Avant de commencer

Avant de commencer, assurez-vous d'avoir accès à la plateforme Administrateur pour pouvoir créer des données d'identification de compte et des ressources de mise à disposition. Vous devez également satisfaire les prérequis suivants :

• Téléchargez et installez l'interface de ligne de commande IBM Cloud.

• Installez l'interface de ligne de commande(CLI)d' Kubernetes(kubectl).

• Installer Helm 3.x.

• Télécharger et installer jq.

  • jqjq vous aide à scinder et filtrer les données JSON. Vous utilisez jq dans ce tutoriel pour choisir et utiliser des variables d'environnement stockées.

• Une instance Vault dédiée provisionnée dans votre compte IBM Cloud. Pour plus d’informations, consultez la section Configuration de votre instance Vault Dedicated.

Configuration de votre environnement

Pour utiliser Vault Dedicated et Kubernetes Service, vous devez créer un cluster et configurer votre instance Vault Dedicated avec l’authentification AppRole.

Installer Vault Secrets Operator

Installez l'opérateur Vault Secrets à l'aide de Helm.

1. Ajoutez le référentiel HashiCorp Helm.

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm repo update
   

2. Installer Vault Secrets Operator.

   helm install vault-secrets-operator \
     hashicorp/vault-secrets-operator \
     --namespace vault-secrets-operator-system \
     --create-namespace \
     --version 0.9.0
   

3. Vérification de l'installation.

   kubectl get pods -n vault-secrets-operator-system
   

   Attendez que tous les pods soient à l'état Running.

4. Vérifiez que les définitions de ressources personnalisées (CRD) sont installées.

   kubectl get crd | grep vault
   

   Vous devriez voir des CRD tels que vaultauths, vaultconnections, vaultdynamicsecrets, et vaultstaticsecrets.

Configurer VaultConnection et VaultAuth

Configurez VSO pour qu'il se connecte à votre instance Vault Dedicated à l'aide des ressources VaultConnection et VaultAuth.

Créer un VaultStaticSecret

Créer une ressource VaultStaticSecret pour synchroniser les secrets de Vault Dedicated vers Kubernetes.

1. Créez un fichier vaultstaticsecret.yaml.

   touch vaultstaticsecret.yaml
   

2. Ajoutez la configuration suivante.

   apiVersion: secrets.hashicorp.com/v1beta1
   kind: VaultStaticSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     vaultAuthRef: vault-dedicated-auth
     mount: kv
     type: kv-v2
     path: example_username_password
     refreshAfter: 1h
     destination:
       name: my-k8s-secret-vso
       create: true
   

   Cette configuration récupère le secret depuis kv/data/example_username_password dans Vault Dedicated et crée un secret Kubernetes nommé my-k8s-secret-vso. Le secret est actualisé toutes les heures.

3. Appliquer les directives de style VaultStaticSecret.

   kubectl apply -f vaultstaticsecret.yaml
   

4. Vérifiez que la clé secrète a bien été synchronisée.

   kubectl get vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl get secret my-k8s-secret-vso -n default -o json | jq '.data | map_values(@base64d)'
   

   Exemple de sortie :

   {
       "password": "vso-secure-pass-123",
       "username": "vso-user"
   }
   

Déployer une application dans le cluster

Déployez une application qui utilise les secrets synchronisés depuis Vault Dedicated.

1. Créer un déploiement de test.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app-vso
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: password
   EOF
   

2. Vérifiez les journaux du pod.

   kubectl logs test-app-vso -n default
   

   Sortie attendue :

   Username: vso-user
   Password: vso-secure-pass-123
   

(Facultatif) Nettoyer les ressources

Si vous n'avez plus besoin de ces ressources, supprimez-les de votre compte.

1. Supprimez l'espace de noms et les ressources de test.

   kubectl delete pod test-app-vso -n default
   kubectl delete vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl delete vaultauth vault-dedicated-auth -n default
   kubectl delete vaultconnection vault-dedicated-connection -n default
   kubectl delete secret approle-secret -n default
   

2. Désinstaller Vault Secrets Operator.

   helm uninstall vault-secrets-operator -n vault-secrets-operator-system
   kubectl delete namespace vault-secrets-operator-system
   

3. Supprimez votre cluster de test.

   ibmcloud ks cluster rm --cluster vso-test-cluster
   

4. Nettoyer les données de test de Vault Dedicated.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Remarques d'intérêt

Éléments clés à prendre en compte lors de l'utilisation de Vault Secrets Operator :

1. Méthodes d'authentification: VSO ne prend pas en charge l'authentification directe par jeton. Vous devez utiliser les méthodes d'authentification suivantes : AppRole, Kubernetes, JWT, AWS ou GCP.

2. SecretID Nom de la clé: lors de la création d'un secret Kubernetes pour l'authentification AppRole, la clé doit être nommée id, et non secret-id ou secretId.

3. Intervalle de rafraîchissement: ce champ refreshAfter détermine la fréquence à laquelle VSO vérifie les mises à jour des secrets. Équilibre entre la fraîcheur des données et la charge sur l’API.

4. Déploiements automatiques: utilisez dans rolloutRestartTargets votre VaultStaticSecret pour relancer automatiquement les déploiements lorsque les secrets changent.

5. Chemin de montage de Vault Dedicated: Vault Dedicated utilise kv/ comme chemin de montage par défaut pour le moteur de secrets KV, et non secret/.

6. Espaces de noms Vault Dedicated: Vault Dedicated utilise les espaces de noms de Vault Enterprise. L'espace de noms par défaut est admin. Veillez à toujours spécifier l'espace de noms correct dans la configuration de votre VaultAuth.

7. TLS Configuration: pour la production, configurez une validation correcte des certificats d' TLS au lieu d'utiliser skipTLSVerify.

Etapes suivantes

Bon travail ! Dans ce tutoriel, vous avez appris à utiliser Vault Secrets Operator pour intégrer Vault Dedicated à votre cluster Kubernetes. Découvrez d’autres fonctionnalités de VSO :

• Découvrez VaultDynamicSecret pour les identifiants de base de données dynamiques.
• Découvrez External Secrets Operator, une solution alternative multi-fournisseurs.
• Consultez la documentation relative à Vault Secrets Operator.
• En savoir plus sur les fonctionnalités et les configurations de Vault.