将服务证书手动绑定到群集

开始之前：

• 确保您具有以下角色：
  • 编辑 或 管理员 IBM Cloud IAM 平台访问角色 的群集。
  • Writer or Manager IBM Cloud IAM 服务访问角色，用于 Kubernetes 您要绑定服务的命名空间。
• 登录您的账户。 如果适用，请将相应的资源组设定为目标。 设置集群的上下文。

您可以通过完成以下步骤将服务证书手动添加到群集中。

1. 获取您想要添加到集群中的服务的实例名称。

   ibmcloud resource service-instances
   

2. 创建服务密钥。 更多信息，请参阅 命令参考。

   ibmcloud resource service-key-create NAME [ROLE] --instance-name SERVICE_INSTANCE
   

3. 复制 Credentials 部分，并将其保存到名为 creds 的无扩展名文件中。

4. 创建一个使用您创建的凭据文件的 Kubernetes 密码。

   kubectl create secret generic my-secret --from-file=path/to/creds
   

使用 service bind CLI 向群集添加服务

绑定时可以使用现有的服务证书吗？

运行 service bind 命令时，可选择指定 --key 参数，并提供现有服务凭据的名称。IBM Cloud 服务绑定会自动使用现有服务凭据创建一个 Kubernetes secret。

如果我的现有凭证是一次性查看凭证怎么办？

service bind 命令不支持自带一次性查看凭据。 因此，如果要使用 service bind 命令，就不要指定 --key 参数。 运行不带 --key 的命令将为您创建一组新的凭据。

如果您想要使用一次性查看的凭据，则必须 手动将服务绑定到您的集群。 此选项允许您使用现有的一次性查看凭据。

如果我想使用使用私有云服务终端的服务凭据，该怎么办？

默认情况下，service bind 命令使用公共云服务端点创建服务凭据。 要使用私有云服务端点，必须为使用私有云服务端点的服务手动创建服务凭据，然后使用 --key 选项指定现有服务凭据的名称。 如果您计划携带自己的证书，请确保您现有的证书不是一次性查看证书。 更多信息，请参阅 一次性凭证。

您的服务可能还不支持私有云服务端点。 如果您拥有纯私有群集，则必须使用使用私有云服务端点的服务凭据，或者开放公共 IP 地址和端口以连接到您的服务。

查看以下章节，了解将服务证书绑定到群集的步骤。

使用 IBM Cloud 服务绑定可自动为 IBM Cloud 服务创建服务凭证，并将这些凭证存储在 Kubernetes 私钥中。

如果您的服务支持私有云服务端点，您可以使用私有云服务端点手动创建服务凭据，然后使用 --key 选项指定凭据名称。

开始之前：

• 确保您具有以下角色：
  • 编辑 或 管理员 IBM Cloud IAM 平台访问角色 的群集。
  • Writer or Manager IBM Cloud IAM 服务访问角色，用于 Kubernetes 您要绑定服务的命名空间。
• 登录您的账户。 如果适用，请将相应的资源组设定为目标。 设置集群的上下文。

要将 IBM Cloud 服务添加到集群：

1. 创建 IBM Cloud 服务的实例。

   • 某些 IBM Cloud 服务仅在精选区域中可用。 仅当服务在与您的集群相同的区域中可用时，才可将服务绑定到集群。 此外，如果想要在华盛顿专区中创建服务实例，必须使用 CLI。
   • 对于启用 IAM 的服务：必须在集群所在的资源组中创建服务实例。 一个服务只能在一个资源组中进行创建，并且在此之后无法进行更改。
   • 请确保服务名称的格式为 myservice 或 example.com。 不允许使用空格和下划线。

2. 检查创建的服务类型，并记下服务实例名称。

   ibmcloud resource service-instances
   

   示例输出

   NAME                          Location   State    Type               Tags
   <iam_service_instance_name>   <region>   active   service_instance
   

3. 确定要用于添加服务的集群名称空间。

   kubectl get namespaces
   

4. 将服务绑定到群集，为使用公共云服务端点的服务创建服务凭据，并将凭据存储在 Kubernetes secret 中。 如果已有服务凭据，请使用 --key 选项指定凭据名称。 对于启用了 IAM 的服务，凭据会以 Writer 服务访问角色自动创建，但也可以使用 --role 选项指定不同的服务访问角色。 如果使用 --key 选项，请勿包含 --role 选项。

   如果您计划使用自己的凭据，请确保您现有的凭据不是一次性查看凭据，或者使用建议的方式将服务凭据手动保存到群集。 更多信息，请参阅 一次性凭证。

   ibmcloud ks cluster service bind --cluster <cluster_name_or_ID> --namespace <namespace> --service <service_instance_name> [--key <service_instance_key>] [--role <IAM_service_role>]
   

   服务凭据创建成功后，会创建一个名为 binding-<service_instance_name> 的 Kubernetes secret。

   示例输出

   ibmcloud ks cluster service bind --cluster mycluster --namespace mynamespace --service cleardb
   Binding service instance to namespace...
   OK
   Namespace:         mynamespace
   Secret name:     binding-<service_instance_name>
   

