Choix de l'emplacement du déploiement de l'application

L' emplacement et le groupe de ressources de toutes les ressources que vous créez doivent correspondre à l'emplacement et au groupe de ressources du cluster Kubernetes.

Capture des activités des utilisateurs et des applications

Le IBM Cloud Activity Tracker Event Routing doit être configuré pour acheminer les événements d'audit vers une instance cible IBM Cloud Logs Acheminez les événements d'audit comme décrit dans la configuration d'une cible IBM Logs si celle-ci n'est pas encore configurée dans votre compte.

A la fin de ce tutoriel, vous passerez en revue les événements générés par la réalisation de ses étapes.

Création d'un cluster pour l'application

IBM Cloud Kubernetes Service et Red Hat OpenShift on IBM Cloud fournissent des environnements pour déployer des applications à haute disponibilité dans des conteneurs qui s'exécutent dans des clusters Kubernetes.

Sautez cette section si vous disposez d'un cluster Kubernetes que vous souhaitez réutiliser dans le cadre de ce tutoriel. Dans la suite de ce tutoriel, le nom du cluster est référencé comme secure-file-storage-cluster, il suffit de le remplacer par le nom de votre cluster.

Un cluster minimal doté d'une (1) zone, d'un noeud worker (1) et de la plus petite taille disponible (version) est suffisant pour ce tutoriel. Pour créer votre IBM Cloud Kubernetes Service cluster, suivez les étapes pour Créer des clusters VPC ou Créer des clusters classiques. Pour créer votre Red Hat OpenShift on IBM Cloud, suivez les étapes de Création de clusters VPC ou Création de clusters classiques.

Utilisation de vos propres clés de chiffrement

Key Protect vous aide à fournir des clés chiffrées pour les applications dans les services IBM Cloud . Key Protect et IBM Cloud Object Storage travaillent ensemble pour protéger vos données au repos.. Dans cette section, vous allez créer une clé racine pour le compartiment de stockage.

1. Créez une instance de Key Protect.
   1. Sélectionnez un emplacement.
   2. Définissez le nom sur secure-file-storage-kp.
   3. Sélectionnez le groupe de ressources dans lequel créer l'instance de service, puis cliquez sur Créer.
2. Sous Clés, cliquez sur le bouton Ajouter pour créer une nouvelle clé racine. Elle sera utilisée pour chiffrer le compartiment de stockage et les données App ID.
   1. Définissez le type de clé sur Clé racine.
   2. Définissez le nom sur secure-file-storage-root-enckey.
   3. Ensuite, cliquez sur Ajouter une clé.

Apportez votre propre clé (Bring your own key - BYOK) en important une clé racine existante.

Configuration du stockage pour les fichiers utilisateur

L'application de partage de fichiers enregistre les fichiers dans la corbeille Object Storage. La relation entre les fichiers et les utilisateurs est stockée sous forme de métadonnées dans la base de données IBM Cloudant. Dans cette section, vous allez créer et configurer ces services.

Relation de carte de base de données entre les utilisateurs et leurs fichiers

La base de données IBM Cloudant contient des métadonnées pour tous les fichiers téléchargés à partir de l'application.

1. Créez une instance du service IBM Cloudant.
   1. Sélectionnez Cloudant comme offre.
   2. Sélectionnez un environnement multilocataire et une région identiques à ceux des services précédents.
   3. Définissez le nom sur secure-file-storage-cloudant.
   4. Utilisez le même groupe de ressources que pour les services précédents.
   5. Affectez au paramètre Méthode d'authentification la valeur IAM.
   6. Cliquez sur Créer.
2. Revenez à la liste de ressources, recherchez le service que vous venez de créer et cliquez dessus. (Remarque : Vous devrez attendre que le statut devienne Actif.
   1. Sous Données d'identification pour le service, créez de Nouvelles données d'identification.
   2. Définissez le nom sur secure-file-storage-cloudant-acckey.
   3. Pour Rôle, sélectionnez Gestionnaire.
   4. Conservez les valeurs par défaut pour les autres champs.
   5. Cliquez sur Ajouter.
3. Développez les données d'identification nouvellement créées et relevez les valeurs. Vous en aurez besoin dans une étape ultérieure.
4. Sous Gérer, cliquez sur Lancer le tableau de bord.
5. Cliquez sur Créer une base de données pour créer une base de données non partitionnée nommée secure-file-storage-metadata.

