Crea un ID servizio e una chiave API

Inizia creando le credenziali dell'account di cui hai bisogno per poter eseguire le operazioni su Secrets Manager e Kubernetes Service.

1. Dalla riga di comando, accedi alla CLI IBM Cloud tramite IBM Cloud.

   ibmcloud login
   

   Se l'accesso non riesce, esegui il comando ibmcloud login --sso e prova di nuovo. Il parametro --sso è obbligatorio quando accedi con un ID federato. Se viene utilizzata questa opzione, vai al link elencato nell'output della CLI per generare una passcode monouso.

2. Crea un ID servizio e impostalo come variabile di ambiente.

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. Assegna le autorizzazioni ID servizio per leggere i segreti da Secrets Manager.

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   Assegnando l'accesso al servizio SecretsReader, il controller External Secrets ha il corretto livello di accesso per leggere i segreti da Secrets Manager e popolarli in un cluster Kubernetes.

4. Crea una chiave API IBM Cloud per il tuo ID servizio.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   Questa chiave API viene utilizzata successivamente per configurare Secrets Manager per la distribuzione del cluster.

Crea un cluster Kubernetes e un'istanza Secrets Manager

Crea un cluster Kubernetes e un'istanza di Secrets Manager nel tuo account IBM Cloud.

È possibile creare gratuitamente un cluster Kubernetes e un'istanza del servizio Secrets Manager per ogni account IBM Cloud. Se si dispone già di entrambe le risorse nel proprio account, è possibile utilizzare il cluster gratuito e l'istanza Secrets Manager esistenti per completare l'esercitazione.

1. Dalla riga di comando, seleziona l'account, la regione e il gruppo di risorse in cui vuoi creare un'istanza del servizio Secrets Manager.

   In questo tutorial interagirai con la regione di Dallas. Se hai effettuato l'accesso da una regione diversa, assicurati di impostare Dallas come regione di destinazione eseguendo il seguente comando.

   ibmcloud target -r us-south -g default
   

2. Creare un cluster Kubernetes.

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. Crea un'istanza di Secrets Manager.

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   Il provisioning sia per Secrets Manager che per il tuo cluster Kubernetes richiede 5-15 minuti per essere completato.

4. Prima di continuare con il passo successivo, verifica che il provisioning del tuo cluster e dell'istanza Secrets Manager sia stato eseguito correttamente.

   1. Verifica che la distribuzione del tuo nodo di lavoro sia completa.

       ibmcloud ks worker ls --cluster my-test-cluster
       ```
       Quando il tuo nodo di lavoro ha terminato il provisioning, lo stato cambia in **Pronto**.
   
       ```sh {: screen}
       ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
       kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
       ```
   2. Successivamente, verifica che il provisioning della tua istanza Secrets Manager sia stato eseguito correttamente.
   
   ```sh {: pre}
       ibmcloud resource service-instance my-secrets-manager
       ```
       Quando l'istanza ha terminato il provisioning, lo stato cambia in **Attivo**.
   
       ```plaintext {: screen}
       Name:                  my-secrets-manager
       ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
       GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
       Location:              us-south
       Service Name:          secrets-manager
       Service Plan Name:     trial
       Resource Group Name:   default
       State:                 active
       Type:                  service_instance
       Sub Type:
       Created at:            2021-01-06T17:11:32Z
       Created by:            zara@example.com
       Updated at:            2021-03-31T02:33:26Z
       ```
   

5. Imposta il contesto per il tuo cluster Kubernetes nella CLI.

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. Verifica che i comandi kubectl vengano eseguiti correttamente e che il contesto Kubernetes sia impostato sul tuo cluster.

   kubectl config current-context
   

   Output di esempio:

   my-test-cluster/<your_cluster_ID>
   

Creare un profilo di fiducia da CLI

Un profilo attendibile consente all'operatore External Secrets di leggere da Secrets Manager, senza dover creare un ID servizio o gestire una chiave API.

1. Ottieni i CRN per la tua istanza Secrets Manager e il cluster Kubernetes.

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. Creare il profilo.

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. Autorizza il cluster Kubernetes a utilizzare il profilo attendibile.

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. Crea una politica di accesso che consenta al profilo attendibile di leggere i segreti dalla tua istanza Secrets Manager.

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

Creare un profilo di fiducia con Terraform

Un profilo attendibile consente all'operatore External Secrets di leggere da Secrets Manager, senza dover creare un ID servizio o gestire una chiave API. È possibile seguire questo esempio in Terraform che esegue tutti i passaggi per creare un profilo attendibile:

```sh {: pre}
//Get your cluster details
data "ibm_container_vpc_cluster" "cluster" {
  name              = var.cluster_name
  resource_group_id = var.resource_group_id
}

//Get details of Secret Manager Instance
data "ibm_resource_instance" "secrets_manager" {
  name              = var.sm_name
  resource_group_id = var.resource_group_id
  service           = "secrets-manager"
}

