为在 Kubernetes 集群中运行的应用程序保密

创建服务 ID 和 API 密钥

首先创建能够对 Secrets Manager 和 Kubernetes Service运行操作所需的帐户凭证。

1. 从命令行，通过 IBM Cloud CLI 登录到 IBM Cloud。

   ibmcloud login
   

   如果登录失败，请运行 ibmcloud login --sso 命令重试。 使用联合标识登录时需要 --sso 参数。 如果使用此选项，请转至 CLI 输出中列出的链接以生成一次性密码。

2. 创建服务标识并将其设置为环境变量。

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. 分配服务标识许可权以从 Secrets Manager读取私钥。

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   通过分配 SecretsReader 服务访问权，外部密钥控制器具有从 Secrets Manager 读取密钥并在 Kubernetes 集群中填充这些密钥的正确访问级别。

4. 为您的服务 ID 创建 IBM Cloud API 密钥。

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   稍后使用此 API 密钥为集群部署配置 Secrets Manager。

创建 Kubernetes 集群和 Secrets Manager 实例

在 IBM Cloud 帐户中创建 Kubernetes 集群和 Secrets Manager 实例。

每个 IBM Cloud 账户可创建一个免费的 Kubernetes 集群和 Secrets Manager 服务实例。 如果您的账户中已经拥有这两种资源，您可以使用现有的免费群集和 Secrets Manager 实例来完成教程。

1. 从命令行，选择要在其中创建 Secrets Manager 服务实例的帐户，区域和资源组。

   在本教程中，您将与达拉斯区域进行交互。 如果您已登录到其他区域，请确保通过运行以下命令将达拉斯设置为目标区域。

   ibmcloud target -r us-south -g default
   

2. 创建 Kubernetes 集群。

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. 创建 Secrets Manager 实例。

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   针对 Secrets Manager 和 Kubernetes 集群的供应需要 5-15 分钟才能完成。

4. 继续执行下一步之前，请验证是否已成功供应集群和 Secrets Manager 实例。

   1. 验证工作程序节点的部署是否已完成。

      ibmcloud ks worker ls --cluster my-test-cluster
      

      当工作程序节点完成供应时，状态将更改为 就绪。

      ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
      kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
      

   2. 接下来，验证是否已成功供应 Secrets Manager 实例。

      ibmcloud resource service-instance my-secrets-manager
      

      当实例完成供应时，状态将更改为 活动。

      Name:                  my-secrets-manager
      ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
      GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
      Location:              us-south
      Service Name:          secrets-manager
      Service Plan Name:     trial
      Resource Group Name:   default
      State:                 active
      Type:                  service_instance
      Sub Type:
      Created at:            2021-01-06T17:11:32Z
      Created by:            zara@example.com
      Updated at:            2021-03-31T02:33:26Z
      

5. 在 CLI 中为 Kubernetes 群集设置上下文。

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. 验证 kubectl 命令是否正确运行以及 Kubernetes 上下文是否设置为集群。

   kubectl config current-context
   

   示例输出：

   my-test-cluster/<your_cluster_ID>
   

通过 CLI 创建受信任的配置文件

可信概要文件允许“外部密钥”操作程序从 Secrets Manager中读取，而不必创建服务标识或管理 API 密钥。

1. 获取 Secrets Manager 实例和 Kubernetes 集群的 CRN。

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. 创建概要文件。

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. 授权 Kubernetes 集群使用可信概要文件。

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. 创建允许可信概要文件从 Secrets Manager 实例读取私钥的访问策略。

