Decidi dove distribuire l'applicazione

Il ubicazione e il gruppo di risorse di tutte le risorse che crei devono corrispondere al ubicazione e gruppo di risorse del cluster Kubernetes.

Acquisisci le attività dell'utente e dell'applicazione

Il IBM Cloud Activity Tracker Event Routing deve essere configurato per instradare gli eventi di auditing a un'istanza di destinazione IBM Cloud Logs. Instradare gli eventi di audit come descritto nella sezione Configurazione di un target IBM Logs, se non è ancora stato configurato nel proprio account.

Alla fine di questa esercitazione, riesaminerai gli eventi che sono stati generati completando i passi dell'esercitazione.

Crea un cluster per l'applicazione

IBM Cloud Kubernetes Service e Red Hat OpenShift on IBM Cloud forniscono ambienti per distribuire applicazioni altamente disponibili nei contenitori eseguiti nei cluster Kubernetes.

Saltate questa sezione se avete un cluster Kubernetes esistente che volete riutilizzare con questa esercitazione; nel resto di questa esercitazione il nome del cluster è indicato come secure-file-storage-cluster, basta sostituirlo con il nome del vostro cluster.

Per questa esercitazione, è sufficiente un cluster minimo con una (1) zona, un (1) nodo di lavoro e la più piccola dimensione disponibile (Flavor). Per creare il cluster IBM Cloud Kubernetes Service, seguire i passaggi per Creare cluster VPC o Creare cluster classici. Per creare il cluster Red Hat OpenShift on IBM Cloud, seguire la procedura per Creare cluster VPC o Creare cluster classici.

Utilizza le tue chiavi di crittografia

Key Protect ti aiuta a eseguire il provisioning delle chiavi crittografate per le applicazioni nei servizi IBM Cloud. Key Protect e IBM Cloud Object Storage collaborano per proteggere i tuoi dati inattivi. In questa sezione, creerai una chiave root per il bucket di archiviazione.

1. Creare un'istanza di Key Protect.
   1. Selezionare una località.
   2. Impostare il nome su secure-file-storage-kp.
   3. Selezionate il gruppo di risorse in cui creare l'istanza del servizio e fate clic su Crea.
2. In corrispondenza di Chiavi, fare clic sul pulsante Aggiungi per creare una nuova chiave principale. Verrà utilizzato per crittografare il bucket di archiviazione e i dati di App ID.
   1. Imposta il tipo di chiave su Root key.
   2. Impostare il nome su secure-file-storage-root-enckey.
   3. Quindi Aggiungi chiave.

Porta la tua chiave personale (BYOK) importando una chiave root esistente.

Configura l'archiviazione per i file utente

L'applicazione di condivisione dei file salva i file nel bucket Object Storage. La relazione tra file e utenti è memorizzata come metadati nel database IBM Cloudant. In questa sezione, creerai e configurerai questi servizi.

Un database associa le relazioni tra gli utenti e i loro file

Il database IBM Cloudant conterrà i metadati relativi a tutti i file caricati dall'applicazione.

1. Crea un'istanza del servizio IBM Cloudant.
   1. Seleziona Cloudant come offerta.
   2. Seleziona un ambiente Multitenant e una regione **** uguali ai precedenti servizi.
   3. Impostare il nome su secure-file-storage-cloudant.
   4. Utilizza lo stesso gruppo di risorse che hai usato per i servizi precedenti.
   5. Imposta il Metodo di autenticazione su IAM.
   6. Fai clic su Crea.
2. Di nuovo all'elenco risorse (Resource List), individua il servizio appena creato e fai clic su di esso. Nota: è necessario attendere che lo stato venga modificato in Attivo.
   1. In Service credentials, crea una nuova credenziale.
   2. Impostare il nome su secure-file-storage-cloudant-acckey.
   3. Per Ruolo selezionare Gestore.
   4. Mantenere i valori predefiniti per i campi rimanenti.
   5. Fai clic su Aggiungi.
3. Espandi le credenziali appena create e prendi nota dei valori. Ne avrai bisogno in seguito.
4. In Gestisci, fare clic su Avvia dashboard.
5. Fare clic su Crea database per creare un database non partizionato denominato secure-file-storage-metadata.

