시작하기 전에

시작하기 전에 계정 신임 정보 및 프로비저닝 자원을 작성할 수 있도록 관리자 플랫폼 액세스 권한이 있는지 확인하십시오. 또한 다음 전제 조건이 필요합니다.

• IBM Cloud CLI를 다운로드하고 설치하십시오.

• Kubernetes CLI(kubectl)를 설치하십시오.

• 설치 Helm 3.x.

• jq 를 다운로드하여 설치하세요.

  • jq을(를) 사용하여 JSON 데이터를 분할하고 필터링할 수 있습니다. 이 학습서에서는 jq을(를)사용하여 저장된 환경 변수를 가져오고 사용합니다.

• IBM Cloud 계정에서 프로비저닝된 Vault Dedicated 인스턴스. 자세한 내용은 ‘Vault Dedicated 인스턴스 설정’을 참조하십시오.

환경 설정

Vault Dedicated 및 Kubernetes Service 을 사용하려면 클러스터를 생성하고, Vault Dedicated 인스턴스를 AppRole 인증 방식으로 구성해야 합니다.

Vault Secrets Operator 설치

Helm 를 사용하여 Vault Secrets Operator를 설치하십시오.

1. HashiCorp Helm 저장소를 추가하세요.

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm repo update
   

2. Vault Secrets Operator를 설치합니다.

   helm install vault-secrets-operator \
     hashicorp/vault-secrets-operator \
     --namespace vault-secrets-operator-system \
     --create-namespace \
     --version 0.9.0
   

3. 설치를 확인하십시오.

   kubectl get pods -n vault-secrets-operator-system
   

   모든 포드가 '실행 중 ' 상태가 될 때까지 기다리십시오.

4. 사용자 정의 리소스 정의(CRD)가 설치되었는지 확인하십시오.

   kubectl get crd | grep vault
   

   vaultauths, vaultconnections, vaultdynamicsecrets, vaultstaticsecrets 와 같은 CRD를 확인할 수 있을 것입니다.

VaultConnection 를 구성하고 VaultAuth

VaultConnection 및 VaultAuth 리소스를 사용하여 VSO가 Vault Dedicated 인스턴스에 연결되도록 구성하십시오.

만들기 VaultStaticSecret

Vault Dedicated의 시크릿을 Kubernetes 로 동기화하기 위해 VaultStaticSecret 리소스를 생성합니다.

1. vaultstaticsecret.yaml 파일을 작성하십시오.

   touch vaultstaticsecret.yaml
   

2. 다음 구성을 추가하십시오.

   apiVersion: secrets.hashicorp.com/v1beta1
   kind: VaultStaticSecret
   metadata:
     name: vault-dedicated-app-secret
     namespace: default
   spec:
     vaultAuthRef: vault-dedicated-auth
     mount: kv
     type: kv-v2
     path: example_username_password
     refreshAfter: 1h
     destination:
       name: my-k8s-secret-vso
       create: true
   

   이 구성은 Vault Dedicated의 kv/data/example_username_password 에서 시크릿을 가져와 my-k8s-secret-vso 라는 이름의 Kubernetes 시크릿을 생성합니다. 비밀은 매시간 새로 고쳐집니다.

3. VaultStaticSecret 을 바르세요.

   kubectl apply -f vaultstaticsecret.yaml
   

4. 시크릿이 동기화되었는지 확인하세요.

   kubectl get vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl get secret my-k8s-secret-vso -n default -o json | jq '.data | map_values(@base64d)'
   

   출력 예:

   {
       "password": "vso-secure-pass-123",
       "username": "vso-user"
   }
   

클러스터에 앱 배치

Vault Dedicated에서 동기화된 시크릿을 사용하는 애플리케이션을 배포합니다.

