開始前に

開始する前に、アカウント資格情報を作成し、リソースをプロビジョニングできるように、必ず管理者プラットフォーム・アクセス権限 を使用するようにしてください。 以下の前提条件も必要です。

• IBM Cloud CLI をダウンロードしてインストールします。

• Kubernetes のCLIをインストールします（kubectl ）。

• Helm をインストールしてください 3.x。

• jq をダウンロードしてインストールしてください。

  • jq は、JSONデータのスライスとフィルタリングに役立ちます。 このチュートリアルにあるjqを使用して、保管された環境変数を取得・使用します。

• IBM Cloud アカウントプロビジョニングされたVault Dedicatedインスタンス。 詳細については、「 Vault Dedicated インスタンスの設定 」を参照してください。

環境を設定する

Vault Dedicatedおよび Kubernetes Service を利用するには、クラスターを作成し、Vault Dedicatedインスタンスを AppRole 認証で設定する必要があります。

Vault Secrets Operator をインストールする

Helm を使用して、Vault Secrets Operator をインストールします。

1. HashiCorp の Helm リポジトリを追加します。

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm repo update
   

2. Vault Secrets Operator をインストールします。

   helm install vault-secrets-operator \
     hashicorp/vault-secrets-operator \
     --namespace vault-secrets-operator-system \
     --create-namespace \
     --version 0.9.0
   

3. インストールを検証します。

   kubectl get pods -n vault-secrets-operator-system
   

   すべてのポッドが「 Running 」状態になるまで待ちます。

4. カスタムリソース定義（CRD）がインストールされていることを確認してください。

   kubectl get crd | grep vault
   

   vaultauths、 vaultconnections、 vaultdynamicsecrets、 vaultstaticsecrets といったCRDが表示されるはずです。

VaultConnection を設定し、 VaultAuth

VaultConnection および VaultAuth リソースを使用して、Vault Dedicated インスタンスに接続するように VSO を設定します。

作成 VaultStaticSecret

VaultStaticSecret リソースを作成し、Vault Dedicatedから Kubernetes へシークレットを同期します。

1. vaultstaticsecret.yaml ファイルを作成します。

   touch vaultstaticsecret.yaml
   

2. 以下の設定を追加してください。

   apiVersion: secrets.hashicorp.com/v1beta1
   kind: VaultStaticSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     vaultAuthRef: vault-dedicated-auth
     mount: kv
     type: kv-v2
     path: example_username_password
     refreshAfter: 1h
     destination:
       name: my-k8s-secret-vso
       create: true
   

   この設定では、Vault Dedicated の kv/data/example_username_password からシークレットを取得し、 my-k8s-secret-vso という名前の Kubernetes シークレットを作成します。 この秘密は1時間ごとに更新されます。

3. VaultStaticSecret を適用してください。

   kubectl apply -f vaultstaticsecret.yaml
   

4. シークレットが同期されたことを確認してください。

   kubectl get vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl get secret my-k8s-secret-vso -n default -o json | jq '.data | map_values(@base64d)'
   

   出力例:

   {
       "password": "vso-secure-pass-123",
       "username": "vso-user"
   }
   

クラスターへのアプリのデプロイ

Vault Dedicated から同期されたシークレットを使用するアプリケーションをデプロイします。

1. テスト用のデプロイを作成します。

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app-vso
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: password
   EOF
   

2. ポッドのログを確認してください。

   kubectl logs test-app-vso -n default
   

   予期される出力:

   Username: vso-user
   Password: vso-secure-pass-123
   

(オプション) リソースのクリーンアップ

リソースが不要になった場合は、 アカウントから削除してください。

1. テスト用ネームスペースとリソースを削除してください。

   kubectl delete pod test-app-vso -n default
   kubectl delete vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl delete vaultauth vault-dedicated-auth -n default
   kubectl delete vaultconnection vault-dedicated-connection -n default
   kubectl delete secret approle-secret -n default
   

2. Vault Secrets Operator をアンインストールします。

   helm uninstall vault-secrets-operator -n vault-secrets-operator-system
   kubectl delete namespace vault-secrets-operator-system
   

3. テスト用クラスタを削除してください。

   ibmcloud ks cluster rm --cluster vso-test-cluster
   

4. Vault専用テストデータをクリーンアップします。

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

注目すべき点

Vault Secrets Operator を使用する際の主な留意点：

1. 認証方法 ：VSOは、トークンによる直接認証をサポートしていません。 AppRole, Kubernetes、JWT、 AWS、または GCP のいずれかの認証方法を使用する必要があります。

2. SecretID キー名 ： AppRole 認証用の Kubernetes シークレットを作成する際、キー名は「 id 」とする必要があります。「 secret-id 」や「 secretId 」にしてはいけません。

3. 更新間隔 ：[ refreshAfter ]フィールドは、VSOがシークレットの更新を確認する頻度を決定します。 鮮度とAPI負荷のバランス。

4. 自動ロールアウト ： VaultStaticSecret で rolloutRestartTargets を使用すると、シークレットが変更された際にデプロイメントが自動的に再起動されます。

5. Vault Dedicated のマウントパス ：Vault Dedicated では、KV シークレットエンジンのデフォルトのマウントパスとして、 secret/ ではなく kv/ を使用します。

6. Vault Dedicated のネームスペース ：Vault Dedicated では、Vault Enterprise のネームスペースが使用されます。 デフォルトの名前空間は admin です。 VaultAuth の設定では、常に正しい名前空間を指定してください。

7. TLS 設定 ：本番環境では、 skipTLSVerify を使用する代わりに、適切な TLS による証明書検証を設定してください。

次のステップ

お疲れさまでした。 このチュートリアルでは、Vault Secrets Operator を使用して、Vault Dedicated を Kubernetes クラスターと統合する方法について学びました。 VSOのその他の機能をご覧ください：

• ダイナミックなデータベース認証情報について VaultDynamicSecret 動的なデータベース認証情報について。
• 代替となるマルチプロバイダーソリューションとして、「 External Secrets Operator 」を検討してみてください。
• 「 Vault Secrets Operator」のドキュメントを確認してください。
• Vaultの 機能と設定について詳しくはこちらをご覧ください。