创建服务ID和API密钥

首先创建能够对 Secrets Manager 和 Kubernetes Service运行操作所需的帐户凭证。

1. 从命令行，通过 IBM Cloud CLI 登录到 IBM Cloud。

   ibmcloud login
   

   如果登录失败，请运行 ibmcloud login --sso 命令重试。 使用联合标识登录时需要 --sso 参数。 如果使用此选项，请转至 CLI 输出中列出的链接以生成一次性密码。

2. 创建服务标识并将其设置为环境变量。

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. 分配服务标识许可权以从 Secrets Manager读取私钥。

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   通过分配 SecretsReader 服务访问权，外部密钥控制器具有从 Secrets Manager 读取密钥并在 Kubernetes 集群中填充这些密钥的正确访问级别。

4. 为您的服务ID创建一个 IBM Cloud API密钥。

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   稍后使用此 API 密钥为集群部署配置 Secrets Manager。

创建 Kubernetes 集群和 Secrets Manager 实例

在 IBM Cloud 帐户中创建 Kubernetes 集群和 Secrets Manager 实例。

您可以为每个 IBM Cloud 帐户创建一个免费 Kubernetes 集群和 Secrets Manager 服务实例。 如果您的帐户中已有这两种资源，那么可以使用现有免费集群和 Secrets Manager 实例来完成教程。

1. 从命令行，选择要在其中创建 Secrets Manager 服务实例的帐户，区域和资源组。

   在本教程中，您将与达拉斯区域进行交互。 如果您已登录到其他区域，请确保通过运行以下命令将达拉斯设置为目标区域。

   ibmcloud target -r us-south -g default
   

2. 创建一个 Kubernetes 集群。

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. 创建一个 Secrets Manager 实例。

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   针对 Secrets Manager 和 Kubernetes 集群的供应需要 5-15 分钟才能完成。

4. 继续执行下一步之前，请验证是否已成功供应集群和 Secrets Manager 实例。

   1. 验证工作程序节点的部署是否已完成。

      ibmcloud ks worker ls --cluster my-test-cluster
      

      当工作程序节点完成供应时，状态将更改为 就绪。

      ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
      kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
      

   2. 接下来，验证是否已成功供应 Secrets Manager 实例。

      ibmcloud resource service-instance my-secrets-manager
      

      当实例完成供应时，状态将更改为 活动。

      Name:                  my-secrets-manager
      ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
      GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
      Location:              us-south
      Service Name:          secrets-manager
      Service Plan Name:     trial
      Resource Group Name:   default
      State:                 active
      Type:                  service_instance
      Sub Type:
      Created at:            2021-01-06T17:11:32Z
      Created by:            zara@example.com
      Updated at:            2021-03-31T02:33:26Z
      

5. 在命令行界面中设置 Kubernetes 集群的上下文。

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. 验证 kubectl 命令是否正确运行以及 Kubernetes 上下文是否设置为集群。

   kubectl config current-context
   

   示例输出：

   my-test-cluster/<your_cluster_ID>
   

创建可信概要文件

可信概要文件允许“外部密钥”操作程序从 Secrets Manager中读取，而不必创建服务标识或管理 API 密钥。

1. 获取 Secrets Manager 实例和 Kubernetes 集群的 CRN。

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. 创建概要文件。

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. 授权 Kubernetes 集群使用可信概要文件。

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. 创建允许可信概要文件从 Secrets Manager 实例读取私钥的访问策略。

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

准备 Secrets Manager 实例

最后，配置 Secrets Manager 实例以开始使用私钥。

1. 从命令行验证您是否可以访问 Secrets Manager CLI 插件。

   ibmcloud secrets-manager --help
   

   还没有插件吗? 要安装 Secrets Manager CLI 插件，请运行 ibmcloud plugin install secrets-manager。

2. 使用您唯一的 Secrets Manager API端点 URL 导出环境变量。

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. 为实例创建私钥组。

   私钥组 是一种组织和控制团队中有权访问实例中特定私钥的人员的方法。 要从 IBM Cloud CLI 创建私钥组，请使用 ibmcloud secrets-manager secret-group-create 命令。 运行以下命令以创建私钥组并将其标识存储为环境变量。

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   使用 Windows™ 命令提示符 (cmd.exe) 或 PowerShell? 如果在命令行上传递 JSON 内容时迂到错误，那么可能需要调整字符串以满足特定于操作系统的报价转义需求。 有关更多信息，请参阅 在 IBM Cloud CLI 中对字符串使用引号。

   成功！ 现在，您可以将私钥存储在要在 Kubernetes 集群中填充的 Secrets Manager 中。 继续下一步。

为集群配置外部密钥操作程序

更新应用程序配置

在集群中安装 External Secrets Operator 后，可以将 Secrets Manager 定义为应用程序的私钥后端。 首先在要使用的 Secrets Manager 中创建以私钥为目标的配置文件。

1. 在应用程序的根目录中，创建 external-secrets-example.yml 文件。

   touch external-secrets-example.yml
   

2. 修改文件以包含有关要从 Secrets Manager 实例访存的私钥的信息。

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   您可以选择按私钥标识或私钥名称使用两种方式。 如果选择私钥名称，那么格式将从 secret_type/secret_id 更改为 secret_group/secret_type/secret_name。

   将 <endpoint_url> 替换 为您之前 获取的 Secrets Manager 端点 URL。 将 <SECRET_ID> 替换为您在上一步中创建的私钥的唯一标识。

   如果要使用可信概要文件进行认证，请将 auth 块替换为以下片段。

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. 将配置应用于集群。

   kubectl apply -f external-secrets-example.yml
   

4. 验证外部私钥操作程序是否能够访存存储在 Secrets Manager 实例中的私钥。

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   示例输出：

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   成功！ 现在，您可以访存存储在 Secrets Manager 实例中的私钥数据。 继续下一步。