Prima di iniziare

Prima di iniziare, assicurati di disporre dei diritti di amministratore sulla piattaforma, in modo da poter creare le credenziali degli account e assegnare le risorse. Sono inoltre necessari i seguenti prerequisiti:

• Scarica e installa la CLI di IBM Cloud.

• Installa la CLI di Kubernetes(kubectl).

• Installa Helm 3.x.

• Scarica e installa jq.

  • jq ti aiuta a suddividere e filtrare i dati JSON. In questo tutorial utilizzerai jq per recuperare e utilizzare le variabili d'ambiente memorizzate.

• Un'istanza Vault Dedicated configurata nel tuo account IBM Cloud. Per ulteriori informazioni, consulta la sezione " Configurazione dell'istanza Vault Dedicated".

Configura l'ambiente

Per utilizzare Vault Dedicated e Kubernetes Service, è necessario creare un cluster e configurare l'istanza di Vault Dedicated con l'autenticazione AppRole.

Installa Vault Secrets Operator

Installa Vault Secrets Operator utilizzando Helm.

1. Aggiungi il repository HashiCorp Helm.

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm repo update
   

2. Installa Vault Secrets Operator.

   helm install vault-secrets-operator \
     hashicorp/vault-secrets-operator \
     --namespace vault-secrets-operator-system \
     --create-namespace \
     --version 0.9.0
   

3. Verificare l'installazione.

   kubectl get pods -n vault-secrets-operator-system
   

   Attendere che tutti i pod siano nello stato “Running ”.

4. Verificare che le definizioni delle risorse personalizzate (CRD) siano installate.

   kubectl get crd | grep vault
   

   Dovresti consultare CRD come vaultauths, vaultconnections, vaultdynamicsecrets e vaultstaticsecrets.

Configurare VaultConnection e VaultAuth

Configurare VSO per connettersi all'istanza Vault Dedicated utilizzando le risorse VaultConnection e VaultAuth.

Crea VaultStaticSecret

Crea una risorsa " VaultStaticSecret " per sincronizzare i segreti da Vault Dedicated a Kubernetes.

1. Crea un file denominato “ vaultstaticsecret.yaml ”.

   touch vaultstaticsecret.yaml
   

2. Aggiungere la seguente configurazione.

   apiVersion: secrets.hashicorp.com/v1beta1
   kind: VaultStaticSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     vaultAuthRef: vault-dedicated-auth
     mount: kv
     type: kv-v2
     path: example_username_password
     refreshAfter: 1h
     destination:
       name: my-k8s-secret-vso
       create: true
   

   Questa configurazione recupera il segreto da kv/data/example_username_password in Vault Dedicated e crea un segreto Kubernetes denominato my-k8s-secret-vso. Il segreto si aggiorna ogni ora.

3. Applicare l' VaultStaticSecret.

   kubectl apply -f vaultstaticsecret.yaml
   

4. Verifica che il segreto sia stato sincronizzato.

   kubectl get vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl get secret my-k8s-secret-vso -n default -o json | jq '.data | map_values(@base64d)'
   

   Output di esempio:

   {
       "password": "vso-secure-pass-123",
       "username": "vso-user"
   }
   

Distribuire un'app sul cluster

Distribuisci un'applicazione che utilizza i segreti sincronizzati da Vault Dedicated.

1. Crea una distribuzione di prova.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app-vso
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: password
   EOF
   

2. Controlla i log del pod.

   kubectl logs test-app-vso -n default
   

   Output previsto:

   Username: vso-user
   Password: vso-secure-pass-123
   

(Facoltativo) Liberare le risorse

Se non hai più bisogno delle risorse, rimuovile dal tuo account.

1. Elimina lo spazio dei nomi di prova e le risorse.

   kubectl delete pod test-app-vso -n default
   kubectl delete vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl delete vaultauth vault-dedicated-auth -n default
   kubectl delete vaultconnection vault-dedicated-connection -n default
   kubectl delete secret approle-secret -n default
   

2. Disinstallare Vault Secrets Operator.

   helm uninstall vault-secrets-operator -n vault-secrets-operator-system
   kubectl delete namespace vault-secrets-operator-system
   

3. Elimina il tuo cluster di prova.

   ibmcloud ks cluster rm --cluster vso-test-cluster
   

4. Eliminare i dati di test dedicati dal Vault.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

Note di interesse

Aspetti fondamentali da tenere in considerazione quando si utilizza Vault Secrets Operator:

1. Metodi di autenticazione: VSO non supporta l'autenticazione diretta tramite token. È necessario utilizzare i metodi di autenticazione AppRole, Kubernetes, JWT, AWS o GCP.

2. SecretID Nome della chiave: quando si crea un segreto " Kubernetes " per l'autenticazione tramite " AppRole ", la chiave deve essere denominata " id", non " secret-id " né " secretId".

3. Intervallo di aggiornamento: il campo " refreshAfter " determina la frequenza con cui VSO verifica la presenza di aggiornamenti dei segreti. Equilibrio tra freschezza e carico API.

4. Distribuzioni automatiche: utilizza rolloutRestartTargets nel tuo VaultStaticSecret per riavviare automaticamente le distribuzioni quando i segreti cambiano.

5. Percorso di montaggio di Vault Dedicated: Vault Dedicated utilizza kv/ come percorso di montaggio predefinito per il motore dei segreti KV, anziché secret/.

6. Spazi dei nomi di Vault Dedicated: Vault Dedicated utilizza gli spazi dei nomi di Vault Enterprise. Lo spazio dei nomi predefinito è admin. Specificare sempre lo spazio dei nomi corretto nella configurazione di VaultAuth.

7. TLS Configurazione: in ambiente di produzione, configurare una corretta verifica dei certificati TLS invece di utilizzare skipTLSVerify.

Passi successivi

Ottimo lavoro! In questo tutorial hai imparato a utilizzare Vault Secrets Operator per integrare Vault Dedicated con il tuo cluster di Kubernetes. Scopri altre funzionalità di VSO:

• Scopri di più su VaultDynamicSecret per le credenziali dinamiche del database.
• Scopri External Secrets Operator come soluzione alternativa multi-provider.
• Consulta la documentazione relativa all’operatore Vault Secrets.
• Scopri di più sulle funzionalità e sulle configurazioni di Vault.