我可以透過 Secrets Manager獲得哪些功能?

透過 Secrets Manager，您可以：

• 建立包含 Ingress TLS 憑證的受管 Kubernetes 機密。
• 使用您擁有的任何 Secrets Manager 實例的 CRN 來建立任何類型的 Kubernetes 密鑰。
• 定期自動更新叢集裡的密碼。
• 從 IBM Cloud 主控台追蹤憑證的到期日。
• 透過為已核准使用者建立密鑰群組，控制對密鑰具有存取權的人員。

請注意，若要讓您的機密資訊自動更新，您必須在叢集中註冊至少一個 Secrets Manager 實例。 如需更多資訊，請參閱《 將您的 Secrets Manager 實例註冊至您的叢集 》。

啟用服務對服務通訊

若要將 Secrets Manager 與您的 IBM Cloud Kubernetes Service 叢集整合，需進行服務間通訊的授權。 請遵循步驟來設定授權。 如需更多資訊，請參閱 《 Secrets Manager 的整合功能 》。

1. 在 IBM Cloud 控制台中，請按一下 「管理」 >「存取權限 (IAM)」。
2. 按一下 授權。
3. 按一下建立。
4. 在 來源服務 清單中，選取 Kubernetes Service。
5. 選取選項以設定 所有資源的存取權範圍。
6. 在 目標服務 清單中，選取 Secrets Manager。
7. 選取選項以設定 所有資源的存取權範圍。
8. 在 服務存取權 區段中，檢查 管理程式 選項。
9. 按一下授權。

建立 Secrets Manager 實例

若要在 CLI 或 UI 中建立 Secrets Manager 實例，請參閱 Secrets Manager 文件。 您的 Secrets Manager 實例可能需要幾分鐘才能完全配置完成。

• 在 CLI 中建立 Secrets Manager 實例。
• 在使用者介面中建立 Secrets Manager 實例。

當您建立一個 Secrets Manager 實例時，該實例並不會直接在您的叢集中進行配置。 您必須在下一步中，將新的 Secrets Manager 實例註冊至您的叢集。

將 Secrets Manager 實例登錄至叢集

請依照以下步驟，將您的 Secrets Manager 實例註冊至您的叢集。

1. 取得 Secrets Manager 實例的 CRN。 在輸出中，CRN 位於 ID 列中。

   ibmcloud resource service-instance <instance_name>
   

   輸出範例

   Name:                  my-secrets-manager-instance
   ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1:
   GUID:                  111a1111-11a1-111a-1111-1a1a1a1111a1
   Location:              us-south   
   Service Name:          secrets-manager   
   Service Plan Name:     standard   
   Resource Group Name:   default   
   State:                 active   
   Type:                  service_instance   
   Sub Type:                 
   Created at:            2022-06-08T12:46:45Z   
   Created by:            user@ibm.com   
   Updated at:            2022-06-08T12:54:45Z
   

2. 將實例登錄至叢集。 指定在前一個步驟中找到的實例 CRN。

   如果您要將實例登錄至叢集，並 將它設為預設實例，請包括 --is-default 選項。 否則，您可以使用 ibmcloud ks ingress instance default set 指令來設定預設實例。

   ibmcloud ks ingress instance register --cluster CLUSTER_NAME_OR_ID --crn INSTANCE_CRN [--is-default]
   

3. 驗證 Secrets Manager 實例已登錄至叢集。

   ibmcloud ks ingress instance ls --cluster CLUSTER_NAME_OR_ID
   

   輸出範例

   Name                                Type              Is Default   Status    Secret Group   CRN   
   my-secrets-manager-instance         secrets-manager   false        created   default        crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1a11111aaa1a1111aa1aa111:111a1111-11a1-111a-1111-1a1a1a1111a1::   
   

Secrets Manager 當您 使用ibmcloud ks cluster create classic 或 ibmcloud ks cluster create vpc-gen2 指令建立叢集時，可指定一個 xml-ph-0000@deepl.internal 實例及一個機密群組。 使用 --sm-instance 選項來向叢集登錄實例，使用 --sm-group 選項來指定可存取叢集上密碼的密碼群組。 請參閱「建立叢集時註冊 Secrets Manager 實例」。

設定預設 Secrets Manager 實例並重新產生密鑰

當您設定預設的 Secrets Manager 實例時，所有新的 Ingress 子網域憑證都會儲存於該實例中。

1. 執行指令以設定新的預設實例。 您可以選擇性地指定容許存取實例中密鑰的 密鑰群組。

   ibmcloud ks ingress instance default set --cluster CLUSTER_NAME_OR_ID --name INSTANCE_NAME --secret-group SECRET_GROUP_ID
   

2. 重新產生密鑰。 IBM所管理的任何密鑰 (例如預設 Ingress 密鑰) 都會上傳至新的預設實例。 這些密鑰會自動更新，且 CRN 會變更為參照 Secrets Manager 實例。

   1. 列出叢集裡的 nlb-dns 子網域。

       ibmcloud ks nlb-dns ls --cluster CLUSTER_NAME_OR_ID
       ```
   2. 針對叢集裡的每一個子網域，執行指令以重新產生 IBM管理的密碼。 這會更新這些密鑰的 CRN，以參照新預設 Secrets Manager 實例的 CRN。
   
       重新產生密鑰的速率限制為每週五次。 請仔細遵循本文件中的步驟，因為重複這些步驟可能會導致您達到限制。 若您未重新產生密鑰，或已達到上限，您的密鑰將於下一個更新週期上傳至您的 Secrets Manager 實例。
       {: important}
   
       ```sh {: pre}
       ibmcloud ks nlb-dns secret regenerate --cluster CLUSTER_NAME_OR_ID --nlb-subdomain NLB_SUBDOMAIN
       ```
   
   3. 驗證已重新產生預設 Ingress 密碼。 在輸出中，預設 Ingress 密碼的 CRN 應該包含 `secrets-manager`。
   
       您的密鑰可能需要幾分鐘才能重新產生。 在此程序期間，輸出中的 **狀態** 直欄會指出 `regenerating`，並在重新產生完成時切換至 `created`。
       {: note}
   
       ```sh {: pre}
       ibmcloud ks ingress secret ls --show-crn --cluster CLUSTER_NAME_OR_ID
       ```
       輸出範例
   
       ```sh {: screen}
       Name                                Namespace   Expiry              Domains                                Status    Type   CRN
       secret-11111aa1a1a11aa1111111-000   default     3 months from now   secret-11111aa1a1a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/1aa111aa1:secret:a111aa11-11a1
       secret-22222aa2a2a22aa2222222-000   default     3 months from now   secret-22222aa2a2a.us-s…domain.cloud   created   TLS    crn:v1:bluemix:public:secrets-manager:us-south:a/2aa222aa2:secret:a222aa22-22a2   
       ```