Vorbereitende Schritte

Stellen Sie vor dem ersten Start sicher, dass Sie über den Administrator-Plattformzugriff verfügen, damit Sie Kontoberechtigungsnachweise und Einrichtungsressourcen erstellen können. Außerdem müssen die folgenden Voraussetzungen erfüllt sein:

• Laden Sie die IBM Cloud-CLI herunter und laden und installieren Sie sie.
• Installieren Sie die Kubernetes-CLI(kubectl).
• Installieren Sie Helm t unter 3.x.
• Herunterladen und installieren jq.

jq unterstützt Sie beim Ausschneiden und Filtern von JSON-Daten. Sie verwenden jq in diesem Lernprogramm, um gespeicherte Umgebungsvariablen zu erfassen und zu verwenden.

• Eine in Ihrem IBM Cloud-Konto bereitgestellte dedizierte Vault-Instanz. Weitere Informationen finden Sie unter Einrichten Ihrer Vault Dedicated-Instanz.

Umgebung einrichten

Um mit Vault Dedicated und Kubernetes Service arbeiten zu können, müssen Sie einen Cluster in Ihrem IBM Cloud-Konto erstellen und den Zugriff auf Ihre Vault Dedicated-Instanz konfigurieren.

External Secrets Operator installieren

Installieren Sie den External Secrets Operator mithilfe von Helm.

1. Fügen Sie das Repository External Secrets Helm hinzu.

   helm repo add external-secrets https://charts.external-secrets.io
   helm repo update
   

2. Installieren Sie den External Secrets Operator.

   helm install external-secrets \
     external-secrets/external-secrets \
     --namespace external-secrets \
     --create-namespace \
     --set installCRDs=true
   

3. Überprüfen Sie die Installation.

   kubectl get pods -n external-secrets
   

   Warten Sie, bis sich alle Pods im Status Running befinden.

4. Stellen Sie sicher, dass die Custom Resource Definitions (CRDs) installiert sind.

   kubectl get crd | grep external-secrets
   

   Sie sollten CRDs wie secretstores, clustersecretstores, und sehen externalsecrets.

SecretStore für Vault Dedicated konfigurieren

Erstellen Sie eine Ressource SecretStore, die beschreibt, wie der External Secrets Operator eine Verbindung zu Ihrer Vault Dedicated-Instanz herstellt.

1. Erstellen Sie mit Ihrem Vault-Token einen Kubernetes-Secret.

   kubectl create secret generic vault-token \
     --namespace external-secrets \
     --from-literal=token="$VAULT_TOKEN"
   

2. Erstellen Sie eine secretstore.yaml-Datei.

   touch secretstore.yaml
   

3. Fügen Sie die folgende Konfiguration in die Datei ein.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-dedicated-secretstore
     namespace: default
   spec:
     provider:
       vault:
         server: "<VAULT_DEDICATED_ADDR>"
         path: "kv"
         version: "v2"
         namespace: "admin"
         auth:
           tokenSecretRef:
             name: "vault-token"
             key: "token"
             namespace: "external-secrets"
   

   Ersetzen Sie <VAULT_DEDICATED_ADDR> durch die Adresse Ihrer Vault Dedicated-Instanz. Beachten Sie, dass auf gesetzt ist path``kv, was dem Standard-Einhängepunkt für die KV-Secrets-Engine in Vault Dedicated entspricht.

4. Wenden Sie die Konfiguration SecretStore an.

   kubectl apply -f secretstore.yaml
   

5. Überprüfen Sie, ob der SecretStore gültig ist.

   kubectl get secretstore vault-dedicated-secretstore -n default
   kubectl describe secretstore vault-dedicated-secretstore -n default
   

   Der Status sollte Gültig anzeigen, wenn die Verbindung zu Vault Dedicated erfolgreich hergestellt wurde.

Erstellen Sie eine ExternalSecret

Erstellen Sie eine Ressource ExternalSecret, die festlegt, welche Geheimnisse aus Vault Dedicated abgerufen werden sollen.

1. Erstellen Sie eine Datei externalsecret.yaml.

   touch externalsecret.yaml
   

2. Fügen Sie die folgende Konfiguration hinzu.

   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     refreshInterval: 1h
     secretStoreRef:
       name: vault-dedicated-secretstore
       kind: SecretStore
     target:
       name: my-k8s-secret
       creationPolicy: Owner
     data:
     - secretKey: username
       remoteRef:
         key: example_username_password
         property: username
     - secretKey: password
       remoteRef:
         key: example_username_password
         property: password
   

   Der legt refreshInterval fest, wie oft der External Secrets Operator Vault Dedicated nach Aktualisierungen abfragt. Der Standardwert und empfohlene Wert beträgt 1 Stunde.

