Crie um ID de serviço e chave de API

Comece criando as credenciais da conta necessárias para poder executar operações com relação ao Secrets Manager e ao Kubernetes Service.

1. Na linha de comandos, efetue login no IBM Cloud por meio da CLI do IBM Cloud.

   ibmcloud login
   

   Se o login falhar, execute o comando ibmcloud login --sso para tentar novamente. O parâmetro --sso é necessário quando você efetua login com um ID federado. Se essa opção for usada, acesse o link listado na saída da CLI para gerar uma senha descartável.

2. Crie um ID de serviço e configure-o como uma variável de ambiente.

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. Designe as permissões de ID do serviço para ler segredos do Secrets Manager.

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   Ao atribuir acesso ao serviço SecretsReader, o controlador External Secrets tem o nível correto de acesso para ler segredos do Secrets Manager preenchê-los em um cluster Kubernetes.

4. Crie uma chave de API IBM Cloud para o seu ID de serviço.

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   Essa chave de API será usada posteriormente para configurar o Secrets Manager para a sua implementação de cluster.

Crie um cluster Kubernetes e uma instância do Secrets Manager

Crie um cluster Kubernetes e uma instância de Secrets Manager em sua conta IBM Cloud.

É possível criar um cluster Kubernetes e uma instância de serviço do Secrets Manager gratuitamente por conta do IBM Cloud. Se você já possuir ambos os recursos em sua conta, será possível usar seu cluster e instância do Secrets Manager gratuitos existentes para concluir o tutorial.

1. Na linha de comandos, selecione a conta, a região e o grupo de recursos nos quais você deseja criar uma instância de serviço do Secrets Manager.

   Neste tutorial, você interagirá com a região de Dallas. Se estiver conectado a uma região diferente, certifique-se de configurar Dallas como sua região de destino executando o comando a seguir.

   ibmcloud target -r us-south -g default
   

2. Crie um cluster Kubernetes.

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. Crie uma instância do Secrets Manager.

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   O fornecimento para o Secrets Manager e seu cluster de Kubernetes leva de 5 a 15 minutos para ser concluído.

4. Antes de prosseguir para a próxima etapa, verifique se o cluster e a instância do Secrets Manager foram provisionados com êxito.

   1. Verifique se a implementação do seu nó do trabalhador foi concluída.

      ibmcloud ks worker ls --cluster my-test-cluster
      

      Quando o nó de trabalho conclui o provisionamento, o status muda para Pronto.

      ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
      kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
      

   2. Em seguida, verifique se sua instância do Secrets Manager foi provisionada com sucesso.

      ibmcloud resource service-instance my-secrets-manager
      

      Quando o provisionamento da instância termina, o estado muda para Ativo.

      Name:                  my-secrets-manager
      ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
      GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
      Location:              us-south
      Service Name:          secrets-manager
      Service Plan Name:     trial
      Resource Group Name:   default
      State:                 active
      Type:                  service_instance
      Sub Type:
      Created at:            2021-01-06T17:11:32Z
      Created by:            zara@example.com
      Updated at:            2021-03-31T02:33:26Z
      

5. Configure o contexto para seu cluster Kubernetes na CLI.

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. Verifique se os comandos do kubectl são executados adequadamente e se o contexto do Kubernetes está configurado para o seu cluster.

   kubectl config current-context
   

   Saída de exemplo:

   my-test-cluster/<your_cluster_ID>
   

Crie um perfil confiável.

Um perfil confiável possibilita que o operador de Secrets Externos leia a partir de Secrets Manager, sem ter que criar um ID de serviço ou gerenciar uma chave API.

1. Obtem os CRNs para sua instância Secrets Manager e Kubernetes.

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. Crie o perfil.

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. Autorize o cluster Kubernetes a utilizar o perfil confiável.

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. Crie uma política de acesso que permita que o perfil confiável leia segredos de sua instância Secrets Manager.

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

Prepare sua instância do Secrets Manager

Por fim, configure sua instância do Secrets Manager para começar a trabalhar com segredos.

1. Na linha de comandos, verifique se é possível acessar o plug-in da CLI do Secrets Manager.

   ibmcloud secrets-manager --help
   

   Ainda não tem o plug-in? Para instalar o plug-in da CLI do Secrets Manager, execute ibmcloud plugin install secrets-manager.

2. Exporte uma variável de ambiente com sua URL de terminal de API do Secrets Manager exclusiva.

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. Crie um grupo de segredos para sua instância.

   Grupos de segredos são uma forma de organizar e controlar quem em sua equipe tem acesso a segredos específicos em sua instância. Para criar um grupo de segredos a partir da CLI do IBM Cloud, use o comando ibmcloud secrets-manager secret-group-create. Execute o comando a seguir para criar um grupo de segredos e para armazenar seu ID como uma variável de ambiente.

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   Usando um prompt de comandos do Windows™ (cmd.exe) ou PowerShell? Se você encontrar erros ao transmitir conteúdo JSON na linha de comandos, poderá ser necessário ajustar as sequências para os requisitos de escape de aspas específicos de seu sistema operacional. Para obter mais informações, consulte Usando aspas com sequências de caracteres na CLI do IBM Cloud.

   Sucesso! Agora é possível armazenar o segredo no Secrets Manager que você deseja preencher em seu cluster Kubernetes. Continue com a próxima etapa.

Configure External Secrets Operator para seu cluster

Atualize sua configuração do aplicativo

Depois de instalar o External Secrets Operator em seu cluster, é possível definir o Secrets Manager como o back-end de segredos para seu aplicativo. Comece criando um arquivo de configuração que tenha como destino o segredo no Secrets Manager que você deseja usar.

1. No diretório raiz do seu aplicativo, crie um arquivo external-secrets-example.yml.

   touch external-secrets-example.yml
   

2. Modifique o arquivo para incluir informações sobre o segredo que você deseja buscar a partir de sua instância do Secrets Manager.

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   Há dois modos pelos quais você escolhe trabalhar-ID de segredo ou Nome de segredo. Se escolher o nome do segredo, o formato será alterado de secret_type/secret_id para secret_group/secret_type/secret_name.

   Substitua <endpoint_url> pela URL do terminal do Secrets Manager que você recuperou anteriormente. Substitua <SECRET_ID> pelo ID exclusivo do segredo que você criou na etapa anterior.

   Se você estiver usando um perfil confiável para autenticar, substitua o bloco auth pelo trecho a seguir.

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. Aplique a configuração em seu cluster.

   kubectl apply -f external-secrets-example.yml
   

4. Verifique se o External Secrets Operator consegue buscar o segredo que está armazenado em sua instância do Secrets Manager.

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   Saída de exemplo:

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   Sucesso! Agora você é capaz de buscar os dados de segredo que estão armazenados em sua instância do Secrets Manager. Continue com a próxima etapa.