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

使用 Terraform 创建可信配置文件

可信概要文件允许“外部密钥”操作程序从 Secrets Manager中读取，而不必创建服务标识或管理 API 密钥。 您可以按照 Terraform 中的示例执行创建受信任配置文件的所有步骤：

```sh {: pre}
//Get your cluster details
data "ibm_container_vpc_cluster" "cluster" {
  name              = var.cluster_name
  resource_group_id = var.resource_group_id
}

//Get details of Secret Manager Instance
data "ibm_resource_instance" "secrets_manager" {
  name              = var.sm_name
  resource_group_id = var.resource_group_id
  service           = "secrets-manager"
}

//Create Trusted Profile
resource "ibm_iam_trusted_profile" "eso_profile" {
  name        = var.profile_name
  description = var.profile_description
}

//Attach IAM Policy for Secrets Manager Access
resource "ibm_iam_trusted_profile_policy" "secrets_policy" {
  iam_id = ibm_iam_trusted_profile.eso_profile.id

  roles = ["SecretsReader"]

  resources {
    service = "secrets-manager"
    resource_instance_id = data.ibm_resource_instance.secrets_manager.guid
  }
}

//Add Claim Rule for Kubernetes Service Account
resource "ibm_iam_trusted_profile_claim_rule" "eso_claim_rule" {
  profile_id = ibm_iam_trusted_profile.eso_profile.id
  type       = "Profile-CR"
  cr_type    = "IKS_SA"

  conditions {
    claim    = "name"
    operator = "EQUALS"
    value    = var.service_account_name
  }

  conditions {
    claim    = "namespace"
    operator = "EQUALS"
    value    = var.namespace
  }

  conditions {
    claim    = "crn"
    operator = "EQUALS"
    value    = data.ibm_container_vpc_cluster.cluster.crn
  }
}

//Variables
variable "resource_group_id" {
  description = "Resource Group ID"
  type        = string
}

variable "sm_name" {
  description = "Secret Manager Instance ID"
  type        = string
}

variable "cluster_name" {
  description = "IKS Cluster name"
  type        = string
}

variable "profile_name" {
  type        = string
  description = "Name of the trusted profile"
}

variable "profile_description" {
  type        = string
  description = "Description of the trusted profile"
}

variable "service_account_name" {
  description = "Kubernetes service account name for claim rule"
  type        = string
}

variable "namespace" {
  description = "Kubernetes namespace for claim rule"
  type        = string
}
```

准备 Secrets Manager 实例

最后，配置 Secrets Manager 实例以开始使用私钥。

1. 从命令行验证您是否可以访问 Secrets Manager CLI 插件。

   ibmcloud secrets-manager --help
   

   还没有插件吗? 要安装 Secrets Manager CLI 插件，请运行 ibmcloud plugin install secrets-manager。

2. 使用您唯一的 Secrets Manager API端点 URL 导出环境变量。

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. 为实例创建私钥组。

   私钥组 是一种组织和控制团队中有权访问实例中特定私钥的人员的方法。 要从 IBM Cloud CLI 创建私钥组，请使用 ibmcloud secrets-manager secret-group-create 命令。 运行以下命令以创建私钥组并将其标识存储为环境变量。

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   使用 Windows™ 命令提示符 (cmd.exe) 或 PowerShell? 如果在命令行上传递 JSON 内容时迂到错误，那么可能需要调整字符串以满足特定于操作系统的报价转义需求。 更多信息，请参阅 IBM Cloud CLI 中使用字符串引号。

   成功! 现在，您可以将私钥存储在要在 Kubernetes 集群中填充的 Secrets Manager 中。 继续下一步。

为集群配置外部密钥操作程序

更新应用程序配置

在集群中安装 External Secrets Operator 后，可以将 Secrets Manager 定义为应用程序的私钥后端。 首先在要使用的 Secrets Manager 中创建以私钥为目标的配置文件。

1. 在应用程序的根目录中，创建 external-secrets-example.yml 文件。

   touch external-secrets-example.yml
   

2. 修改文件以包含有关要从 Secrets Manager 实例访存的私钥的信息。

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   您可以选择按私钥标识或私钥名称使用两种方式。 如果选择私钥名称，那么格式将从 secret_type/secret_id 更改为 secret_group/secret_type/secret_name。

   将 <endpoint_url> 替换 为您之前 获取的 Secrets Manager 端点 URL。 将 <SECRET_ID> 替换为您在上一步中创建的私钥的唯一标识。

   如果要使用可信概要文件进行认证，请将 auth 块替换为以下片段。

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. 将配置应用于集群。

   kubectl apply -f external-secrets-example.yml
   

4. 验证外部私钥操作程序是否能够访存存储在 Secrets Manager 实例中的私钥。

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   示例输出：

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   成功! 现在，您可以访存存储在 Secrets Manager 实例中的私钥数据。 继续下一步。