1. 테스트 배포를 생성합니다.

   cat <<EOF | kubectl apply -f -
   apiVersion: v1
   kind: Pod
   metadata:
     name: test-app-vso
     namespace: default
   spec:
     containers:
     - name: app
       image: busybox
       command: ['sh', '-c', 'echo "Username: \$USERNAME"; echo "Password: \$PASSWORD"; sleep 3600']
       env:
       - name: USERNAME
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: username
       - name: PASSWORD
         valueFrom:
           secretKeyRef:
             name: my-k8s-secret-vso
             key: password
   EOF
   

2. 포드 로그를 확인해 보세요.

   kubectl logs test-app-vso -n default
   

   예상 출력:

   Username: vso-user
   Password: vso-secure-pass-123
   

(선택사항) 리소스 정리

더 이상 해당 리소스가 필요하지 않다면, 계정에서 삭제하십시오.

1. 테스트 네임스페이스와 리소스를 삭제하십시오.

   kubectl delete pod test-app-vso -n default
   kubectl delete vaultstaticsecret vault-dedicated-app-secret -n default
   kubectl delete vaultauth vault-dedicated-auth -n default
   kubectl delete vaultconnection vault-dedicated-connection -n default
   kubectl delete secret approle-secret -n default
   

2. Vault Secrets Operator를 제거합니다.

   helm uninstall vault-secrets-operator -n vault-secrets-operator-system
   kubectl delete namespace vault-secrets-operator-system
   

3. 테스트 클러스터를 삭제하세요.

   ibmcloud ks cluster rm --cluster vso-test-cluster
   

4. Vault 전용 테스트 데이터를 정리합니다.

   curl -k -X DELETE \
     -H "X-Vault-Token: $VAULT_TOKEN" \
     -H "X-Vault-Namespace: $VAULT_DEDICATED_NAMESPACE" \
     $VAULT_DEDICATED_ADDR/v1/kv/metadata/example_username_password
   

참고 사항

Vault Secrets Operator를 사용할 때 고려해야 할 주요 사항:

1. 인증 방법: VSO는 직접 토큰 인증을 지원하지 않습니다. AppRole, Kubernetes, JWT AWS 또는 GCP 인증 방법 중 하나를 사용해야 합니다.

2. SecretID 키 이름: AppRole 인증을 위한 Kubernetes 시크릿을 생성할 때, 키 이름은 id 이어야 하며, secret-id 이나 secretId 이어서는 안 됩니다.

3. 갱신 간격: ‘ refreshAfter ’ 필드는 VSO가 비밀 정보 업데이트를 확인하는 빈도를 결정합니다. 신선함과 API 부하 간의 균형.

4. 자동 배포 : VaultStaticSecret 에서 rolloutRestartTargets 을 사용하여 시크릿이 변경될 때 배포가 자동으로 다시 시작되도록 설정하세요.

5. Vault Dedicated 마운트 경로: Vault Dedicated는 KV 시크릿 엔진의 기본 마운트 경로로 secret/ 이 아닌 kv/ 을 사용합니다.

6. Vault Dedicated 네임스페이스: Vault Dedicated는 Vault Enterprise 네임스페이스를 사용합니다. 기본 네임스페이스는 admin 입니다. VaultAuth 구성에서 항상 올바른 네임스페이스를 지정하십시오.

7. TLS 구성: 프로덕션 환경에서는 skipTLSVerify 를 사용하는 대신, 적절한 TLS 인증서 유효성 검사를 구성하십시오.

다음 단계

수고하셨습니다! 이 튜토리얼에서는 Vault Secrets Operator를 사용하여 Vault Dedicated를 Kubernetes 클러스터와 연동하는 방법을 배웠습니다. VSO의 다양한 기능을 살펴보세요:

• 다음에 대해 알아보세요 VaultDynamicSecret 동적 데이터베이스 자격 증명에 대해 알아보세요.
• 대안적인 다중 공급자 솔루션으로서 ‘External Secrets Operator’를 살펴보세요.
• Vault Secrets Operator 문서를 검토하십시오.
• Vault의 기능 및 구성에 대해 자세히 알아보세요.