Autentica gli utenti

Con App ID, puoi proteggere le risorse e aggiungere l'autenticazione alle tue applicazioni. Come alternativa non utilizzata in questa esercitazione, App ID può integrare con Kubernetes Service per autenticare gli utenti che accedono alle applicazioni distribuite nel cluster.

Prima di creare il servizio App ID, concedi l'accesso al servizio a Key Protect. Devi essere il proprietario dell'account o un amministratore per l'istanza di Key Protect con cui stai lavorando. Devi anche avere almeno l'accesso di visualizzatore per il servizio App ID.

1. Vai a Manage> Access IAM> Authorizations e fai clic su Create.
2. Seleziona il servizio App ID come tuo servizio di origine.
3. Seleziona Key Protect come servizio di destinazione.
4. Passa a Risorse basate sugli attributi selezionati, seleziona ID istanza, seleziona l'istanza del servizio Key Protect creata precedentemente.
5. Assegna il ruolo Reader in Accesso al servizio.
6. Fare clic su Autorizza per confermare l'autorizzazione delegata.

Ora, creare un'istanza del servizio App ID.

1. Passa alla pagina di creazione del servizio App ID.

   1. Utilizzare la stessa ubicazione utilizzata per i precedenti servizi.
   2. Seleziona Graduated tier come piano.
   3. Imposta il nome del servizio su secure-file-storage-appid.
   4. Seleziona un gruppo di risorse uguale ai precedenti servizi.
   5. Seleziona il Key Protect service name autorizzato e root key dai rispettivi menu a discesa.
   6. Fai clic su Crea.

2. In Manage Authentication, nella scheda Authentication Settings, aggiungi un URL di reindirizzamento web che punta al dominio che utilizzerai per l'applicazione. Il formato dell' URL è https://secure-file-storage.<Ingress subdomain>/redirect_uri. Ad esempio:

   • con il dominio secondario in ingresso: mycluster-1234-d123456789.us-south.containers.appdomain.cloud
   • l' URL di reindirizzamento è https://secure-file-storage.mycluster-1234-d123456789.us-south.containers.appdomain.cloud/redirect_uri.

   App ID richiede che l' URL del reindirizzamento web sia https o http. È possibile visualizzare il sottodominio Ingress nella dashboard del cluster o con ibmcloud ks cluster get --cluster <cluster-name>.

3. Nella stessa scheda sotto Authentication Settings sotto Runtime Activity, abilita l'acquisizione degli eventi in IBM Cloud Activity Tracker Event Routing.

4. Crea credenziali del servizio:

   1. In Service credentials, crea una nuova credenziale.
   2. Impostare il nome su secure-file-storage-appid-acckey.
   3. Per Ruolo selezionare Gestore.
   4. Mantenere i valori predefiniti per i campi rimanenti.
   5. Fai clic su Aggiungi.

Ti consigliamo di personalizzare i provider di identità utilizzati e l'esperienza di gestione degli accessi e degli utenti nel dashboard App ID. Questa esercitazione utilizza le impostazioni predefinite per semplicità. Per un ambiente di produzione, considera l'utilizzo dell'autenticazione a più fattori (MFA) e delle regole avanzate per le password.

Ottieni il codice

1. Ottieni il codice dell'applicazione:

   git clone https://github.com/IBM-Cloud/secure-file-storage
   

2. Andare alla directory secure-file-storage/app:

   cd secure-file-storage/app
   

Compilare le credenziali e le impostazioni di configurazione

1. Se non si è connessi, utilizzare ibmcloud login o ibmcloud login --sso per accedere in modo interattivo. Specifica la tua regione IBM Cloud e il gruppo di risorse.

   ibmcloud target -r <region> -g <resource_group>
   

   Puoi trovare ulteriori comandi CLI nell'argomento Comandi CLI generali IBM Cloud(ibmcloud) nella documentazione.

