recursos.
8. Na seção “Acesso ao serviço ”, marque a opção “Gerente ”.
9. Clique em Autorizar.

Criar uma instância do Secrets Manager

Para criar uma instância do Secrets Manager na CLI ou na interface do usuário, consulte a documentação do Secrets Manager. Pode levar alguns minutos para que sua instância do Secrets Manager seja totalmente configurada.

• Crie uma instância Secrets Manager na CLI.
• Crie uma instância Secrets Manager na UI.

Quando você cria uma instância do Secrets Manager, ela não é provisionada diretamente no seu cluster. Na próxima etapa, você deverá registrar sua nova instância do Secrets Manager no seu cluster.

Registre sua instância Secrets Manager para o seu cluster

Siga as etapas para registrar sua instância do Secrets Manager no seu cluster.

1. Obter o CRN da instância Secrets Manager. Na saída, o CRN está na linha ID.

   ibmcloud resource service-instance <instance_name>
   

   Exemplo de saída

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. Registre a instância em seu cluster. Especificar a instância CRN encontrada na etapa anterior.

   Se você deseja registrar uma instância em um cluster e também configurá-la como instância padrão, inclua a opção --is-default. Caso contrário, é possível configurar uma instância padrão com o comando ibmcloud ks ingress instance default set.

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. Verifique se a instância Secrets Manager foi registrada para o cluster.

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   Exemplo de saída

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

É possível especificar uma instância do Secrets Manager e um grupo de segredos ao criar um cluster com o ibmcloud ks cluster create classic ou ibmcloud ks cluster create vpc-gen2. Use a opção --sm-instance para registrar uma instância no cluster e a opção --sm-group para especificar um grupo secreto que pode acessar os segredos no cluster. Consulte “Como registrar uma instância do Secrets Manager ao criar um cluster ”.

Configurar uma instância padrão Secrets Manager e regenerar seus segredos

Quando você configura uma instância padrão do Secrets Manager, todos os novos certificados de subdomínio de Ingresso são armazenados nessa instância.

1. Execute o comando para definir a nova instância padrão. Você pode, opcionalmente, especificar um grupo secreto que é permitido o acesso aos segredos na instância.

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. Gere novamente seus segredos. Quaisquer segredos que sejam gerenciados pela IBM, como seus segredos Ingress padrão, são carregados para a nova instância padrão. Esses segredos são atualizados automaticamente e o CRN é alterado para referencia a instância Secrets Manager.

   1. Liste os subdomínios nlb-dns do seu cluster.

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. Para cada subdomínio em seu cluster, execute o comando para regenerar seus segredos gerenciados IBM. Isto atualiza o CRN destes segredos para referencia o CRN da nova instância padrão Secrets Manager.
   
       Gerar novamente seus segredos está limitado a cinco vezes por semana. Siga os passos neste documento com cuidado, pois repetindo-os pode fazer com que você alcance o limite. Se você não regenerar seus segredos, ou se tiver atingido o limite, seus segredos serão enviados para sua instância do Secrets Manager no próximo ciclo de renovação.
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. Verifique se seus segredos de Ingresso padrão se regeneraram. Na saída, o CRN dos segredos Ingresso padrão deve conter `secrets-manager`.
   
       Pode levar vários minutos para que seus segredos se regenerem. Durante este processo, a coluna **Status** na saída diz `regenerating` e alterna para `created` quando a regeneração estiver completa.
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       Exemplo de saída
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```