サービス ID および API キーの作成

開始するには、Secrets Manager および Kubernetes Service に対して操作を実行するために必要なアカウント資格情報を作成します。

1. IBM Cloud CLI を使用して、コマンド・ラインから IBM Cloud にログインします。

   ibmcloud login
   

   ログインに失敗した場合は、ibmcloud login --ssoコマンドを実行して再試行してください。 フェデレーテッドIDを使用してログインする場合は、--ssoパラメーターが必要です。 このオプションを使用する場合、CLI 出力にリストされているリンクに移動して、ワンタイム・パスコードを生成します。

2. サービス ID を作成し、環境変数として設定します。

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. サービス ID 許可を割り当てて、Secrets Manager からシークレットを読み取ります。

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   SecretsReader サービス・アクセスを割り当てると、Secrets Manager からシークレットを読み取り、Kubernetes クラスターに取り込むための正しいレベルのアクセス権限が外部シークレット・コントローラーに付与されます。

4. サービス ID 用に IBM Cloud API キーを作成します。

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   この API キーは、後でクラスター・デプロイメント用に Secrets Manager を構成する際に使用します。

Kubernetes クラスターと Secrets Manager インスタンスを作成します。

Kubernetes クラスタと Secrets Manager のインスタンスを IBM Cloud アカウント内に作成します。

IBM Cloud アカウントあたり、1 つの空き Kubernetes クラスターと Secrets Manager サービス・インスタンスを作成できます。 両方のリソースがご使用のアカウントに既にある場合は、既存の空きクラスターおよび Secrets Manager インスタンスを使用してチュートリアルを完了できます。

1. コマンド・ラインから、Secrets Manager サービス・インスタンスを作成するアカウント、リージョン、リソース・グループを選択します。

   このチュートリアルでは、ダラス地域と対話します。 別の地域にログインしている場合は、次のコマンドを実行して、ダラスをターゲット地域に設定してください。

   ibmcloud target -r us-south -g default
   

2. Kubernetes クラスターを作成します。

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. Secrets Manager インスタンスを作成します。

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   Secrets Manager とご使用の Kubernetes クラスターの両方のプロビジョニング完了には 5 分から 15 分かかります。

4. 次のステップに進む前に、クラスタと Secrets Manager インスタンスが正しくプロビジョニングされたことを確認してください。

   1. ワーカー・ノードのデプロイメントが完了していることを確認します。

      ibmcloud ks worker ls --cluster my-test-cluster
      

      ワーカー・ノードがプロビジョニングを終了すると、ステータスは 「レディー」 に変わります。

      ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
      kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
      

   2. 次に、Secrets Manager インスタンスが正常にプロビジョニングされたことを確認します。

      ibmcloud resource service-instance my-secrets-manager
      

      インスタンスがプロビジョニングを終了すると、ステータスは 「アクティブ」 に変わります。

      Name:                  my-secrets-manager
      ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
      GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
      Location:              us-south
      Service Name:          secrets-manager
      Service Plan Name:     trial
      Resource Group Name:   default
      State:                 active
      Type:                  service_instance
      Sub Type:
      Created at:            2021-01-06T17:11:32Z
      Created by:            zara@example.com
      Updated at:            2021-03-31T02:33:26Z
      

5. CLI で、Kubernetes クラスターのコンテキストを設定します。

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. kubectlコマンドが正しく実行され、Kubernetesコンテキストがクラスターに設定されていることを確認します。

   kubectl config current-context
   

   出力例:

   my-test-cluster/<your_cluster_ID>
   

トラステッド・プロファイルの作成

信頼できるプロファイルにより、外部シークレット・オペレーターは、サービス ID を作成したり API キーを管理したりすることなく、 Secrets Managerから読み取ることができます。

1. Secrets Manager インスタンスおよび Kubernetes クラスターの CRN を取得します。

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. プロファイルを作成します。

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. 信頼できるプロファイルを使用する権限を Kubernetes クラスターに付与します。

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. トラステッド・プロファイルが Secrets Manager インスタンスからシークレットを読み取ることを許可するアクセス・ポリシーを作成します。

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

Secrets Manager インスタンスの準備

最後に、シークレットの処理を開始できるように、Secrets Manager インスタンスを構成します。

1. コマンドラインから、Secrets Manager CLI プラグインにアクセスできることを確認します。

   ibmcloud secrets-manager --help
   

   まだプラグインをお持ちでないですか？ Secrets ManagerCLIプラグインをインストールするには、ibmcloud plugin install secrets-managerを実行します。

2. 固有の Secrets Manager API エンドポイント URLを使用して、環境変数をエクスポートします。

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. インスタンスのシークレット・グループを作成します。

   シークレット・グループ は、インスタンス内の特定の機密情報にアクセスできるチーム内のユーザーを編成、制御するための方法です。 IBM Cloud CLI からシークレット・グループを作成するには、ibmcloud secrets-manager secret-group-create コマンドを使用します。 以下のコマンドを実行して、シークレット・グループを作成し、その ID を環境変数として保管します。

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   Windows™コマンド・プロンプト（cmd.exe）またはPowerShellを使用していますか? コマンド・ラインで JSON コンテンツを渡す際にエラーが発生する場合、ご使用のオペレーティング・システムに固有の引用符のエスケープ要件に応じて、ストリングを調整する必要がある場合があります。 詳細については、IBM Cloud CLI の文字列の引用符の使用を参照してください。

   成功! これで、Kubernetes クラスターにデータを取り込むためのシークレットを Secrets Manager に保管できるようになりました。 次のステップに進んでください。

クラスターの外部シークレット・オペレーターの構成

アプリ構成の更新

外部シークレット・オペレーターをクラスターにインストールした後、アプリケーションのシークレット・バックエンドとして Secrets Manager を定義できます。 開始するには、Secrets Manager で使用したいシークレットをターゲットとする構成ファイルを作成します。

1. アプリケーションのルート・ディレクトリーに、external-secrets-example.ymlファイルを作成します。

   touch external-secrets-example.yml
   

2. ファイルを修正して、Secrets Manager インスタンスから取り出すシークレットに関する情報を含めます。

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   シークレット ID またはシークレット名の 2 つのモードで作業することを選択できます。 シークレット名を選択すると、形式が secret_type/secret_id から secret_group/secret_type/secret_name に変わります。

   <endpoint_url>を、Secrets Manager 取得したエンドポイント URL 以前に置き換えます。 <SECRET_ID>を、前のステップで作成したシークレットの固有 ID に置き換えます。

   トラステッド・プロファイルを使用して認証を行っている場合は、 auth ブロックを以下のスニペットに置き換えます。

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. クラスターに構成を適用します。

   kubectl apply -f external-secrets-example.yml
   

4. 外部シークレット・オペレーターが、Secrets Manager インスタンスに保管されているシークレットをフェッチできることを確認します。

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   出力例:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   成功! これで、Secrets Manager インスタンスに保管されているシークレット・データをフェッチできるようになりました。 次のステップに進んでください。