Service-ID und API-Schlüssel erstellen

Beginnen Sie, indem Sie die Kontoberechtigungsnachweise erstellen, die Sie für die Ausführung von Operationen für Secrets Manager und Kubernetes Service benötigen.

1. Melden Sie sich in der Befehlszeile bei IBM Cloud über die IBM Cloud-CLI an.

   ibmcloud login
   

   Wenn die Anmeldung fehlschlägt, führen Sie den Befehl ibmcloud login --sso aus, um es erneut zu versuchen. Der Parameter --sso ist erforderlich, wenn Sie sich mit einer föderierten ID anmelden. Wenn diese Option verwendet wird, rufen Sie den Link auf, der in der Ausgabe der Befehlszeilenschnittstelle aufgelistet ist, um einen einmalig verwendbaren Kenncode zu generieren.

2. Erstellen Sie eine Service-ID und legen Sie sie als Umgebungsvariable fest.

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. Ordnen Sie die Service-ID-Berechtigungen zum Lesen von geheimen Schlüsseln aus Secrets Manager zu.

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   Durch die Zuordnung des Servicezugriffs SecretsReader verfügt der Controller für externe geheime Schlüssel über die richtige Zugriffsebene, um geheime Schlüssel aus Secrets Manager zu lesen und diese in einem Kubernetes-Cluster zu füllen.

4. Erstellen Sie einen IBM Cloud-API-Schlüssel für Ihre Service-ID.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   Sie verwenden diesen API-Schlüssel später, um Secrets Manager für Ihre Clusterbereitstellung zu konfigurieren.

Kubernetes-Cluster und Secrets Manager-Instanz erstellen

Erstellen Sie einen Kubernetes-Cluster und eine Instanz von Secrets Manager in Ihrem IBM Cloud-Konto.

Sie können einen kostenlosen Kubernetes-Cluster und eine Secrets Manager-Serviceinstanz pro IBM Cloud-Konto erstellen. Wenn Sie bereits über beide Ressourcen in Ihrem Konto verfügen, können Sie den vorhandenen kostenlosen Cluster und die Secrets Manager-Instanz verwenden, um das Lernprogramm abzuschließen.

1. Wählen Sie in der Befehlszeile das Konto, die Region und die Ressourcengruppe aus, in der Sie eine Secrets Manager-Serviceinstanz erstellen möchten.

   In diesem Lernprogramm interagieren Sie mit der Region 'Dallas'. Wenn Sie in einer anderen Region angemeldet sind, achten Sie darauf, Dallas als Zielregion festzulegen, indem Sie den folgenden Befehl ausführen.

   ibmcloud target -r us-south -g default
   

2. Erstellen Sie einen Kubernetes-Cluster.

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. Erstellen Sie eine Secrets Manager-Instanz.

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   Die Bereitstellung sowohl für Secrets Manager als auch für Ihren Kubernetes-Cluster dauert 5 bis 15 Minuten.

4. Bevor Sie mit dem nächsten Schritt fortfahren, vergewissern Sie sich, dass Ihr Cluster und Ihre Secrets Manager-Instanz erfolgreich bereitgestellt wurden.

   1. Stellen Sie sicher, dass die Implementierung des Workerknotens abgeschlossen ist.

       ibmcloud ks worker ls --cluster my-test-cluster
       ```
       Wenn Einrichtung Ihres Workerknotens abgeschlossen ist, ändert sich der Status in **Bereit**.
   
       ```sh {: screen}
       ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
       kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
       ```
   2. Stellen Sie anschließend sicher, dass Ihre Secrets Manager-Instanz erfolgreich eingerichtet wurde.
   
