Antes de empezar

Antes de empezar, asegúrese de que tiene Acceso a la plataforma Administrador para poder crear credenciales de cuenta y recursos de suministro. También necesita los siguientes requisitos previos:

• Descargue e instale la CLI de IBM Cloud.

• Instala la CLI de Kubernetes(kubectl).

• Instala Helm 3.x.

• Descargar e instalar jq.

  • jq le ayuda a porcionar y filtrar datos JSON. Utilice jq en esta guía de aprendizaje para capturar y utilizar variables de entorno almacenadas.

• Una instancia dedicada de Vault aprovisionada en tu cuenta de IBM Cloud. Para obtener más información, consulta Configuración de tu instancia dedicada de Vault.

Configurar el entorno

Para trabajar con Vault Dedicated y Kubernetes Service, debes crear un clúster y configurar tu instancia de Vault Dedicated con la autenticación AppRole.

Instalar Vault Secrets Operator

Instala Vault Secrets Operator utilizando Helm.

1. Añade el repositorio HashiCorp Helm.

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm repo update
   

2. Instala Vault Secrets Operator.

   helm install vault-secrets-operator \
     hashicorp/vault-secrets-operator \
     --namespace vault-secrets-operator-system \
     --create-namespace \
     --version 0.9.0
   

3. Verifique la instalación.

   kubectl get pods -n vault-secrets-operator-system
   

   Espera hasta que todos los pods estén en estado Running.

4. Comprueba que las definiciones de recursos personalizados (CRD) estén instaladas.

   kubectl get crd | grep vault
   

   Deberías ver CRD como vaultauths, vaultconnections, vaultdynamicsecrets, y vaultstaticsecrets.

Configurar VaultConnection y VaultAuth

Configura VSO para conectarte a tu instancia de Vault Dedicated utilizando los recursos VaultConnection y VaultAuth.

Crear un VaultStaticSecret

Crea un recurso VaultStaticSecret para sincronizar los secretos de Vault Dedicated con Kubernetes.

1. Cree un archivo vaultstaticsecret.yaml.

   touch vaultstaticsecret.yaml
   

2. Añade la siguiente configuración.

   apiVersion: secrets.hashicorp.com/v1beta1
   kind: VaultStaticSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     vaultAuthRef: vault-dedicated-auth
     mount: kv
     type: kv-v2
     path: example_username_password
     refreshAfter: 1h
     destination:
       name: my-k8s-secret-vso
       create: true
   

   Esta configuración recupera el secreto de kv/data/example_username_password en Vault Dedicated y crea un secreto de Kubernetes denominado my-k8s-secret-vso. El secreto se actualiza cada hora.

3. Aplica el estilo VaultStaticSecret.

   kubectl apply -f vaultstaticsecret.yaml
   

4. Comprueba que el secreto se haya sincronizado.

   kubectl get vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl get secret my-k8s-secret-vso -n default -o json | jq '.data | map_values(@base64d)'
   

   Salida de ejemplo:

   {
       "password": "vso-secure-pass-123",
       "username": "vso-user"
   }
   

Despliegue una aplicación en el clúster

Implementa una aplicación que utilice los secretos sincronizados desde Vault Dedicated.

1. Crea una implementación de prueba.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app-vso
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: password
   EOF
   

2. Comprueba los registros del pod.

   kubectl logs test-app-vso -n default
   

   Salida esperada:

   Username: vso-user
   Password: vso-secure-pass-123
   

(Opcional) Limpiar los recursos

Si ya no necesitas los recursos, elimínalos de tu cuenta.

1. Elimina el espacio de nombres de prueba y los recursos.

   kubectl delete pod test-app-vso -n default
   kubectl delete vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl delete vaultauth vault-dedicated-auth -n default
   kubectl delete vaultconnection vault-dedicated-connection -n default
   kubectl delete secret approle-secret -n default
   

2. Desinstalar Vault Secrets Operator.

   helm uninstall vault-secrets-operator -n vault-secrets-operator-system
   kubectl delete namespace vault-secrets-operator-system
   

3. Elimina tu clúster de prueba.

   ibmcloud ks cluster rm --cluster vso-test-cluster
   

4. Limpiar los datos de prueba de Vault Dedicated.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Notas de interés

Aspectos clave a tener en cuenta al utilizar Vault Secrets Operator:

1. Métodos de autenticación: VSO no admite la autenticación directa mediante token. Debe utilizar los métodos de autenticación AppRole, Kubernetes, JWT, AWS o GCP.

2. SecretID Nombre de la clave: al crear un secreto de Kubernetes para la autenticación de AppRole, la clave debe llamarse id, y no secret-id ni secretId.

3. Intervalo de actualización: El refreshAfter campo determina la frecuencia con la que VSO comprueba si hay actualizaciones de secretos. Equilibrio entre la frescura y la carga de la API.

4. Implementaciones automáticas: utiliza en rolloutRestartTargets tu VaultStaticSecret para reiniciar automáticamente las implementaciones cuando cambien los secretos.

5. Ruta de montaje de Vault Dedicated: Vault Dedicated utiliza kv/ como ruta de montaje predeterminada para el motor de secretos KV, en lugar de secret/.

6. Espacios de nombres de Vault Dedicated: Vault Dedicated utiliza los espacios de nombres de Vault Enterprise. El espacio de nombres predeterminado es admin. Especifica siempre el espacio de nombres correcto en la configuración de VaultAuth.

7. TLS Configuración: Para el entorno de producción, configura la validación adecuada del certificado TLS en lugar de utilizar skipTLSVerify.

Próximos pasos

¡Buen trabajo! En este tutorial, has aprendido a utilizar Vault Secrets Operator para integrar Vault Dedicated con tu clúster de Kubernetes. Descubre más funciones de VSO:

• Descubre VaultDynamicSecret para gestionar de forma dinámica las credenciales de las bases de datos.
• Descubre External Secrets Operator como una solución alternativa multiproveedor.
• Consulta la documentación de Vault Secrets Operator.
• Más información sobre las funciones y configuraciones de Vault.