建立服務 ID 和 API 金鑰

首先，請建立帳戶認證，您需要能夠針對 Secrets Manager 和 Kubernetes Service執行作業。

1. 從指令行，透過 IBM Cloud CLI 登入 IBM Cloud。

   ibmcloud login
   

   如果登入失敗，請執行 ibmcloud login --sso 指令再試一次。 當您使用聯合 ID 登入時，需要 --sso 參數。 如果使用這個選項，請前往 CLI 輸出中所列的鏈結，以產生一次性的通行碼。

2. 建立服務 ID 並將它設為環境變數。

   export SERVICE_ID=`ibmcloud iam service-id-create kubernetes-secrets-tutorial --description "A service ID for testing ESO integration" --output json | jq -r ".id"`; echo $SERVICE_ID
   

3. 指派服務 ID 許可權，以從 Secrets Manager讀取密碼。

   ibmcloud iam service-policy-create $SERVICE_ID --roles "SecretsReader" --service-name secrets-manager
   

   透過指派 SecretsReader 服務存取權，「外部密鑰」控制器具有從 Secrets Manager 讀取密鑰並移入 Kubernetes 叢集的正確存取層次。

4. 為您的服務 ID 建立 IBM Cloud API 金鑰。

   export IBM_CLOUD_API_KEY=`ibmcloud iam service-api-key-create kubernetes-secrets-tutorial $SERVICE_ID --description "An API key for testing ESO integration." --output json | jq -r ".apikey"`
   

   您稍後可以使用此 API 金鑰來配置叢集部署的 Secrets Manager。

建立 Kubernetes 叢集及 Secrets Manager 實例

在 IBM Cloud 帳戶中建立 Kubernetes 叢集及 Secrets Manager 實例。

您可以為每個 IBM Cloud 帳戶建立一個免費 Kubernetes 叢集和 Secrets Manager 服務實例。 如果帳戶中已有兩個資源，您可以使用現有的免費叢集及 Secrets Manager 實例來完成指導教學。

1. 從指令行中，選取您要在其中建立 Secrets Manager 服務實例的帳戶、地區及資源群組。

   在本指導教學中，您將與達拉斯地區互動。 如果您登入不同的地區，請執行下列指令，確定將達拉斯設為您的目標地區。

   ibmcloud target -r us-south -g default
   

2. 建立 Kubernetes 集群。

   ibmcloud ks cluster create classic --zone dal10 --flavor free --name my-test-cluster
   

3. 建立 Secrets Manager 範例。

   ibmcloud resource service-instance-create my-secrets-manager secrets-manager trial us-south
   

   同時佈建 Secrets Manager 及 Kubernetes 叢集需要 5-15 分鐘才能完成。

4. 在繼續下一步之前，請驗證已順利佈建叢集及 Secrets Manager 實例。

   1. 驗證工作者節點的部署已完成。

      ibmcloud ks worker ls --cluster my-test-cluster
      

      當工作者節點完成佈建時，狀態會變更為 Ready。

      ID                                                       Public IP       Private IP      Flavor   State          Status                Zone    Version
      kube-c39pf4ld0m87o3fv1utg-mytestclust-default-000000dd   169.xx.xx.xxx   10.xxx.xx.xxx   free     normal   Ready   mex01   1.20.7_1543
      

   2. 接下來，驗證 Secrets Manager 實例已順利佈建。

      ibmcloud resource service-instance my-secrets-manager
      

      當實例完成佈建時，狀態會變更為 作用中。

      Name:                  my-secrets-manager
      ID:                    crn:v1:bluemix:public:secrets-manager:us-south:a/f047b55a3362ac06afad8a3f2f5586ea:fe06948b-0c6b-4183-8d4b-e6c1d38ff65f::
      GUID:                  fe06948b-0c6b-4183-8d4b-e6c1d38ff65f
      Location:              us-south
      Service Name:          secrets-manager
      Service Plan Name:     trial
      Resource Group Name:   default
      State:                 active
      Type:                  service_instance
      Sub Type:
      Created at:            2021-01-06T17:11:32Z
      Created by:            zara@example.com
      Updated at:            2021-03-31T02:33:26Z
      

5. 在 CLI 中為 Kubernetes 群集設定上下文。

   ibmcloud ks cluster config --cluster my-test-cluster
   

6. 驗證 kubectl 指令是否適當地執行，以及 Kubernetes 環境定義是否設為您的叢集。

   kubectl config current-context
   

   輸出範例：

   my-test-cluster/<your_cluster_ID>
   

建立授信設定檔

授信設定檔可讓「外部密鑰」操作員從 Secrets Manager讀取，而不需要建立服務 ID 或管理 API 金鑰。

1. 取得 Secrets Manager 實例及 Kubernetes 叢集的 CRN。

   CLUSTER_CRN=$(ibmcloud ks cluster get --cluster my-test-cluster --output json | jq -r '.crn')
   SECRETS_MANAGER_CRN=$(ibmcloud resource service-instance my-secrets-manager --output JSON | jq -r '.[0].crn')
   

