Avant de commencer

Avant de commencer, assurez-vous d'avoir accès à la plateforme Administrateur pour pouvoir créer des données d'identification de compte et des ressources de mise à disposition. Vous devez également satisfaire les prérequis suivants :

• Téléchargez et installez l'interface de ligne de commande IBM Cloud.
• Installez l'interface de ligne de commande(CLI)d' Kubernetes(kubectl).
• Installer Helm 3.x.
• Télécharger et installer jq.

jqjq vous aide à scinder et filtrer les données JSON. Vous utilisez jq dans ce tutoriel pour choisir et utiliser des variables d'environnement stockées.

• Une instance dédiée Vault provisionnée dans votre compte IBM Cloud. Pour plus d'informations, consultez la section Configuration de votre instance Vault Dedicated.

Configuration de votre environnement

Pour utiliser Vault Dedicated et l' Kubernetes Service, vous devez créer un cluster dans votre compte IBM Cloud et configurer l'accès à votre instance Vault Dedicated.

Installer l'opérateur External Secrets

Installez l'opérateur External Secrets à l'aide de Helm.

1. Ajouter le référentiel External Secrets Helm.

   helm repo add external-secrets https://charts.external-secrets.io
   helm repo update
   

2. Installer l'opérateur External Secrets.

   helm install external-secrets \
     external-secrets/external-secrets \
     --namespace external-secrets \
     --create-namespace \
     --set installCRDs=true
   

3. Vérification de l'installation.

   kubectl get pods -n external-secrets
   

   Attendez que tous les pods soient à l'état Running.

4. Vérifiez que les définitions de ressources personnalisées (CRD) sont installées.

   kubectl get crd | grep external-secrets
   

   Vous devriez voir des CRD tels que secretstores, clustersecretstores, et externalsecrets.

Configurer SecretStore pour Vault Dedicated

Créez une ressource SecretStore qui définit comment External Secrets Operator se connecte à votre instance Vault Dedicated.

1. Créez un secret Kubernetes à l'aide de votre jeton Vault.

   kubectl create secret generic vault-token \
     --namespace external-secrets \
     --from-literal=token="$VAULT_TOKEN"
   

2. Créez un fichier secretstore.yaml.

   touch secretstore.yaml
   

3. Ajoutez la configuration suivante au fichier.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-dedicated-secretstore
     namespace: default
   spec:
     provider:
       vault:
         server: "<VAULT_DEDICATED_ADDR>"
         path: "kv"
         version: "v2"
         namespace: "admin"
         auth:
           tokenSecretRef:
             name: "vault-token"
             key: "token"
             namespace: "external-secrets"
   

   Remplacez <VAULT_DEDICATED_ADDR> par l'adresse de votre instance Vault Dedicated. Notez que le path est défini sur kv, qui est le point de montage par défaut pour le moteur de secrets KV dans Vault Dedicated.

4. Appliquez la configuration SecretStore.

   kubectl apply -f secretstore.yaml
   

5. Vérifiez que l' SecretStore est valide.

   kubectl get secretstore vault-dedicated-secretstore -n default
   kubectl describe secretstore vault-dedicated-secretstore -n default
   

   Le statut doit indiquer Valide si la connexion à Vault Dedicated a abouti.

Créer une page ExternalSecret

Créez une ressource ExternalSecret qui définit les secrets à récupérer depuis Vault Dedicated.

1. Créer un fichier externalsecret.yaml.

   touch externalsecret.yaml
   

2. Ajoutez la configuration suivante.

   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     refreshInterval: 1h
     secretStoreRef:
       name: vault-dedicated-secretstore
       kind: SecretStore
     target:
       name: my-k8s-secret
       creationPolicy: Owner
     data:
     - secretKey: username
       remoteRef:
         key: example_username_password
         property: username
     - secretKey: password
       remoteRef:
         key: example_username_password
         property: password
   

   Le paramètre détermine refreshInterval la fréquence à laquelle External Secrets Operator interroge Vault Dedicated pour vérifier la présence de mises à jour. La valeur par défaut et recommandée est de 1 heure.