//Create Trusted Profile
resource "ibm_iam_trusted_profile" "eso_profile" {
  name        = var.profile_name
  description = var.profile_description
}

//Attach IAM Policy for Secrets Manager Access
resource "ibm_iam_trusted_profile_policy" "secrets_policy" {
  iam_id = ibm_iam_trusted_profile.eso_profile.id

  roles = ["SecretsReader"]

  resources {
    service = "secrets-manager"
    resource_instance_id = data.ibm_resource_instance.secrets_manager.guid
  }
}

//Add Claim Rule for Kubernetes Service Account
resource "ibm_iam_trusted_profile_claim_rule" "eso_claim_rule" {
  profile_id = ibm_iam_trusted_profile.eso_profile.id
  type       = "Profile-CR"
  cr_type    = "IKS_SA"

  conditions {
    claim    = "name"
    operator = "EQUALS"
    value    = var.service_account_name
  }

  conditions {
    claim    = "namespace"
    operator = "EQUALS"
    value    = var.namespace
  }

  conditions {
    claim    = "crn"
    operator = "EQUALS"
    value    = data.ibm_container_vpc_cluster.cluster.crn
  }
}

//Variables
variable "resource_group_id" {
  description = "Resource Group ID"
  type        = string
}

variable "sm_name" {
  description = "Secret Manager Instance ID"
  type        = string
}

variable "cluster_name" {
  description = "IKS Cluster name"
  type        = string
}

variable "profile_name" {
  type        = string
  description = "Name of the trusted profile"
}

variable "profile_description" {
  type        = string
  description = "Description of the trusted profile"
}

variable "service_account_name" {
  description = "Kubernetes service account name for claim rule"
  type        = string
}

variable "namespace" {
  description = "Kubernetes namespace for claim rule"
  type        = string
}
```

Prepara la tua istanza Secrets Manager

Infine, configurare l'istanza Secrets Manager per iniziare a lavorare con i segreti.

1. Dalla riga di comando, verifica di poter accedere al plugin CLI Secrets Manager.

   ibmcloud secrets-manager --help
   

   Non hai ancora il plug-in? Per installare il plug-in Secrets Manager CLI, eseguire ibmcloud plugin install secrets-manager.

2. Esportare una variabile di ambiente con il proprio endpoint API Secrets Manager univoco URL.

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. Crea un gruppo di segreti per la tua istanza.

I gruppi segreti sono un modo per organizzare e controllare chi nel tuo gruppo ha accesso a segreti specifici nella tua istanza. Per creare un gruppo segreto dalla CLI di IBM Cloud, si utilizza il ibmcloud secrets-manager secret-group-create comando. Esegui il seguente comando per creare un gruppo di segreti e memorizzarne l'ID come una variabile di ambiente.

```sh {: pre}
export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
```
Utilizzando il prompt dei comandi di Windows™ (`cmd.exe`) o il programma di gestione delle risorse PowerShell? Se riscontri degli errori durante la trasmissione del contenuto JSON sulla riga di comando, potresti dover regolare le stringhe per i requisiti di escape delle virgolette specifici del tuo sistema operativo. Per ulteriori informazioni, vedere [Uso delle virgolette con le stringhe nella CLI di IBM Cloud](/docs/cli?topic=cli-quote-strings).
{: tip}

Operazione riuscita. Ora puoi archiviare il segreto in Secrets Manager che vuoi popolare nel tuo cluster Kubernetes. Continua al passo successivo.

Configurare l'operatore dei segreti esterno per il cluster

Aggiorna la configurazione della tua app

Dopo aver installato External Secrets Operator nel tuo cluster, puoi definire Secrets Manager come backend dei segreti per la tua applicazione. Inizia creando un file di configurazione che punta al segreto in Secrets Manager che vuoi utilizzare.

1. Nella directory root della tua applicazione, crea un file external-secrets-example.yml.

   touch external-secrets-example.yml
   

2. Modifica il file per includere le informazioni sul segreto che vuoi recuperare dalla tua istanza Secrets Manager.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   Ci sono due modalità che si sceglie di utilizzare - ID segreto o nome segreto. Se si sceglie il nome segreto, il formato cambia da secret_type/secret_id a secret_group/secret_type/secret_name.

   Sostituisci <endpoint_url> con l'endpoint URL dell' Secrets Manager, che hai recuperato in precedenza. Sostituisci <SECRET_ID> con l'ID univoco del segreto che hai creato nel passo precedente.

   Se stai utilizzando un profilo attendibile per l'autenticazione, sostituisci il blocco auth con il seguente frammento.

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. Applica la configurazione al tuo cluster.

   kubectl apply -f external-secrets-example.yml
   

4. Verifica che l'operatore dei segreti esterni sia in grado di recuperare il segreto memorizzato nella tua istanza Secrets Manager.

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   Output di esempio:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Operazione riuscita. Ora puoi recuperare i dati segreti archiviati nella tua istanza Secrets Manager. Continua al passo successivo.