Authentification des utilisateurs

Avec App ID, vous pouvez sécuriser des ressources et ajouter une authentification à vos applications. Comme alternative non utilisée dans ce tutoriel, App ID peut intégrer à Kubernetes Service pour authentifier les utilisateurs accédant aux applications déployées dans le cluster.

Avant de créer le service App ID, accordez des droits d'accès au service Key Protect. Vous devez être propriétaire ou administrateur du compte pour l'instance Key Protect sur laquelle vous travaillez. Vous devez également disposer d'au moins un accès Afficheur au service App ID.

1. Allez dans Gestion > Accès IAM > Autorisations et cliquez sur Créer.
2. Sélectionnez le service App ID comme service source.
3. Sélectionnez Key Protect comme service cible.
4. Passez à Ressources basées sur les attributs sélectionnés, cochez ID instance et sélectionnez l'instance de service Key Protect précédemment créée.
5. Affectez le rôle Lecteur sous Accès au service.
6. Cliquez sur Autoriser pour confirmer l'autorisation déléguée.

A présent, créez une instance du service App ID.

1. Naviguez jusqu'à la page de création de App ID page de création de service.

   1. Utilisez le même emplacement que pour les services précédents.
   2. Sélectionnez le plan Niveau promu.
   3. Définissez le nom du service sur secure-file-storage-appid.
   4. Sélectionnez un groupe de ressources identique à celui des services précédents.
   5. Sélectionnez le nom du service Key Protect autorisé et la clé racine des listes déroulantes respectives.
   6. Cliquez sur Créer.

2. Sous Gérer l'authentification, dans l'onglet Paramètres d'authentification, ajoutez une URL de redirection Web pointant vers le domaine que vous allez utiliser pour l'application. Le format de l'URL est https://secure-file-storage.<Ingress subdomain>/redirect_uri. Exemple :

   • Avec le sous-domaine Ingress : mycluster-1234-d123456789.us-south.containers.appdomain.cloud
   • la redirection URL est https://secure-file-storage.mycluster-1234-d123456789.us-south.containers.appdomain.cloud/redirect_uri.

   App ID exige que l' URL redirection soit https ou http. Vous pouvez visualiser votre sous-domaine Ingress dans le tableau de bord du cluster ou à l'aide de ibmcloud ks cluster get --cluster <cluster-name>.

3. Dans le même onglet sous Paramètres d'authentification et Activité d'exécution, activez la capture d'événements dans IBM Cloud Activity Tracker Event Routing.

4. Créer des données d'identification de service:

   1. Sous Données d'identification pour le service, créez de Nouvelles données d'identification.
   2. Définissez le nom sur secure-file-storage-appid-acckey.
   3. Pour Rôle, sélectionnez Gestionnaire.
   4. Conservez les valeurs par défaut pour les autres champs.
   5. Cliquez sur Ajouter.

Vous devez personnaliser les fournisseurs d'identité utilisés, ainsi que l'expérience de gestion des connexions et des utilisateurs dans le tableau de bord App ID. Ce tutoriel utilise les valeurs par défaut pour plus de simplicité. Pour un environnement de production, envisagez d'utiliser l'Authentification multifacteur (MFA) et des règles de mot de passe avancées.

Obtention du code

1. Obtenez le code de l'application :

   git clone https://github.com/IBM-Cloud/secure-file-storage
   

2. Accédez au répertoire secure-file-storage/app :

   cd secure-file-storage/app
   

Renseignez les paramètres de configuration et les données d'identification

1. Si vous n'êtes pas connecté, utilisez ibmcloud login ou ibmcloud login --sso pour vous connecter de manière interactive. Ciblez votre région et votre groupe de ressources IBM Cloud.

   ibmcloud target -r <region> -g <resource_group>
   

   Vous pouvez trouver d'autres commandes CLI dans la rubrique Commandes générales IBM Cloud CLI (ibmcloud) de la documentation.

2. Définissez les variables d'environnement requises pour la génération des fichiers de configuration à l'étape suivante.