   ```sh {: pre}
       ibmcloud resource service-instance my-secrets-manager
       ```
       Wenn die Einrichtung der Instanz abgeschlossen ist, ändert sich der Status in **Aktiv**.
   
       ```plaintext {: screen}
       Name:                  my-secrets-manager
       ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
       GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
       Location:              us-south
       Service Name:          secrets-manager
       Service Plan Name:     trial
       Resource Group Name:   default
       State:                 active
       Type:                  service_instance
       Sub Type:
       Created at:            2021-01-06T17:11:32Z
       Created by:            zara@example.com
       Updated at:            2021-03-31T02:33:26Z
       ```
   

5. Legen Sie den Kontext für Ihren Kubernetes-Cluster in der Befehlszeilenschnittstelle fest.

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. Überprüfen Sie, ob kubectl-Befehle ordnungsgemäß ausgeführt werden und ob der Kubernetes-Kontext auf Ihren Cluster gesetzt ist.

   kubectl config current-context
   

   Beispielausgabe:

   my-test-cluster/<your_cluster_ID>
   

Erstellen eines vertrauenswürdigen Profils über CLI

Ein vertrauenswürdiges Profil ermöglicht dem Operator für externe geheime Schlüssel das Lesen aus Secrets Manager, ohne dass eine Service-ID erstellt oder ein API-Schlüssel verwaltet werden muss.

1. Rufen Sie die CRNs für Ihre Secrets Manager-Instanz und Ihren Kubernetes-Cluster ab.

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. Erstellen Sie das Profil.

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. Berechtigen Sie den Kubernetes-Cluster für die Verwendung des vertrauenswürdigen Profils.

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. Erstellen Sie eine Zugriffsrichtlinie, mit der das vertrauenswürdige Profil geheime Schlüssel aus Ihrer Secrets Manager-Instanz lesen kann.

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

Erstellen Sie ein vertrauenswürdiges Profil mit Terraform

Ein vertrauenswürdiges Profil ermöglicht dem Operator für externe geheime Schlüssel das Lesen aus Secrets Manager, ohne dass eine Service-ID erstellt oder ein API-Schlüssel verwaltet werden muss. Sie können diesem Beispiel in Terraform folgen, das alle Schritte zur Erstellung eines vertrauenswürdigen Profils durchführt:

```sh {: pre}
//Get your cluster details
data "ibm_container_vpc_cluster" "cluster" {
  name              = var.cluster_name
  resource_group_id = var.resource_group_id
}

//Get details of Secret Manager Instance
data "ibm_resource_instance" "secrets_manager" {
  name              = var.sm_name
  resource_group_id = var.resource_group_id
  service           = "secrets-manager"
}

//Create Trusted Profile
resource "ibm_iam_trusted_profile" "eso_profile" {
  name        = var.profile_name
  description = var.profile_description
}

//Attach IAM Policy for Secrets Manager Access
resource "ibm_iam_trusted_profile_policy" "secrets_policy" {
  iam_id = ibm_iam_trusted_profile.eso_profile.id

  roles = ["SecretsReader"]

  resources {
    service = "secrets-manager"
    resource_instance_id = data.ibm_resource_instance.secrets_manager.guid
  }
}

//Add Claim Rule for Kubernetes Service Account
resource "ibm_iam_trusted_profile_claim_rule" "eso_claim_rule" {
  profile_id = ibm_iam_trusted_profile.eso_profile.id
  type       = "Profile-CR"
  cr_type    = "IKS_SA"

  conditions {
    claim    = "name"
    operator = "EQUALS"
    value    = var.service_account_name
  }

  conditions {
    claim    = "namespace"
    operator = "EQUALS"
    value    = var.namespace
  }

  conditions {
    claim    = "crn"
    operator = "EQUALS"
    value    = data.ibm_container_vpc_cluster.cluster.crn
  }
}

//Variables
variable "resource_group_id" {
  description = "Resource Group ID"
  type        = string
}

variable "sm_name" {
  description = "Secret Manager Instance ID"
  type        = string
}

variable "cluster_name" {
  description = "IKS Cluster name"
  type        = string
}

variable "profile_name" {
  type        = string
  description = "Name of the trusted profile"
}

variable "profile_description" {
  type        = string
  description = "Description of the trusted profile"
}

variable "service_account_name" {
  description = "Kubernetes service account name for claim rule"
  type        = string
}

