Cree un ID de servicio y una clave de API

Empiece creando las credenciales de cuenta que necesita para poder ejecutar operaciones en Secrets Manager y Kubernetes Service.

1. Desde la línea de mandatos, inicie la sesión en IBM Cloud mediante la CLI de IBM Cloud.

   ibmcloud login
   

   Si el inicio de sesión falla, ejecute el mandato ibmcloud login --sso para volver a intentarlo. Se requiere el parámetro --sso para iniciar sesión con un ID federado. Si se utiliza esta opción, vaya al enlace que se muestra en la salida de la CLI para generar una contraseña de uso único.

2. Cree un ID de servicio y establézcalo como variable de entorno.

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. Asigne los permisos de ID de servicio para leer secretos de Secrets Manager.

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   Al asignar el acceso de servicio de SecretsReader, el controlador de secretos externos tiene el nivel correcto de acceso para leer secretos de Secrets Manager y llenarlos en un clúster de Kubernetes.

4. Cree una clave de API de IBM Cloud para el ID de servicio.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   Utilice esta clave de API más adelante para configurar Secrets Manager para el despliegue del clúster.

Crear un clúster de Kubernetes y una instancia de Secrets Manager

Cree un clúster de Kubernetes y una instancia de Secrets Manager en su cuenta de IBM Cloud.

Puede crear una agrupación de Kubernetes gratuito y una instancia de servicio de Secrets Manager por cuenta de IBM Cloud. Si ya tiene ambos recursos en su cuenta, puede utilizar el clúster gratuito existente y la instancia de Secrets Manager para completar la guía de aprendizaje.

1. En la línea de mandatos, seleccione la cuenta, la región y el grupo de recursos donde desea crear una instancia de servicio de Secrets Manager.

   En esta guía de aprendizaje, interactúa con la región de Dallas. Si ha iniciado sesión en otra región, establezca Dallas como región de destino ejecutando el mandato siguiente.

   ibmcloud target -r us-south -g default
   

2. Cree un clúster de Kubernetes.

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. Cree una instancia de Secrets Manager.

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   El suministro para Secrets Manager y también el clúster de Kubernetes tarda 5-15 minutos en completarse.

4. Antes de continuar con el siguiente paso, verifique que su clúster y su instancia de Secrets Manager se hayan aprovisionado correctamente.

   1. Verifique que el despliegue del nodo trabajador esté completo.

      ibmcloud ks worker ls --cluster my-test-cluster
      

      Cuando el nodo de trabajador finaliza el suministro, el estado cambia a Listo.

      ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
      kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
      

   2. A continuación, verifique que la instancia de Secrets Manager se ha suministrado correctamente.

      ibmcloud resource service-instance my-secrets-manager
      

      Cuando la instancia finaliza el suministro, el estado cambia a Activo.

      Name:                  my-secrets-manager
      ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
      GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
      Location:              us-south
      Service Name:          secrets-manager
      Service Plan Name:     trial
      Resource Group Name:   default
      State:                 active
      Type:                  service_instance
      Sub Type:
      Created at:            2021-01-06T17:11:32Z
      Created by:            zara@example.com
      Updated at:            2021-03-31T02:33:26Z
      

5. Establezca el contexto para el clúster de Kubernetes en la CLI.

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. Verifique que los mandatos kubectl se ejecutan correctamente y que el contexto de Kubernetes establecido es su clúster.

   kubectl config current-context
   

   Salida de ejemplo:

   my-test-cluster/<your_cluster_ID>
   

Crear un perfil de confianza

Un perfil de confianza permite al operador Secretos externos leer de Secrets Manager, sin tener que crear un ID de servicio ni gestionar una clave de API.

1. Obtenga los CRN para la instancia de Secrets Manager y el clúster de Kubernetes.

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. Cree el perfil.

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. Autorice al clúster de Kubernetes a utilizar el perfil de confianza.

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. Cree una política de acceso que permita al perfil de confianza leer secretos de la instancia de Secrets Manager.

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

Preparar la instancia de Secrets Manager

Por último, configure la instancia de Secrets Manager para empezar a trabajar con secretos.

1. En la línea de mandatos, verifique que puede acceder al plug-in de CLI de Secrets Manager.

   ibmcloud secrets-manager --help
   

   ¿Aún no tienes el plug-in? Para instalar el plug-in de CLI de Secrets Manager, ejecute ibmcloud plugin install secrets-manager.

2. Exporte una variable de entorno con el URL de punto final de API de Secrets Manager exclusivo.

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. Cree un grupo de secretos para la instancia.

   Grupos de secretos es una forma de organizar y controlar quién en su equipo tiene acceso a secretos específicos en su caso. Para crear un grupo de secretos desde la CLI de IBM Cloud, utilice el mandato ibmcloud secrets-manager secret-group-create. Ejecute el mandato siguiente para crear un grupo de secretos y almacenar su ID como una variable de entorno.

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   ¿Utiliza un indicador de mandatos de Windows™ (cmd.exe) o PowerShell? Si detecta errores con el contenido de JSON que pasa en la línea de mandatos, es posible que tenga que ajustar las series a los requisitos de uso de comillas específicos del sistema operativo. Para obtener más información, consulte Utilización de comillas con series en la CLI de IBM Cloud.

   Correcto Ahora puede almacenar el secreto en Secrets Manager que desea llenar en el clúster de Kubernetes. Continúe con el paso siguiente.

Configurar el Operador de secretos externos del clúster

Actualice la configuración de la aplicación

Después de instalar el Operador de secretos externos en el clúster, puede definir Secrets Manager como programa de fondo de secretos de la aplicación. Empiece creando un archivo de configuración que se dirige al secreto en Secrets Manager que desea utilizar.

1. En el directorio raíz de la aplicación, cree un archivo external-secrets-example.yml.

   touch external-secrets-example.yml
   

2. Modifique el archivo para incluir información sobre el secreto que desea extraer de la instancia de Secrets Manager.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   Hay dos modalidades que elige para trabajar por-ID de secreto o nombre de secreto. Si elige el nombre de secreto, el formato cambia de secret_type/secret_id a secret_group/secret_type/secret_name.

   Sustituya <endpoint_url> por el URL de punto final de Secrets Manager que ha recuperado anteriormente. Sustituya <SECRET_ID> por el ID exclusivo del secreto que ha creado en el paso anterior.

   Si está utilizando un perfil de confianza para autenticarse, sustituya el bloque auth con el siguiente fragmento de código.

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. Aplique la configuración al clúster.

   kubectl apply -f external-secrets-example.yml
   

4. Verifique que el Operador de secretos externos puede captar el secreto almacenado en la instancia de Secrets Manager.

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   Salida de ejemplo:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Correcto Ahora puede captar los datos secretos que se almacenan en la instancia de Secrets Manager. Continúe con el paso siguiente.