3. Wenden Sie die Konfiguration ExternalSecret an.

   kubectl apply -f externalsecret.yaml
   

4. Stellen Sie sicher, dass der External Secrets Operator das Geheimnis aus Vault Dedicated abgerufen hat.

   kubectl get secret my-k8s-secret -o json | jq '.data | map_values(@base64d)'
   

   Beispielausgabe:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Erfolgreich! Sie können nun vertrauliche Daten aus Ihrer Vault Dedicated-Instanz abrufen und in Ihrem Kubernetes-Cluster verwenden.

App für den Cluster implementieren

Schließlich können Sie in Ihrem Cluster eine Anwendung bereitstellen, die das Vault Dedicated Secret verwendet. Zur Laufzeit der Anwendung werden die aus Vault Dedicated abgerufenen geheimen Daten in ein Kubernetes-Geheimnis umgewandelt, das von Ihrem Cluster verwendet werden kann.

1. Erstellen Sie eine einfache Testbereitstellung, die das Geheimnis verwendet.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: password
   EOF
   

2. Überprüfen Sie die Pod-Protokolle, um sicherzustellen, dass das Secret eingefügt wurde.

   kubectl logs test-app -n default
   

   Erwartete Ausgabe:

   Username: user123
   Password: cloudy-rainy-coffee-book
   

Suchen Sie nach weiteren Beispielen zur Bereitstellung einer App? Lesen Sie den Artikel Bereitstellung von Kubernetes-nativen Apps in Clustern, um mehr über die Bereitstellung von Anwendungen zu erfahren.

(Optional) Ressourcen bereinigen

Wenn Sie die Ressourcen, die Sie in diesem Lernprogramm erstellt haben, nicht mehr benötigen, können Sie die folgenden Schritte ausführen, um sie aus Ihrem Konto zu entfernen.

1. Löschen Sie den Test Kubernetes-Cluster.

   ibmcloud ks cluster rm --cluster eso-test-cluster
   

2. Test-Geheimnisse in einem dedizierten Vault bereinigen.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Wichtige Hinweise

Beachten Sie beim Erstellen Ihrer YAML-Dokumente bitte die folgenden Punkte:

1. Abfrageintervall: Standardmäßig ist das Abfrageintervall auf 1 Stunde eingestellt und stellt den bevorzugten Wert dar.refreshInterval: 1h Sie können diesen Wert in der Vorlage ExternalSecret ändern. Das Intervall kann in den Einheiten s, m, oder ausgedrückt werden h.

2. Vault Dedicated-Einbindungspfad: Vault Dedicated verwendet kv/ als Standard-Einbindungspfad für die KV-Secrets-Engine, nicht secret/. Stellen Sie sicher, dass Sie in Ihrer Konfiguration unter SecretStore den richtigen Pfad angeben.

3. Vault Dedicated-Namespaces: Vault Dedicated verwendet Vault Enterprise-Namespaces. Der Standard-Namespace lautet admin. Stellen Sie sicher, dass Sie in Ihrer SecretStore-Konfiguration den richtigen Namespace angeben.

4. Authentifizierungsmethoden: In diesem Tutorial wird der Einfachheit halber die Token-Authentifizierung verwendet. In Produktionsumgebungen sollten Sie zur Erhöhung der Sicherheit die Authentifizierungsmethoden AppRole oder Kubernetes in Betracht ziehen.

5. TLS Zu beachten: Für Vault Dedicated sind TLS-Verbindungen erforderlich. Stellen Sie in Produktionsumgebungen sicher, dass eine ordnungsgemäße Zertifikatsvalidierung konfiguriert ist, anstatt … zu verwenden skipTLSVerify.

Nächste Schritte

Gut gemacht! In diesem Tutorial haben Sie gelernt, wie Sie Vault Dedicated einrichten, um Anwendungsgeheimnisse mithilfe des External Secrets Operator sicher in Ihren Kubernetes-Cluster einzuspielen. Sehen Sie sich weitere Ressourcen an, die Ihnen den Einstieg in Vault Dedicated erleichtern.

• Erfahren Sie mehr über den Vault Secrets Operator, den offiziellen Operator von HashiCorp's für die Integration von Kubernetes.
• Lesen Sie die Dokumentation zum External Secrets Operator Vault-Anbieter durch.
• Entdecken Sie die Dokumentation zu Vault Dedicated für fortgeschrittene Funktionen und Konfigurationen.
• Erfahren Sie mehr über HashiCorp Vault.