2. 建立設定檔。

   ibmcloud iam trusted-profile-create 'External Secrets'
   

3. 授權 Kubernetes 叢集使用授信設定檔。

   Kubernetes

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets --conditions claim:name,operator:EQUALS,value:external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

   OpenShift

   ibmcloud iam trusted-profile-rule-create 'External Secrets' --name kubernetes --type Profile-CR --conditions claim:namespace,operator:EQUALS,value:external-secrets-operator --conditions claim:name,operator:EQUALS,value:cluster-external-secrets --conditions claim:crn,operator:EQUALS,value:$CLUSTER_CRN --cr-type IKS_SA
   

4. 建立存取原則，以容許授信設定檔從 Secrets Manager 實例讀取密碼。

   ibmcloud iam trusted-profile-policy-create 'External Secrets' --roles SecretsReader --service-instance $SECRETS_MANAGER_CRN --service-name secrets-manager
   

準備 Secrets Manager 實例

最後，配置 Secrets Manager 實例以開始使用密碼。

1. 從指令行，驗證您可以存取 Secrets Manager CLI 外掛程式。

   ibmcloud secrets-manager --help
   

   還沒有外掛程式嗎? 若要安裝 Secrets Manager CLI 外掛程式，請執行 ibmcloud plugin install secrets-manager。

2. 匯出一個環境變數，其中包含您唯一的 Secrets Manager API 終點 URL。

   export SECRETS_MANAGER_URL=`ibmcloud resource service-instance my-secrets-manager --output json | jq -r '.[].dashboard_url | .[0:-3]'`; echo $SECRETS_MANAGER_URL
   

3. 建立實例的密鑰群組。

   密鑰群組 是組織及控制團隊中有權存取實例中特定密鑰的人員的方法。 若要從 IBM Cloud CLI 建立密鑰群組，請使用 ibmcloud secrets-manager secret-group-create 指令。 執行下列指令，以建立密鑰群組並將其 ID 儲存為環境變數。

   export SECRET_GROUP_ID=`ibmcloud secrets-manager secret-group-create --name my-test-secret-group --description "Read and write to my test app" --output json --service-url $SECRETS_MANAGER_URL | jq -r '.id'`; echo $SECRET_GROUP_ID
   

   使用 Windows™ 命令提示字元 ( cmd.exe ) 或PowerShell? 如果您在指令行上傳遞 JSON 內容時發生錯誤，則可能需要調整字串，以符合作業系統特有的引號跳出需求。 如需相關資訊，請參閱 在 IBM Cloud CLI 中搭配使用引號。

   成功！ 現在，您可以將密鑰儲存在您要在 Kubernetes 叢集裡移入的 Secrets Manager 中。 繼續下一步。

配置叢集的外部密鑰操作器

更新應用程式配置

在叢集裡安裝外部密鑰操作器之後，您可以將 Secrets Manager 定義為應用程式的密鑰後端。 首先，在您要使用的 Secrets Manager 中建立以密鑰為目標的配置檔。

1. 在應用程式的根目錄中，建立 external-secrets-example.yml 檔案。

   touch external-secrets-example.yml
   

2. 修改檔案以包括您要從 Secrets Manager 實例提取之密鑰的相關資訊。

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     provider:
       ibm:
         serviceUrl: <endpoint_url>
         auth:
           secretRef:
             secretApiKeySecretRef:
               name: secret-api-key
               key: apikey
   ---
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: ibmcloud-secrets-manager-example
   spec:
     secretStoreRef:
       name: ibmcloud-secrets-manager-example
       kind: SecretStore
     target:
       name: ibmcloud-secrets-manager-example
     data:
     - secretKey: username
       remoteRef:
         property: username
         key: username_password/<SECRET_ID>
     - secretKey: password
       remoteRef:
         property: password
         key: username_password/<SECRET_ID>
   

   您選擇使用兩種模式-「密鑰 ID」或「密鑰名稱」。 如果選擇密鑰名稱，格式會從 secret_type/secret_id 變更為 secret_group/secret_type/secret_name。

   將 <endpoint_url> 改為您 先前 擷取的 Secrets Manager 終點 URL。 將 <SECRET_ID> 取代為您在前一個步驟中建立之密鑰的唯一 ID。

   如果您使用授信設定檔來鑑別，請將 auth 區塊取代為下列 Snippet。

         auth:
           containerAuth:
             profile: "External Secrets"
             iamEndpoint: https://iam.cloud.ibm.com
             tokenLocation: /var/run/secrets/tokens/sa-token
   

3. 將配置套用至叢集。

   kubectl apply -f external-secrets-example.yml
   

4. 驗證「外部密鑰操作員」能夠提取儲存在 Secrets Manager 實例中的密鑰。

   kubectl get secret ibmcloud-secrets-manager-example -o json | jq '.data | map_values(@base64d)'
   

   輸出範例：

   {
       "password": "cloudy-rainy-coffee-book",
       "username": "user123"
   }
   

   成功！ 您現在可以提取儲存在 Secrets Manager 實例中的密碼資料。 繼續下一步。