2. Impostare le variabili di ambiente richieste per la creazione dei file di configurazione nel passo successivo.

   1. Iniziare impostando il nome cluster sostituendo <YOUR_CLUSTER_NAME>:

      export MYCLUSTER=<YOUR_CLUSTER_NAME>
      

   2. Imposta il dominio secondario di ingresso utilizzando i comandi ibmcloud ks :

      export INGRESS_SUBDOMAIN=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressHostname) // .ingress.hostname')
      

   3. Imposta il segreto di ingresso utilizzando i comandi ibmcloud ks :

      export INGRESS_SECRET=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressSecretName) // .ingress.secretName')
      

   4. Imposta il nome del repository di immagini sull'immagine precreata icr.io/solution-tutorials/tutorial-cloud-e2e-security:

      export IMAGE_REPOSITORY=icr.io/solution-tutorials/tutorial-cloud-e2e-security
      

   5. Impostare ulteriori variabili di ambiente sostituendo i valori predefiniti:

      export BASENAME=secure-file-storage
      

   6. Impostare lo spazio dei nomi da utilizzare:

      export TARGET_NAMESPACE=default
      

   7. Facoltativamente, imposta la variabile di ambiente $IMAGE_PULL_SECRET solo se stai utilizzando un altro spazio dei nomi Kubernetes rispetto allo spazio dei nomi default e a IBM Cloud Container Registry per l'immagine. Ciò richiede un'ulteriore configurazione di Kubernetes (ad esempio la creazione di un segreto di registro del contenitore nel nuovo spazio dei nomi).

3. Eseguire il seguente comando per generare secure-file-storage.yaml e secure-file-storage-ingress.yaml. Utilizzerà le variabili di ambiente appena configurate insieme ai file di modello secure-file-storage.template.yaml e secure-file-storage-ingress.template.yaml.

   ./generate_yaml.sh
   

   Ad esempio, supponendo che l'applicazione sia distribuita nello spazio dei nomi predefinito Kubernetes:

   Variabili di ambiente utilizzate dallo script

   Variabile	Valore	Descrizione
   $IMAGE_PULL_SECRET	Non definire quando si utilizza l'immagine fornita	Un segreto per accedere al registro.
   $IMAGE_REPOSITORY	icr.io/solution-tutorials/tutorial-cloud-e2e-security o icr.io/namespace/image-name	L'identificatore URL per l'immagine costruita, basato sull' URL del registro, sullo spazio dei nomi e sul nome dell'immagine della sezione precedente.
   $TARGET_NAMESPACE	predefinito	Lo spazio dei nomi Kubernetes in cui verrà eseguito il push dell'applicazione.
   $INGRESS_SUBDOMAIN	secure-file-stora-123456.us-south.containers.appdomain.cloud	Recuperare dalla pagina di panoramica del cluster o con ibmcloud ks cluster get --cluster <your-cluster-name>.
   $INGRESS_SECRET	secure-file-stora-123456	Richiamare con ibmcloud ks cluster get --cluster <your-cluster-name>.
   $BASENAME	secure-file-storage	Il prefisso utilizzato per identificare le risorse.

4. Copia credentials.template.env in credentials.env:

   cp credentials.template.env credentials.env
   

5. Modifica credentials.env e riempi gli spazi con questi valori:

   • l'endpoint regionale del servizio Object Storage, il nome del bucket, le credenziali create per il servizio Object Storage
   • le credenziali per secure-file-storage-cloudant,
   • e le credenziali per App ID. La variabile appid_redirect_uris è un elenco separato da virgole di URI di reindirizzamento come descritto sopra.

   Quando utilizzi Cloud Shell, puoi usare nano credentials.env per modificare il file.

Distribuisci al cluster

1. Ottieni l'accesso al tuo cluster come descritto nelle istruzioni Connect via CLI accessibili dal menu Actions ... nella tua pagina di panoramica della console.

   ibmcloud ks cluster config --cluster $MYCLUSTER --admin
   

2. Verifica che un segreto Ingress sia disponibile nello spazio dei nomi di destinazione. In caso contrario, è necessario crearlo.

   ibmcloud ks ingress secret ls -c $MYCLUSTER
   

   Se il segreto Ingress ha un CRN, utilizzane il nome e il CRN per creare un segreto nel tuo spazio dei nomi di destinazione:

   ibmcloud ks ingress secret create -c $MYCLUSTER -n $TARGET_NAMESPACE --cert-crn <crn-shown-in-the-output-above> --name <secret-name-shown-above>
   

   Se il segreto Ingress non ha un CRN, utilizza il seguente comando per ricrearlo nello spazio dei nomi di destinazione:

   kubectl get secret $INGRESS_SECRET --namespace=ibm-cert-store -oyaml | grep -v '^\s*namespace:\s'| kubectl apply  --namespace=$TARGET_NAMESPACE -f -
   