variable "namespace" {
  description = "Kubernetes namespace for claim rule"
  type        = string
}
```

Secrets Manager-Instanz vorbereiten

Konfigurieren Sie schließlich Ihre Secrets Manager-Instanz, um mit dynamischen geheimen Schlüsseln arbeiten zu können.

1. Überprüfen Sie in der Befehlszeile, ob Sie auf das CLI-Plug-in von Secrets Manager zugreifen können.

   ibmcloud secrets-manager --help
   

   Haben Sie das Plug-in noch nicht? Führen Sie zum Installieren des Secrets Manager-CLI-Plug-ins ibmcloud plugin install secrets-manager aus.

2. Exportieren Sie eine Umgebungsvariable mit Ihrer eindeutigen Secrets Manager-API-Endpunkt-URL.

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. Erstellen Sie eine Gruppe geheimer Schlüssel für Ihre Instanz.

   Gruppen geheimer Schlüssel sind eine Möglichkeit, wie Sie organisieren und steuern können, wer in Ihrem Team Zugriff auf bestimmte geheime Schlüssel in Ihrer Instanz hat. Wenn Sie eine Gruppe von geheimen Schlüsseln über die IBM Cloud-CLI erstellen möchten, verwenden Sie den Befehl ibmcloud secrets-manager secret-group-create Führen Sie den folgenden Befehl aus, um eine geheime Gruppe zu erstellen und ihre ID als Umgebungsvariable zu speichern.

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   Verwenden Sie eine Windows™-Eingabeaufforderung (cmd.exe) oder PowerShell? Wenn bei der Übergabe des JSON-Inhalts über die Befehlszeile Fehler auftreten, müssen Sie möglicherweise die Zeichenfolgen an die Anforderungen an Escape-Zeichen für Anführungszeichen ändern, die für Ihr Betriebssystem spezifisch sind. Weitere Informationen finden Sie im Abschnitt zur Verwendung von Anführungszeichen mit Zeichenfolgen in der Befehlszeilenschnittstelle von IBM Cloud.

   Erfolgreich! Jetzt können Sie den geheimen Schlüssel in Secrets Manager speichern, den Sie in Ihrem Kubernetes-Cluster füllen möchten. Fahren Sie mit dem nächsten Schritt fort.

Externen Operator für geheime Schlüssel für Ihren Cluster konfigurieren

App-Konfiguration aktualisieren

Nach der Installation von External Secrets Operator in Ihrem Cluster können Sie Secrets Manager als Back-End für geheime Schlüssel für Ihre Anwendung definieren. Beginnen Sie mit der Erstellung einer Konfigurationsdatei, die sich auf den geheimen Schlüssel in Secrets Manager bezieht, den Sie verwenden möchten.

1. Erstellen Sie im Stammverzeichnis Ihrer Anwendung eine Datei external-secrets-example.yml.

   touch external-secrets-example.yml
   

2. Ändern Sie die Datei so, dass sie Informationen zu dem geheimen Schlüssel enthält, den Sie von Ihrer Secrets Manager-Instanz abrufen möchten.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   Es gibt zwei Modi, nach denen Sie arbeiten können: ID des geheimen Schlüssels oder Name des geheimen Schlüssels. Bei Auswahl des Namens des geheimen Schlüssels ändert sich das Format von secret_type/secret_id in secret_group/secret_type/secret_name.

   Ersetzen Sie <endpoint_url> durch die Secrets Manager Endpunkt-URL, die Sie abgerufen haben früher. Ersetzen Sie <SECRET_ID> durch die eindeutige ID des geheimen Schlüssels, den Sie im vorherigen Schritt erstellt haben.

   Wenn Sie ein vertrauenswürdiges Profil für die Authentifizierung verwenden, ersetzen Sie den Block auth durch das folgende Snippet.

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. Wenden Sie die Konfiguration auf Ihren Cluster an.

   kubectl apply -f external-secrets-example.yml
   

4. Überprüfen Sie, ob der Operator für externe geheime Schlüssel den geheimen Schlüssel abrufen kann, der in Ihrer Secrets Manager -Instanz gespeichert ist.

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   Beispielausgabe:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Erfolgreich! Sie können jetzt die Daten des geheimen Schlüssels abrufen, die in Ihrer Secrets Manager-Instanz gespeichert sind. Fahren Sie mit dem nächsten Schritt fort.