   1. Commencez par définir le nom du cluster en remplaçant <YOUR_CLUSTER_NAME> :

      export MYCLUSTER=<YOUR_CLUSTER_NAME>
      

   2. Définissez le sous-domaine Ingress à l'aide des commandes ibmcloud ks :

      export INGRESS_SUBDOMAIN=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressHostname) // .ingress.hostname')
      

   3. Définissez le secret d'entrée à l'aide des commandes ibmcloud ks :

      export INGRESS_SECRET=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressSecretName) // .ingress.secretName')
      

   4. Définissez le nom du référentiel d'images sur l'image prégénérée icr.io/solution-tutorials/tutorial-cloud-e2e-security:

      export IMAGE_REPOSITORY=icr.io/solution-tutorials/tutorial-cloud-e2e-security
      

   5. Définissez d'autres variables d'environnement en remplaçant les valeurs par défaut :

      export BASENAME=secure-file-storage
      

   6. Définissez l'espace de nom à utiliser:

      export TARGET_NAMESPACE=default
      

   7. La variable d'environnement $IMAGE_PULL_SECRET ne peut être définie que si vous utilisez un autre espace de noms Kubernetes que l'espace de noms default et l'espace de noms IBM Cloud Container Registry pour l'image. Cela nécessite une configuration Kubernetes supplémentaire (par exemple, la création d'un secret de registre de conteneur dans le nouvel espace de nom).

3. Exécutez la commande suivante pour générer secure-file-storage.yaml et secure-file-storage-ingress.yaml. Il utilisera les variables d'environnement que vous venez de configurer ainsi que les fichiers modèles secure-file-storage.template.yaml et secure-file-storage-ingress.template.yaml.

   ./generate_yaml.sh
   

   Par exemple, si l'application est déployée sur l'espace de nom valeur par défaut Kubernetes :

   Variables d'environnement utilisées par le script

   Variables	Valeur	Description
   $IMAGE_PULL_SECRET	Ne pas définir lors de l'utilisation de l'image fournie	Secret pour accéder au registre.
   $IMAGE_REPOSITORY	icr.io/solution-tutorials/tutorial-cloud-e2e-security ou Icr.io/namespace/image-name	Identificateur de type URL de l'image générée en fonction de l'URL du registre, de l'espace de nom et du nom d'image de la section précédente.
   $TARGET_NAMESPACE	Par défaut	Espace de nom Kubernetes où est envoyée l'application.
   $INGRESS_SUBDOMAIN	secure-file-stora-123456.us-south.containers.appdomain.cloud	Extrait de la page de présentation du cluster ou de ibmcloud ks cluster get --cluster <your-cluster-name>.
   $INGRESS_SECRET	secure-file-stora-123456	Procédez à l'extraction avec ibmcloud ks cluster get --cluster <your-cluster-name>.
   $BASENAME	secure-file-storage	Préfixe utilisé pour identifier des ressources.

4. Copiez credentials.template.env vers credentials.env:

   cp credentials.template.env credentials.env
   

5. Editez credentials.env et remplissez les espaces avec les valeurs suivantes :

   • le noeud final régional du service Object Storage, le nom du compartiment, les données d'identification créées pour le service Object Storage
   • les informations d'identification pour secure-file-storage-cloudant,
   • et les données d'identification pour App ID. La variable appid_redirect_uris est une liste d'URI de redirection séparés par des virgules, comme indiqué ci-dessus.

   Lorsque vous utilisez Cloud Shell, vous pouvez vous servir de nano credentials.env pour éditer le fichier.

Déploiement dans le cluster

1. Accédez à votre cluster comme décrit dans les instructions Se connecter via CLI accessible depuis le menu Actions... de votre page de présentation de la console.

   ibmcloud ks cluster config --cluster $MYCLUSTER --admin
   

2. Vérifiez qu'un secret Ingress est disponible dans votre espace de nom cible. Si ce n'est pas le cas, vous devez le créer.

   ibmcloud ks ingress secret ls -c $MYCLUSTER
   

   Si le secret Ingress possède un nom de ressource de cloud, utilisez son nom et son nom de ressource de cloud pour créer un secret dans votre espace de nom cible:

   ibmcloud ks ingress secret create -c $MYCLUSTER -n $TARGET_NAMESPACE --cert-crn <crn-shown-in-the-output-above> --name <secret-name-shown-above>
   

   Si le secret Ingress n'a pas de CRN, utilisez la commande suivante pour le recréer dans l'espace de nom cible:

   kubectl get secret $INGRESS_SECRET --namespace=ibm-cert-store -oyaml | grep -v '^\s*namespace:\s'| kubectl apply  --namespace=$TARGET_NAMESPACE -f -
   

3. Créez le secret utilisé par l'application pour obtenir les données d'identification du service :

   kubectl create secret generic secure-file-storage-credentials --from-env-file=credentials.env
   