3. Appliquez la configuration ExternalSecret.

   kubectl apply -f externalsecret.yaml
   

4. Vérifiez que l’opérateur External Secrets a récupéré le secret depuis Vault Dedicated.

   kubectl get secret my-k8s-secret -o json | jq '.data | map_values(@base64d)'
   

   Exemple de sortie :

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Réussite ! Vous pouvez désormais récupérer des données confidentielles depuis votre instance Vault Dedicated et les utiliser dans votre cluster d' Kubernetes.

Déployer une application dans le cluster

Enfin, vous pouvez déployer dans votre cluster une application qui utilise le secret Vault Dedicated. Au moment de l'exécution de l'application, les données confidentielles récupérées depuis Vault Dedicated sont converties en un secret Kubernetes pouvant être utilisé par votre cluster.

1. Créez un déploiement de test simple utilisant le secret.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: password
   EOF
   

2. Vérifiez les journaux du pod pour vous assurer que le secret a bien été injecté.

   kubectl logs test-app -n default
   

   Sortie attendue :

   Username: user123
   Password: cloudy-rainy-coffee-book
   

Vous cherchez d'autres exemples sur la manière de déployer une application? Consultez la documentation Déploiement d'applications natives d' Kubernetes dans des clusters pour en savoir plus sur le déploiement d'applications.

(Facultatif) Nettoyer les ressources

Si vous n'avez plus besoin des ressources créées durant ce tutoriel, vous pouvez exécuter la procédure suivante pour les retirer de votre compte.

1. Supprimez votre cluster Kubernetes de test.

   ibmcloud ks cluster rm --cluster eso-test-cluster
   

2. Nettoyer les secrets de test dans Vault dédié.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Remarques d'intérêt

Lorsque vous créez vos documents YAML, gardez à l'esprit les points suivants :

1. Intervalle d'interrogation: par défaut, l'intervalle d'interrogation est défini sur 1 heure (refreshInterval: 1h) et constitue la valeur recommandée. Vous pouvez modifier cette valeur dans le modèle ExternalSecret. L'intervalle peut être exprimé en unités de s, m, ou h.

2. Chemin de montage de Vault Dedicated: Vault Dedicated utilise kv/ comme chemin de montage par défaut pour le moteur de secrets KV, et non secret/. Veillez à indiquer le chemin d'accès correct dans la configuration de votre service SecretStore.

3. Espaces de noms Vault Dedicated: Vault Dedicated utilise les espaces de noms de Vault Enterprise. L'espace de noms par défaut est admin. Veillez à spécifier l'espace de noms correct dans la configuration de votre SecretStore.

4. Méthodes d'authentification: par souci de simplicité, ce tutoriel utilise l'authentification par jeton. Pour les environnements de production, envisagez d'utiliser les méthodes d'authentification AppRole ou Kubernetes afin de renforcer la sécurité.

5. TLS Points à prendre en compte: Vault Dedicated nécessite des connexions de type TLS. Dans les environnements de production, veillez à ce que la validation correcte des certificats soit configurée au lieu d'utiliser skipTLSVerify.

Etapes suivantes

Bon travail ! Dans ce tutoriel, vous avez appris à configurer Vault Dedicated pour fournir en toute sécurité des secrets d'application à votre cluster Kubernetes à l'aide de l'opérateur External Secrets. Découvrez d'autres ressources pour vous aider à vous lancer avec Vault Dedicated.

• Découvrez Vault Secrets Operator, l'opérateur officiel d' HashiCorp's pour l'intégration d' Kubernetes.
• Consultez la documentation du fournisseur External Secrets Operator Vault.
• Consultez la documentation dédiée à Vault pour découvrir des fonctionnalités et des configurations plus avancées.
• En savoir plus sur l’ HashiCorp Vault.