我可以通过 Secrets Manager获得哪些功能?

借助 Secrets Manager，您可以：

• 创建包含 Ingress TLS 证书的托管型 Kubernetes 密钥。
• 使用您拥有的任何 Secrets Manager 实例的 CRN 来创建任何类型的 Kubernetes 私钥。
• 定期自动更新集群中的私钥。
• 从 IBM Cloud 控制台跟踪证书的到期日期。
• 通过为已核准的用户创建私钥组来控制有权访问私钥的人员。

请注意，若要自动更新密钥，您必须在集群中注册至少一个 Secrets Manager 实例。 如需了解更多信息，请参阅《 将您的 Secrets Manager 实例注册到集群 》。

启用服务到服务通信

将 Secrets Manager 与您的 IBM Cloud Kubernetes Service 集群集成需要进行服务间通信授权。 请执行以下步骤来设置授权。 如需了解更多信息，请参阅 《 Secrets Manager 的集成 》。

1. 在 IBM Cloud 控制台中，点击 “管理” >“访问（IAM）”。
2. 点击 “授权”。
3. 单击创建。
4. 在 “源服务”列表中，选择 Kubernetes Service。
5. 选择用于限定对 所有资源的访问范围的选项。
6. 在 “目标”服务列表中，选择 Secrets Manager。
7. 选择用于限定对 所有资源的访问范围的选项。
8. 在 服务访问权 部分中，检查 管理器 选项。
9. 单击授权。

创建 Secrets Manager 实例

要在 CLI 或 UI 中创建一个 Secrets Manager 实例，请参阅 Secrets Manager 文档。 您的 Secrets Manager 实例可能需要几分钟才能完全配置完成。

• 在 CLI 中创建 Secrets Manager 实例。
• 在 UI 中创建 Secrets Manager 实例。

创建 Secrets Manager 实例时，该实例不会直接在您的集群中进行配置。 在下一步中，您必须将新的 Secrets Manager 实例注册到您的集群中。

向集群注册 Secrets Manager 实例

请按照以下步骤将您的 Secrets Manager 实例注册到集群中。

1. 获取 Secrets Manager 实例的 CRN。 在输出中，CRN 位于 ID 行中。

   ibmcloud resource service-instance <instance_name>
   

   示例输出

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. 向集群注册实例。 指定在上一步中找到的实例 CRN。

   如果要向集群注册实例，并且 将其设置为缺省实例，请包含 --is-default 选项。 否则，可以使用 ibmcloud ks ingress instance default set 命令设置缺省实例。

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. 验证 Secrets Manager 实例是否已向集群注册。

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   示例输出

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

Secrets Manager 使用ibmcloud ks cluster create classic 或 ibmcloud ks cluster create vpc-gen2 命令创建集群时，可以指定一个xml-ph-0000@deepl.internal实例和一个密钥组。 使用 --sm-instance 选项向集群注册实例，使用 --sm-group 选项指定可访问集群上的私钥的私钥组。 请参阅“在创建集群时注册 Secrets Manager 实例”。

设置缺省 Secrets Manager 实例并重新生成私钥

当您设置一个默认的 Secrets Manager 实例时，所有新的Ingress子域证书都会存储在该实例中。

1. 运行命令以设置新的缺省实例。 您可以选择指定允许访问实例中的私钥的 私钥组。

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. 重新生成私钥。 由 IBM管理的任何私钥 (例如，缺省 Ingress 私钥) 都将上载到新的缺省实例。 这些私钥将自动更新，并且 CRN 将更改为引用 Secrets Manager 实例。

   1. 列出集群中的 nlb-dns 子域。

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. 对于集群中的每个子域，运行命令以重新生成 IBM管理的私钥。 这将更新这些私钥的 CRN，以引用新的缺省 Secrets Manager 实例的 CRN。
   
       重新生成私钥的速率限制为每周 5 次。 请仔细遵循本文档中的步骤，因为重复这些步骤可能会导致您达到限制。 如果您未重新生成密钥，或者已达到上限，您的密钥将在下一个更新周期上传至您的 Secrets Manager 实例。
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. 验证是否重新生成了缺省 Ingress 私钥。 在输出中，缺省 Ingress 私钥的 CRN 应包含 `secrets-manager`。
   
       可能需要几分钟才能重新生成私钥。 在此过程中，输出中的 **状态** 列将显示 `regenerating`，并在重新生成完成时切换到 `created`。
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       示例输出
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```