3. Crea il segreto utilizzato dall'applicazione per ottenere le credenziali del servizio:

   kubectl create secret generic secure-file-storage-credentials --from-env-file=credentials.env
   

4. Distribuisci l'applicazione.

   kubectl apply -f secure-file-storage.yaml
   

5. Distribuisci l'instradamento di rete (un servizio ClusterIP e Ingress) per la tua applicazione per renderla accessibile da Internet pubblico.

   kubectl apply -f secure-file-storage-ingress.yaml
   

Provvedere alle istanze CIS e Secrets Manager

• È richiesta un'istanza IBM Cloud Internet Services. Utilizzare un'istanza esistente o crearne una da questa voce di catalogo. Sono disponibili diversi piani dei prezzi, inclusa una versione di prova gratuita. Il processo di provisioning di un nuovo CIS spiegherà come configurare il tuo registro DNS esistente (forse non in IBM Cloud) per utilizzare i server dei nomi di dominio forniti da CIS. Esportare il dominio personalizzato nella finestra della shell:

  export MYDOMAIN=example.com
  

• È necessaria un'istanza di Secrets Manager. Utilizza un'istanza esistente o creane una nuova descritta in Creazione di una istanza del servizio Secrets Manager. Se si crea una nuova istanza, denominarla secure - file - storage - sm. Puoi migliorare la sicurezza dei tuoi segreti inattivi integrandoli con l'istanza Key Protect creata in precedenza.

Crea una voce DNS nell'istanza CIS utilizzando il tuo cluster Kubernetes Dominio secondario Ingress come alias.

1. Apri l'istanza del servizio CIS, puoi trovarlo nell'Elenco risorse.
2. Fare clic sulla scheda Affidabilità sulla sinistra.
3. Fare clic sulla scheda DNS in alto.
4. Scorrere fino alla sezione Record DNS e fare clic su Aggiungi per creare un nuovo record:
   1. Tipo: CNAME
   2. Nome: secure - file - storage
   3. Alias: il dominio secondario Ingress del tuo cluster. È possibile ottenere il valore corretto nella shell eseguendo il seguente comando:

      echo $INGRESS_SUBDOMAIN
      

   4. Fare clic su Aggiungi per aggiungere il nuovo record.

Connetti l'istanza Secrets Manager a Let' s Encrypt.

1. È richiesto un account ACME Let' s Encrypt e il file .pem associato. Utilizzare uno esistente o crearne uno:

   1. Installa acme - account - creation - tool. Creazione di un account Let' s Encrypt ACME contiene istruzioni e un link allo strumento di creazione.
   2. Esegui acme - account - creation - tool per creare un account specifico per questo esempio di archiviazione file sicura. Di seguito è riportato un esempio:

      $ ./acme-account-creation-tool-darwin-amd64 -e YOUREMAIL -o secure-file-storage.example.com -d letsencrypt-prod
      INFO[2022-12-28T13:30:00-08:00] Registering a new account with the CA
      INFO[2022-12-28T13:30:00-08:00] Account information written to file : secure-file-storage.example.com-account-info.json
      INFO[2022-12-28T13:30:00-08:00] Private key written to file : secure-file-storage.example.com-private-key.pem
      
      Account Info
      {
         "email": "YOUREMAIL",
         "registration_uri": "https://acme-v02.api.letsencrypt.org/acme/acct/891897087",
         "registration_body": {
            "status": "valid",
            "contact": [
               "mailto:YOUREMAIL"
            ]
         }
      }%
      $ ls
      secure-file-storage.example.com-account-info.json secure-file-storage.example.com-private-key.pem
      

2. Connetti l'account Let' s Encrypt ACME all'istanza Secrets Manager. Consultare Aggiunta di una configurazione dell'autorità di certificazione nell'interfaccia utente per ulteriori dettagli:

   1. Apri l'istanza del servizio Secrets Manager, puoi trovarla nell'Elenco risorse.
   2. Aprire i motori dei segreti sulla sinistra e fare clic su Certificati pubblici.
   3. In Autorità di certificazione fare clic su Aggiungi.
   4. Nome: LetsEncrypt e Certificate Authority: Lets Encrypt.
   5. In Seleziona file fare clic su Aggiungi file e scegliere il file secure-file-storage.example.com-private-key.pem o il file .pem esistente dal programma di selezione.
   6. Fai clic su Aggiungi.