4. Déployez l'application.

   kubectl apply -f secure-file-storage.yaml
   

5. Déployez le routage réseau (un service ClusterIP et Ingress) pour votre application afin de le rendre accessible à partir de l'Internet public.

   kubectl apply -f secure-file-storage-ingress.yaml
   

Provisionner les instances CIS et Secrets Manager

• Une instance IBM Cloud Internet Services est requise. Utilisez une instance existante ou créez-en une à partir de cette entrée de catalogue. Un certain nombre de plans de tarification sont disponibles, y compris un essai gratuit. Le processus de mise à disposition d'un nouveau CIS explique comment configurer votre registre DNS existant (peut-être pas dans IBM Cloud) pour utiliser les serveurs de noms de domaine fournis par CIS. Exportez le domaine personnalisé dans la fenêtre shell:

  export MYDOMAIN=example.com
  

• Une instance de Secrets Manager est nécessaire. Utilisez une instance existante ou créez-en une nouvelle décrite dans Création d'une instance de service Secrets Manager. Si vous créez une nouvelle instance, nommez-la secure-file-storage-sm. Vous pouvez renforcer la sécurité de vos secrets au repos en les intégrant à l'instance Key Protect créée précédemment.

Créez une entrée DNS dans l'instance CIS en utilisant votre sous-domaine Ingress de cluster Kubernetes comme alias.

1. Ouvrez l'instance de service CIS. Vous pouvez la trouver dans la Liste de ressources.
2. Cliquez sur l'onglet Fiabilité à gauche.
3. Cliquez sur l'onglet DNS en haut.
4. Faites défiler vers le bas jusqu'à la section Enregistrements DNS et cliquez sur Ajouter pour créer un nouvel enregistrement:
   1. Type : CNAME
   2. Nom: secure-file-storage
   3. Alias: Sous-domaine Ingress de votre cluster. Vous pouvez obtenir la valeur correcte dans le shell en exécutant la commande suivante:

      echo $INGRESS_SUBDOMAIN
      

   4. Cliquez sur Ajouter pour ajouter le nouvel enregistrement.

Connectez l'instance Secrets Manager à Let's Encrypt.

1. Un compte ACME Let's Encrypt et le fichier .pem associé sont requis. Utilisez un fichier existant ou créez-en un:

   1. Installez l'outil acme-account-creation-tool. Création d'un compte Let's Encrypt ACME contient des instructions et un lien vers l'outil de création.
   2. Exécutez acme-account-creation-tool pour créer un compte spécifique pour cet exemple secure-file-storage. Voici un exemple:

      $ ./acme-account-creation-tool-darwin-amd64 -e YOUREMAIL -o secure-file-storage.example.com -d letsencrypt-prod
      INFO[2022-12-28T13:30:00-08:00] Registering a new account with the CA
      INFO[2022-12-28T13:30:00-08:00] Account information written to file : secure-file-storage.example.com-account-info.json
      INFO[2022-12-28T13:30:00-08:00] Private key written to file : secure-file-storage.example.com-private-key.pem
      
      Account Info
      {
         "email": "YOUREMAIL",
         "registration_uri": "https://acme-v02.api.letsencrypt.org/acme/acct/891897087",
         "registration_body": {
            "status": "valid",
            "contact": [
               "mailto:YOUREMAIL"
            ]
         }
      }%
      $ ls
      secure-file-storage.example.com-account-info.json secure-file-storage.example.com-private-key.pem
      

2. Connectez le compte Let's Encrypt ACME à l'instance Secrets Manager. Voir Ajout d'une configuration d'autorité de certification dans l'interface utilisateur pour plus de détails:

   1. Ouvrez l'instance de service Secrets Manager qui se trouve dans la Liste de ressources.
   2. Ouvrez les moteurs de secrets sur la gauche et cliquez sur Certificats publics.
   3. Sous Autorités de certification, cliquez sur Ajouter.
   4. Nom: LetsEncrypt et Autorité de certification: Let's Encrypt.
   5. Sous Sélectionner un fichier, cliquez sur Ajouter un fichier et choisissez le fichier secure-file-storage.example.com-private-key.pem ou votre fichier .pem existant dans le sélecteur.
   6. Cliquez sur Ajouter.

