開始前に

開始する前に、アカウント資格情報を作成し、リソースをプロビジョニングできるように、必ず管理者プラットフォーム・アクセス権限 を使用するようにしてください。 以下の前提条件も必要です。

• IBM Cloud CLI をダウンロードしてインストールします。
• Kubernetes のCLIをインストールします（kubectl ）。
• Helm をインストールしてください 3.x。
• jq をダウンロードしてインストールしてください。

jq は、JSONデータのスライスとフィルタリングに役立ちます。 このチュートリアルにあるjqを使用して、保管された環境変数を取得・使用します。

• IBM Cloud アカウントでプロビジョニングされたVault専用インスタンス。 詳細については、「 Vault Dedicated インスタンスの設定 」を参照してください。

環境を設定する

Vault Dedicatedおよび Kubernetes Service を利用するには、 IBM Cloud アカウントクラスターを作成し、Vault Dedicatedインスタンスへのアクセスを設定する必要があります。

外部シークレット・オペレーターをインストールする

Helm を使用して、External Secrets Operator をインストールします。

1. 「External Secrets」 Helm リポジトリを追加します。

   helm repo add external-secrets https://charts.external-secrets.io
   helm repo update
   

2. External Secrets Operator をインストールします。

   helm install external-secrets \
     external-secrets/external-secrets \
     --namespace external-secrets \
     --create-namespace \
     --set installCRDs=true
   

3. インストールを検証します。

   kubectl get pods -n external-secrets
   

   すべてのポッドが「 Running 」状態になるまで待ちます。

4. カスタムリソース定義（CRD）がインストールされていることを確認してください。

   kubectl get crd | grep external-secrets
   

   secretstores、 clustersecretstores、 externalsecrets といった CRD が表示されるはずです。

Vault Dedicated 用の SecretStore を設定する

External Secrets Operator が Vault Dedicated インスタンスに接続する方法を定義する「 SecretStore 」リソースを作成します。

1. Vaultトークンを使用して、 Kubernetes のシークレットを作成します。

   kubectl create secret generic vault-token \
     --namespace external-secrets \
     --from-literal=token="$VAULT_TOKEN"
   

2. secretstore.yaml ファイルを作成します。

   touch secretstore.yaml
   

3. ファイルに以下の設定を追加してください。

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-dedicated-secretstore
     namespace: default
   spec:
     provider:
       vault:
         server: "<VAULT_DEDICATED_ADDR>"
         path: "kv"
         version: "v2"
         namespace: "admin"
         auth:
           tokenSecretRef:
             name: "vault-token"
             key: "token"
             namespace: "external-secrets"
   

   <VAULT_DEDICATED_ADDR> を、ご自身の Vault Dedicated インスタンスのアドレスに置き換えてください。 なお、 path は kv に設定されています。これは、Vault DedicatedにおけるKVシークレットエンジンのデフォルトのマウントポイントです。

4. SecretStore の設定を適用します。

   kubectl apply -f secretstore.yaml
   

5. SecretStore が有効であることを確認してください。

   kubectl get secretstore vault-dedicated-secretstore -n default
   kubectl describe secretstore vault-dedicated-secretstore -n default
   

   Vault Dedicated への接続に成功した場合、ステータスは「 有効 」と表示されるはずです。

[作成] ExternalSecret

Vault Dedicated から取得するシークレットを定義する ExternalSecret リソースを作成します。

1. externalsecret.yaml というファイルを作成します。

   touch externalsecret.yaml
   

2. 以下の設定を追加してください。

   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     refreshInterval: 1h
     secretStoreRef:
       name: vault-dedicated-secretstore
       kind: SecretStore
     target:
       name: my-k8s-secret
       creationPolicy: Owner
     data:
     - secretKey: username
       remoteRef:
         key: example_username_password
         property: username
     - secretKey: password
       remoteRef:
         key: example_username_password
         property: password
   

   refreshInterval は、External Secrets OperatorがVault Dedicatedに対して更新情報をポーリングする頻度を決定します。 デフォルト値および推奨値は1時間です。

3. ExternalSecret の設定を適用します。

   kubectl apply -f externalsecret.yaml
   

4. External Secrets Operator が Vault Dedicated からシークレットを取得したことを確認してください。

   kubectl get secret my-k8s-secret -o json | jq '.data | map_values(@base64d)'
   

   出力例:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   成功! これで、Vault Dedicatedインスタンスから機密データを取得し、 Kubernetes クラスターで使用できるようになりました。

クラスターへのアプリのデプロイ

これで、Vault Dedicatedのシークレットを使用するアプリケーションをクラスターにデプロイできるようになります。 アプリケーションの実行時、Vault Dedicated から取得されたシークレットデータは、クラスターで使用可能な Kubernetes シークレットに変換されます。

1. そのシークレットを使用する簡単なテスト展開を作成します。

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret
             key: password
   EOF
   

2. ポッドのログを確認し、シークレットが注入されたことを確認してください。

   kubectl logs test-app -n default
   

   予期される出力:

   Username: user123
   Password: cloudy-rainy-coffee-book
   

アプリのデプロイ方法に関する具体例をもっと探していますか？ アプリケーションのデプロイに関する詳細については、「 クラスタへの Kubernetes-nativeアプリのデプロイ 」をご覧ください。

(オプション) リソースのクリーンアップ

本チュートリアルで作成したリソースが今後不要な場合は、以下の手順を実行して、アカウントからリソースを削除できます。

1. テスト Kubernetes クラスターを削除します。

   ibmcloud ks cluster rm --cluster eso-test-cluster
   

2. Vault専用テストシークレットのクリーンアップ。

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

注目すべき点

YAMLドキュメントを作成する際は、以下の点に留意してください：

1. ポーリング間隔 ：デフォルトでは、ポーリング間隔は1時間に設定されており（refreshInterval: 1h ）、これが推奨値です。 この値は、 ExternalSecret テンプレートで変更できます。 この間隔は、 s、 m、または h の単位で表すことができます。

2. Vault Dedicated のマウントパス ：Vault Dedicated では、KV シークレットエンジンのデフォルトのマウントパスとして、 secret/ ではなく、 kv/ を使用します。 SecretStore の設定で、正しいパスを指定していることを確認してください。

3. Vault Dedicated のネームスペース ：Vault Dedicated では、Vault Enterprise のネームスペースが使用されます。 デフォルトの名前空間は admin です。 SecretStore の設定で、正しい名前空間を指定していることを確認してください。

4. 認証方法 ：このチュートリアルでは、簡便さを考慮してトークン認証を採用しています。 本番環境では、セキュリティを強化するため、 AppRole または Kubernetes の認証方法の使用をご検討ください。

5. TLS 留意点 ：Vault Dedicatedでは、 TLS 接続が必要です。 本番環境では、 skipTLSVerify を使用するのではなく、適切な証明書検証が設定されていることを確認してください。

次のステップ

お疲れさまでした。 このチュートリアルでは、External Secrets Operator を使用して、 Kubernetes クラスターにアプリケーションのシークレットを安全に設定するために、Vault Dedicated をセットアップする方法について学びました。 Vault Dedicated の利用を開始するのに役立つその他のリソースをご覧ください。

• Vault Secrets Operator についてご紹介します。これは、 Kubernetes との統合のための HashiCorp's 公式オペレーターです。
• 「 External Secrets Operator Vault」プロバイダーのドキュメントを確認してください。
• より高度な機能や設定については、 Vault Dedicatedのドキュメント をご覧ください。
• 詳細はこちら HashiCorp Vault。