5. 验证 Kubernetes 私钥中的服务凭证。

   1. 获取私钥的详细信息并记录 binding 值。 binding 值采用 base64 编码，并且以 JSON 格式保存服务实例的凭证。

      kubectl get secrets binding-<service_instance_name> --namespace=<namespace> -o yaml
      

      示例输出

      apiVersion: v1
      data:
      binding: <binding>
      kind: Secret
      metadata:
        annotations:
          service-instance-id: 1111aaaa-a1aa-1aa1-1a11-111aa111aa11
          service-key-id: 2b22bb2b-222b-2bb2-2b22-b22222bb2222
        creationTimestamp: 2018-08-07T20:47:14Z
        name: binding-<service_instance_name>
        namespace: <namespace>
        resourceVersion: "6145900"
        selfLink: /api/v1/namespaces/default/secrets/binding-mycloudant
        uid: 33333c33-3c33-33c3-cc33-cc33333333c
      type: Opaque
      

   2. 对 binding 值进行解码。

      echo "<binding>" | base64 -D
      

      示例输出

      {"apikey":"<API_key>","host":"<ID_string>-bluemix.cloudant.com","iam_apikey_description":"Auto generated apikey during resource-key operation for Instance - crn:v1:bluemix:public:cloudantnosqldb:us-south:a/<ID_string>::","iam_apikey_name":"auto-generated-apikey-<ID_string>","iam_role_crn":"crn:v1:bluemix:public:iam::::serviceRole:Writer","iam_serviceid_crn":"crn:v1:bluemix:public:iam-identity::a/1234567890brasge5htn2ec098::serviceid:ServiceId-<ID_string>","password":"<ID_string>","port":443,"url":"https://<ID_string>-bluemix.cloudant.com","username":"123b45da-9ce1-4c24-ab12-rinwnwub1294-bluemix"}
      

   3. 可选：在 IBM Cloud 仪表板中，将在先前步骤中解码的服务凭证与针对服务实例找到的服务凭证进行比较。

6. 既然您的服务已绑定到集群，就必须配置应用程序以访问 Kubernetes 私钥中的服务凭证。

从应用程序访问服务凭证

要从应用程序访问 IBM Cloud 服务实例，必须使存储在 Kubernetes 私钥中的服务凭证可用于应用程序。

服务实例凭证采用 base64 编码并且以 JSON 格式存储在私钥中。 要访问私钥中的数据，请从以下选项中进行选择：

• 将私钥作为卷安装到 pod
• 在环境变量中引用私钥

开始之前：

• 确保您拥有 kube-system 命名空间的 Writer 或 Manager IBM Cloud IAM 服务访问角色。
• 登录您的账户。 如果适用，请将相应的资源组设定为目标。 设置集群的上下文。
• 向集群添加 IBM Cloud 服务。

从集群中除去服务

如果不想使用绑定到群集的 IBM Cloud 服务，可以手动从群集中删除 Kubernetes 秘密和访问该秘密的 pod。

1. 列出绑定到集群的服务，并记下服务的名称以及绑定了该服务的名称空间。

   ibmcloud ks cluster service ls --cluster
   

   示例输出

   OK
   Service   Instance GUID                          Key                                                                  Namespace   
   myservice 12345ab1-1234-1abc-a12b-12abc12a12ab   kube-a1a12abcd12a123abc1a12ab1a1234ab7.abcdefg0p1abcd123lgg.default   default  
   

2. 列出服务绑定的命名空间中的 Kubernetes 保密信息，并查找名称符合 binding-<service_name> 格式的保密信息。

   kubectl get secrets -n <namespace> | grep Opaque
   

   示例输出

   binding-myservice   Opaque     1      3d23h
   

3. 检索访问此私钥的所有 pod。

   kubectl get pods --all-namespaces -o=jsonpath='{range .items[*]}{"\n"}{.metadata.name}{":\t"}{range .spec.volumes[*]}{.secret.secretName}{" "}{end}{end}' | grep "<secret_name>"
   

   如果 CLI 输出为空，说明集群中不存在安装此私钥的 pod。

4. 如果有安装了此私钥的 pod，请除去该 pod 或除去管理该 pod 的部署，或者更新该 pod 和部署 YAML 以改为使用其他私钥。

   • 要除去 pod 或部署，请执行以下操作：

     kubectl delete pod <pod_name> -n <namespace>
     

     kubectl delete deployment <deployment_name> -n <namespace>
     

   • 要更新现有 pod 或部署，请执行以下操作：
     1. 获取 pod 或部署 YAML 文件。

        kubectl get pod <pod_name> -o yaml
        

        kubectl get deployment <deployment_name> -o yaml
        

     2. 复制 YAML 文件，并在 spec.volumes 部分中，更改要使用的私钥的名称。
     3. 在集群中应用更改。

        kubectl apply -f pod.yaml
        

        kubectl apply -f deployment.yaml
        

     4. 验证是否使用更新的卷规范创建了新 pod。

        kubectl get pods
        

        kubectl describe pod <pod_name>
        

5. 除去私钥。

   kubectl delete secret <secret_name> -n <namespace>
   

6. 验证私钥是否已除去。

   kubectl get secrets -n <namespace>
   

7. 可选。 除去 IBM Cloud 服务实例。

   ibmcloud resource service-instance-delete <service_name>