Antes de empezar

Antes de empezar, asegúrese de que tiene Acceso a la plataforma Administrador para poder crear credenciales de cuenta y recursos de suministro. También necesita los siguientes requisitos previos:

• Descargue e instale la CLI de IBM Cloud.
• Instala la CLI de Kubernetes(kubectl).
• Instala Helm 3.x.
• Descargar e instalar jq.

jq le ayuda a porcionar y filtrar datos JSON. Utilice jq en esta guía de aprendizaje para capturar y utilizar variables de entorno almacenadas.

• Una instancia dedicada de Vault aprovisionada en tu cuenta de IBM Cloud. Para obtener más información, consulta Configuración de tu instancia dedicada de Vault.

Configurar el entorno

Para trabajar con Vault Dedicated y Kubernetes Service, debes crear un clúster en tu cuenta de IBM Cloud y configurar el acceso a tu instancia de Vault Dedicated.

Instalar el operador External Secrets

Instala External Secrets Operator mediante Helm.

1. Añade el repositorio External Secrets Helm.

   helm repo add external-secrets https://charts.external-secrets.io
   helm repo update
   

2. Instalar el operador External Secrets.

   helm install external-secrets \
     external-secrets/external-secrets \
     --namespace external-secrets \
     --create-namespace \
     --set installCRDs=true
   

3. Verifique la instalación.

   kubectl get pods -n external-secrets
   

   Espera hasta que todos los pods estén en estado Running.

4. Comprueba que las definiciones de recursos personalizados (CRD) estén instaladas.

   kubectl get crd | grep external-secrets
   

   Deberías ver CRD como secretstores, clustersecretstores, y externalsecrets.

Configurar SecretStore para Vault Dedicated

Crea un recurso SecretStore que defina cómo se conecta External Secrets Operator a tu instancia de Vault Dedicated.

1. Crea un secreto de Kubernetes con tu token de Vault.

   kubectl create secret generic vault-token \
     --namespace external-secrets \
     --from-literal=token="$VAULT_TOKEN"
   

2. Cree un archivo secretstore.yaml.

   touch secretstore.yaml
   

3. Añade la siguiente configuración al archivo.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-dedicated-secretstore
     namespace: default
   spec:
     provider:
       vault:
         server: "<VAULT_DEDICATED_ADDR>"
         path: "kv"
         version: "v2"
         namespace: "admin"
         auth:
           tokenSecretRef:
             name: "vault-token"
             key: "token"
             namespace: "external-secrets"
   

   Sustituye <VAULT_DEDICATED_ADDR> por la dirección de tu instancia de Vault Dedicated. Ten en cuenta que path está configurado en kv, que es el punto de montaje predeterminado para el motor de secretos KV en Vault Dedicated.

4. Aplica la configuración SecretStore.

   kubectl apply -f secretstore.yaml
   

5. Comprueba que el SecretStore sea válido.

   kubectl get secretstore vault-dedicated-secretstore -n default
   kubectl describe secretstore vault-dedicated-secretstore -n default
   

   El estado debería aparecer como Válido si la conexión a Vault Dedicated se ha establecido correctamente.

Crear un ExternalSecret

Crea un recurso ExternalSecret que defina qué secretos se deben recuperar de Vault Dedicated.

1. Crea un archivo externalsecret.yaml.

   touch externalsecret.yaml
   

2. Añade la siguiente configuración.

   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     refreshInterval: 1h
     secretStoreRef:
       name: vault-dedicated-secretstore
       kind: SecretStore
     target:
       name: my-k8s-secret
       creationPolicy: Owner
     data:
     - secretKey: username
       remoteRef:
         key: example_username_password
         property: username
     - secretKey: password
       remoteRef:
         key: example_username_password
         property: password
   

   El determina refreshInterval la frecuencia con la que External Secrets Operator consulta Vault Dedicated en busca de actualizaciones. El valor predeterminado y recomendado es de 1 hora.

3. Aplica la configuración ExternalSecret.

   kubectl apply -f externalsecret.yaml
   

4. Comprueba que el operador de secretos externos haya obtenido el secreto de Vault Dedicated.

   kubectl get secret my-k8s-secret -o json | jq '.data | map_values(@base64d)'
   

   Salida de ejemplo:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Satisfactorio. Ahora puedes recuperar datos confidenciales de tu instancia de Vault Dedicated y utilizarlos en tu clúster de Kubernetes.

Despliegue una aplicación en el clúster

Por último, puede implementar en su clúster una aplicación que utilice el secreto de Vault Dedicated. En el momento de la ejecución de la aplicación, los datos secretos que se obtienen de Vault Dedicated se convierten en un secreto de Kubernetes que puede utilizar tu clúster.

1. Crea una implementación de prueba sencilla que utilice el secreto.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: password
   EOF
   

2. Comprueba los registros del pod para verificar que se ha inyectado el secreto.

   kubectl logs test-app -n default
   

   Salida esperada:

   Username: user123
   Password: cloudy-rainy-coffee-book
   

¿Buscas más ejemplos sobre cómo implementar una aplicación? Consulta Implementación de aplicaciones nativas de Kubernetes en clústeres para obtener más información sobre la implementación de aplicaciones.

(Opcional) Limpiar los recursos

Si ya no necesita los recursos que ha creado en esta guía de aprendizaje, puede completar los pasos siguientes para eliminarlos de su cuenta.

1. Suprima el clúster de Kubernetes de prueba.

   ibmcloud ks cluster rm --cluster eso-test-cluster
   

2. Limpiar los secretos de prueba en Vault dedicado.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Notas de interés

Al crear tus documentos YAML, ten en cuenta las siguientes consideraciones:

1. Intervalo de sondeo: Por defecto, el intervalo de sondeo está establecido en 1 hora (refreshInterval: 1h) y es el valor recomendado. Puedes modificar este valor en la plantilla ExternalSecret. El intervalo puede expresarse en unidades de s, m, o h.

2. Ruta de montaje de Vault Dedicated: Vault Dedicated utiliza kv/ como ruta de montaje predeterminada para el motor de secretos KV, en lugar de secret/. Asegúrate de especificar la ruta correcta en la configuración de SecretStore.

3. Espacios de nombres de Vault Dedicated: Vault Dedicated utiliza los espacios de nombres de Vault Enterprise. El espacio de nombres predeterminado es admin. Asegúrese de especificar el espacio de nombres correcto en la configuración de SecretStore.

4. Métodos de autenticación: En este tutorial se utiliza la autenticación mediante token para mayor simplicidad. En entornos de producción, se recomienda utilizar los métodos de autenticación AppRole o Kubernetes para garantizar una mayor seguridad.

5. TLS Consideraciones: Vault Dedicated requiere conexiones de tipo TLS. En entornos de producción, asegúrese de que se haya configurado correctamente la validación de certificados en lugar de utilizar skipTLSVerify.

Próximos pasos

¡Buen trabajo! En este tutorial has aprendido a configurar Vault Dedicated para introducir de forma segura los secretos de la aplicación en tu clúster de Kubernetes mediante External Secrets Operator. Echa un vistazo a más recursos que te ayudarán a dar tus primeros pasos con Vault Dedicated.

• Descubre Vault Secrets Operator, un operador oficial de HashiCorp's para la integración con Kubernetes.
• Consulte la documentación del proveedor External Secrets Operator Vault.
• Consulta la documentación de Vault Dedicated para conocer funciones y configuraciones más avanzadas.
• Más información sobre HashiCorp Vault.