Vorbereitende Schritte

Stellen Sie vor dem ersten Start sicher, dass Sie über den Administrator-Plattformzugriff verfügen, damit Sie Kontoberechtigungsnachweise und Einrichtungsressourcen erstellen können. Außerdem müssen die folgenden Voraussetzungen erfüllt sein:

• Laden Sie die IBM Cloud-CLI herunter und laden und installieren Sie sie.

• Installieren Sie die Kubernetes-CLI(kubectl).

• Installieren Sie Helm t unter 3.x.

• Herunterladen und installieren jq.

  • jq unterstützt Sie beim Ausschneiden und Filtern von JSON-Daten. Sie verwenden jq in diesem Lernprogramm, um gespeicherte Umgebungsvariablen zu erfassen und zu verwenden.

• Eine in Ihrem IBM Cloud-Konto bereitgestellte Vault Dedicated-Instanz. Weitere Informationen finden Sie unter Einrichten Ihrer Vault Dedicated-Instanz.

Umgebung einrichten

Um mit Vault Dedicated und Kubernetes Service arbeiten zu können, müssen Sie einen Cluster erstellen und Ihre Vault Dedicated-Instanz mit der AppRole-Authentifizierung konfigurieren.

Vault Secrets Operator installieren

Installieren Sie den Vault Secrets Operator mithilfe von Helm.

1. Fügen Sie das Repository HashiCorp Helm hinzu.

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm repo update
   

2. Installieren Sie den Vault Secrets Operator.

   helm install vault-secrets-operator \
     hashicorp/vault-secrets-operator \
     --namespace vault-secrets-operator-system \
     --create-namespace \
     --version 0.9.0
   

3. Überprüfen Sie die Installation.

   kubectl get pods -n vault-secrets-operator-system
   

   Warten Sie, bis sich alle Pods im Status Running befinden.

4. Stellen Sie sicher, dass die Custom Resource Definitions (CRDs) installiert sind.

   kubectl get crd | grep vault
   

   Sie sollten CRDs wie vaultauths, vaultconnections, vaultdynamicsecrets, und sehen vaultstaticsecrets.

VaultConnection und VaultAuth konfigurieren

Konfigurieren Sie VSO so, dass eine Verbindung zu Ihrer Vault Dedicated-Instanz hergestellt wird, und nutzen Sie dabei die Ressourcen unter VaultConnection und VaultAuth.

Erstellen von VaultStaticSecret

Erstellen Sie eine VaultStaticSecret-Ressource, um Geheimnisse von Vault Dedicated mit Kubernetes zu synchronisieren.

1. Erstellen Sie eine vaultstaticsecret.yaml-Datei.

   touch vaultstaticsecret.yaml
   

2. Fügen Sie die folgende Konfiguration hinzu.

   apiVersion: secrets.hashicorp.com/v1beta1
   kind: VaultStaticSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     vaultAuthRef: vault-dedicated-auth
     mount: kv
     type: kv-v2
     path: example_username_password
     refreshAfter: 1h
     destination:
       name: my-k8s-secret-vso
       create: true
   

   Diese Konfiguration ruft das Geheimnis aus in kv/data/example_username_password Vault Dedicated ab und erstellt ein Kubernetes-Geheimnis mit dem Namen my-k8s-secret-vso. Das Geheimnis wird stündlich aktualisiert.

3. Beachten Sie die VaultStaticSecret.

   kubectl apply -f vaultstaticsecret.yaml
   

4. Überprüfen Sie, ob das Geheimnis synchronisiert wurde.

   kubectl get vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl get secret my-k8s-secret-vso -n default -o json | jq '.data | map_values(@base64d)'
   

   Beispielausgabe:

   {
       "password": "vso-secure-pass-123",
       "username": "vso-user"
   }
   

App für den Cluster implementieren

Stellen Sie eine Anwendung bereit, die die synchronisierten Geheimnisse aus Vault Dedicated verwendet.

1. Erstellen Sie eine Testbereitstellung.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app-vso
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: password
   EOF
   

2. Überprüfen Sie die Pod-Protokolle.

   kubectl logs test-app-vso -n default
   

   Erwartete Ausgabe:

   Username: vso-user
   Password: vso-secure-pass-123
   

(Optional) Ressourcen bereinigen

Wenn Sie die Ressourcen nicht mehr benötigen, entfernen Sie sie aus Ihrem Konto.

1. Löschen Sie den Test-Namespace und die Ressourcen.

   kubectl delete pod test-app-vso -n default
   kubectl delete vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl delete vaultauth vault-dedicated-auth -n default
   kubectl delete vaultconnection vault-dedicated-connection -n default
   kubectl delete secret approle-secret -n default
   

2. Vault Secrets Operator deinstallieren.

   helm uninstall vault-secrets-operator -n vault-secrets-operator-system
   kubectl delete namespace vault-secrets-operator-system
   

3. Löschen Sie Ihren Testcluster.

   ibmcloud ks cluster rm --cluster vso-test-cluster
   

4. Bereinigung der Testdaten in Vault Dedicated.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Wichtige Hinweise

Wichtige Überlegungen bei der Verwendung des Vault Secrets Operator:

1. Authentifizierungsmethoden: VSO unterstützt keine direkte Token-Authentifizierung. Sie müssen eine der folgenden Authentifizierungsmethoden verwenden: AppRole, ( Kubernetes ), JWT ( AWS ) oder GCP.

2. SecretID Schlüsselname: Beim Erstellen eines Kubernetes-Geheimnisses für die AppRole-Authentifizierung muss der Schlüssel heißen id, nicht oder secret-id secretId.

3. Aktualisierungsintervall: Das refreshAfter Feld legt fest, wie oft VSO nach Aktualisierungen der Geheimnisse sucht. Ausgewogenes Verhältnis zwischen Aktualität und API-Auslastung.

4. Automatische Rollouts: Verwenden Sie in rolloutRestartTargets Ihrem VaultStaticSecret, um Deployments automatisch neu zu starten, wenn sich Geheimnisse ändern.

5. Vault Dedicated-Einbindungspfad: Vault Dedicated verwendet kv/ als Standard-Einbindungspfad für die KV-Secrets-Engine, nicht secret/.

6. Vault Dedicated-Namespaces: Vault Dedicated verwendet Vault Enterprise-Namespaces. Der Standard-Namespace lautet admin. Geben Sie in Ihrer VaultAuth-Konfiguration stets den richtigen Namespace an.

7. TLS Konfiguration: Konfigurieren Sie für die Produktion die ordnungsgemäße Zertifikatsvalidierung unter TLS, anstatt zu verwenden skipTLSVerify.

Nächste Schritte

Gut gemacht! In diesem Tutorial haben Sie gelernt, wie Sie den Vault Secrets Operator verwenden, um Vault Dedicated in Ihren Kubernetes-Cluster zu integrieren. Entdecken Sie weitere Funktionen von VSO:

• Erfahren Sie mehr über VaultDynamicSecret für dynamische Datenbank-Anmeldedaten.
• Entdecken Sie den External Secrets Operator als alternative Multi-Provider-Lösung.
• Lesen Sie die Dokumentation zum Vault Secrets Operator durch.
• Erfahren Sie mehr über die Funktionen und Konfigurationen von Vault.