3. Connetti CIS come provider DNS:

   1. In Provider DNS, fare clic su Aggiungi.
   2. Nome e scegli Cloud Internet Services dall'elenco a discesa.
   3. Fai clic su Next.
   4. Nella scheda Autorizzazione scegli l'istanza CIS.
   5. Fai clic su Aggiungi.

4. Ordina un certificato in Secrets Manager

   1. Apri il servizio Secrets Manager e seleziona Secrets sulla sinistra.
   2. Fai clic su Aggiungi.
   3. Fare clic su Certificato pubblico e fare clic su Avanti.
   4. Completa il modulo:
      • Nome- immettere un nome che è possibile ricordare.
      • Descrizione- immettere una descrizione a scelta.
      • Fare clic su Avanti.
      • In Autorità di certificazione selezionare il motore dell'autorità di certificazione Let' s Encrypt configurato.
      • In Algoritmo chiave, selezionare l'algoritmo preferito,
      • Certificati bundle- lascia fuori
      • Rotazione automatica dei certificati- lasciare disattivato
      • In Provider DNS selezionare l'istanza del provider DNS configurato
      • Fare clic su Seleziona domini per selezionare Seleziona con carattere jolly e lasciare il dominio non selezionato e fare clic su Fine.
   5. Fai clic su Next.
   6. Rivedere le selezioni e fare clic su Aggiungi.
   7. Fai clic sul menu a tre punti verticali per il segreto attivo e scegli Dettagli e copia il CRN dal dialogo. Esportare il valore nella shell. Il risultato è simile a quanto mostrato di seguito:

      export PUBLIC_CERT_CRN=crn:v1:bluemix:public:secrets-manager:eu-de:a/abc123abc123abc123abc123:99999999-9999-9999-9999-999999999999:secret:aaaaaaaa-9999-9999-aaaa-123456781234
      

5. Questa esercitazione sfrutta l'autorizzazione del servizio per fornire al cluster l'accesso all'istanza del servizio Secrets Manager e ai relativi segreti gestiti.

   1. Vai alla pagina Autorizzazioni IAM e fai clic su Crea per aggiungere una nuova autorizzazione.
   2. In Source seleziona Kubernetes Service, quindi fai clic su Specific resources. Quindi, per l'istanza del servizio di origine, scegli il cluster.
   3. In Target seleziona Secrets Manager, quindi, andando con Risorse specifiche e ID istanza, seleziona la tua istanza del servizio Secrets Manager.
   4. Infine, in Ruoli selezionare Gestore e concedere l'autorizzazione facendo clic su Autorizza.

6. Verificare che i valori per MYDOMAIN e PUBLIC_CERT_CRN siano stati esportati nell'ambiente:

   echo MYDOMAIN $(printenv MYDOMAIN)
   echo PUBLIC_CERT_CRN $(printenv PUBLIC_CERT_CRN)
   

7. Crea un segreto Ingress dal nuovo certificato TLS.

   ibmcloud ks ingress secret create --name secure-file-storage-certificate --cluster $MYCLUSTER --cert-crn $PUBLIC_CERT_CRN --namespace $TARGET_NAMESPACE
   

8. Eseguire il seguente comando per creare nuove copie dei file di configurazione. Verranno utilizzate tutte le variabili di ambiente configurate insieme ai file di modello secure-file-storage.template.yaml e secure-file-storage.template-ingress.yaml. È possibile salvare prima la versione corrente:

   cp secure-file-storage.yaml /tmp
   cp secure-file-storage-ingress.yaml /tmp
   

   ./generate_yaml.sh
   

9. Applicare le modifiche alla configurazione del cluster:

   kubectl apply -f secure-file-storage-ingress.yaml
   

10. Ritorna al browser. Nell'elenco delle risorse IBM Cloud, individua il servizio App ID precedentemente creato e configurato e avvia il suo dashboard di gestione.

• Fare clic su Gestisci autenticazione sulla sinistra e sulla scheda Impostazioni autenticazione nella parte superiore.
• Nel modulo Aggiungi URL di reindirizzamento web aggiungere https://secure-file-storage.example.com/redirect_uri come un altro URL.

11. Adesso dovrebbe essere tutto pronto. Testate l'applicazione accedendo al dominio personalizzato configurato https://secure-file-storage.<your custom domain>.