3. Connectez CIS en tant que fournisseur DNS:

   1. Sous Fournisseurs DNS, cliquez sur Ajouter.
   2. Name cis et choisissez Cloud Internet Services dans la liste déroulante.
   3. Cliquez sur Suivant.
   4. Dans l'onglet Autorisation, choisissez l'instance CIS.
   5. Cliquez sur Ajouter.

4. Commandez un certificat sur Secrets Manager

   1. Ouvrez le service Secrets Manager et sélectionnez Secrets à gauche.
   2. Cliquez sur Ajouter.
   3. Cliquez sur Public certificate, puis sur Next.
   4. Remplissez le formulaire :
      • Nom - entrez un nom que vous pouvez mémoriser facilement.
      • Description - entrez une description de votre choix.
      • Cliquez sur Suivant.
      • Sous Autorité de certification , sélectionnez votre moteur d'autorité de certification Let's Encrypt configuré.
      • Sous Algorithme de clé, choisissez votre algorithme préféré.
      • Certificats de bundle - laisser désactivé
      • Rotation automatique des certificats - - laisser désactivé
      • Sous Fournisseur DNS, sélectionnez votre instance de fournisseur DNS configurée
      • Cliquez sur Sélectionner des domaines, cochez Sélectionner avec le caractère générique et laissez le domaine lui-même désélectionné, puis cliquez sur Terminé.
   5. Cliquez sur Suivant.
   6. Passez en revue vos sélections et cliquez sur Ajouter.
   7. Cliquez sur le menu des trois points verticaux pour le secret actif, choisissez Détails et copiez le nom de ressource de cloud ( CRN ) dans la boîte de dialogue. Exportez la valeur dans le shell. Il devrait être similaire à ceci :

      export PUBLIC_CERT_CRN=crn:v1:bluemix:public:secrets-manager:eu-de:a/abc123abc123abc123abc123:99999999-9999-9999-9999-999999999999:secret:aaaaaaaa-9999-9999-aaaa-123456781234
      

5. Ce tutoriel optimise l'autorisation de service à service pour permettre au cluster d'accéder à l'instance de service Secrets Manager et à ses secrets gérés.

   1. Accédez à la page Autorisations IAM et cliquez sur Créer pour ajouter une nouvelle autorisation.
   2. Sous Source, sélectionnez Kubernetes Service, puis cliquez pour sélectionner Ressources spécifiques. Ensuite, pour Instance de service source, choisissez votre cluster.
   3. Sous Cible, sélectionnez Secrets Manager, puis, en utilisant Ressources spécifiques et ID d'instance, sélectionnez votre instance de service Secrets Manager.
   4. Enfin, sous Rôles, sélectionnez Gestionnaire et accordez l'autorisation en cliquant sur Autoriser.

6. Vérifiez que les valeurs de MYDOMAIN et de PUBLIC_CERT_CRN ont été exportées dans l'environnement:

   echo MYDOMAIN $(printenv MYDOMAIN)
   echo PUBLIC_CERT_CRN $(printenv PUBLIC_CERT_CRN)
   

7. Créez un secret Ingress à partir du nouveau certificat TLS.

   ibmcloud ks ingress secret create --name secure-file-storage-certificate --cluster $MYCLUSTER --cert-crn $PUBLIC_CERT_CRN --namespace $TARGET_NAMESPACE
   

8. Exécutez la commande ci-dessous pour générer de nouvelles copies des fichiers de configuration. Il utilisera toutes les variables d'environnement que vous avez configurées avec les fichiers modèles secure-file-storage.template.yaml et secure-file-storage.template-ingress.yaml. Vous pouvez commencer par enregistrer la version actuelle:

   cp secure-file-storage.yaml /tmp
   cp secure-file-storage-ingress.yaml /tmp
   

   ./generate_yaml.sh
   

9. Appliquez les changements de configuration à votre cluster :

   kubectl apply -f secure-file-storage-ingress.yaml
   

10. Revenez au navigateur. Dans la liste des ressources IBM Cloud, localisez le service App ID créé et configuré précédemment et lancez son tableau de bord de gestion.

• Cliquez sur Gérer l'authentification sur la gauche et sur l'onglet Paramètres d'authentification dans la partie supérieure.
• Dans le formulaire Ajouter des URL de redirection Web, ajoutez https://secure-file-storage.example.com/redirect_uri comme une autre URL.

11. Tout devrait à présent être installé. Testez l'application en accédant à votre domaine personnalisé configuré https://secure-file-storage.<your custom domain>.