アプリケーションのデプロイ先の決定

作成するすべてのリソースの ロケーション および リソース・グループ は、 Kubernetes クラスターの ロケーション および リソース・グループ と一致している必要があります。

ユーザーおよびアプリケーションのアクティビティーの収集

The IBM Cloud Activity Tracker Event Routing must be configured to route auditing events to a IBM Cloud Logs target instance. アカウントで現在構成されていない場合は、IBMLogs ターゲットの構成 で説明するように監査イベントをルーティングします。

このチュートリアルの最後に、チュートリアルのステップを完了して生成されたイベントをレビューします。

アプリケーション用のクラスターの作成

IBM Cloud Kubernetes Service および Red Hat OpenShift on IBM Cloud は、 Kubernetes クラスターで実行されるコンテナーに高可用性アプリをデプロイするための環境を提供します。

このチュートリアルで再利用したい既存の Kubernetes クラスターをお持ちの場合は、このセクションをスキップしてください。このチュートリアルの残りの部分では、クラスター名は 「secure-file-storage-cluster」 として参照されます。ご自身のクラスター名に置き換えてください。

このチュートリアルでは、ゾーン 1 つ、ワーカー・ノード 1 つ、提供されている最小サイズ ( フレーバー ) で構成される最小クラスターで十分です。 IBM Cloud Kubernetes Serviceクラスタを作成するには、VPCクラスタの作成 または クラシッククラスタの作成 のいずれかの手順に従ってください。 Red Hat OpenShift on IBM Cloudクラスタを作成するには、VPCクラスタの作成 または クラシッククラスタの作成 のいずれかの手順に従ってください。

自社所有の暗号鍵の使用

Key Protect は、IBM Cloud サービス全体でアプリの暗号鍵をプロビジョンするのに役立ちます。Key Protect および IBM Cloud Object Storage は、保存データを保護するために連携します。 このセクションでは、ストレージ・バケット用のルート・キーを 1 つ作成します。

1. Key Protectのインスタンスを作成します。
   1. ロケーション を選択します。
   2. 名前を secure-file-storage-kp に設定します。
   3. サービス・インスタンスを作成する リソース・グループ を選択し、「作成」 をクリックします。
2. 「鍵」 で 「追加」 ボタンをクリックして、新しいルート鍵を作成します。 この鍵は、ストレージ・バケットおよび App ID データの暗号化に使用します。
   1. 鍵タイプを 「ルート鍵」 に設定します。
   2. 名前を secure-file-storage-root-enckey に設定します。
   3. 次に、「鍵の追加 (Add key)」 をクリックします。

独自のキーを使用する (BYOK) には、既存のルート・キーをインポートします。

ユーザー・ファイルのストレージのセットアップ

ファイル共有アプリケーションは、 Object Storage バケットにファイルを保存します。 ファイルとユーザーの関係は、 IBM Cloudant データベースのメタデータとして保存されます。 このセクションでは、以下のサービスを作成および構成します。

ユーザーとそのファイルとの間のデータベース・マップ関係

IBM Cloudant データベースには、アプリケーションからアップロードされたすべてのファイルのメタデータが含まれます。

1. IBM Cloudant サービスのインスタンスを作成します。
   1. オファリングとして Cloudant を選択します。
   2. マルチテナント 環境と、前述のサービスと同じ リージョン を選択します。
   3. 名前を secure-file-storage-cloudant に設定します。
   4. 前のサービスと同じ リソース・グループ を使用します。
   5. 認証方式 を 「IAM」 に設定します。
   6. 「作成」 をクリックします。
2. 「リソース・リスト」 に戻り、新しく作成したサービスを見つけてクリックします 注: 状況が「アクティブ」に変わるまで待つ必要があります。
   1. 「サービス資格情報」 で、新規資格情報 を作成します。
   2. 名前を secure-file-storage-cloudant-acckey に設定します。
   3. 「役割」 で 「マネージャー」 を選択します。
   4. その他の項目はデフォルト値のままにしておいてください。
   5. 追加 をクリックします。
3. 新しく作成した資格情報を展開し、値をメモしておきます。 後のステップで必要になります。
4. 「管理」 で、 「ダッシュボードの起動」 をクリックします。
5. 「データベースの作成」 をクリックして、 secure-file-storage-metadata という名前の非分割データベースを作成します。

ユーザー認証

App ID を使用すると、リソースを保護し、アプリケーションに認証を追加できます。 このチュートリアルでは使用しない代わりの方法として、 App ID は、 Kubernetes Service を使用して、クラスターにデプロイされたアプリケーションにアクセスするユーザーを認証することができます。 統合

App ID サービスを作成する前に、Key Protect サービスにサービス・アクセスを付与します。 この作業を行うユーザーは、使用する Key Protect のインスタンスのアカウント所有者または管理者でなければなりません。 App ID サービスに対するビューアー以上のアクセス権限も持っている必要があります。

1. 「管理」>「アクセス (IAM)」>「許可」と移動し、「作成」 をクリックします。
2. サービスを選択し、 App ID サービスをソースサービスとして選択します。
3. ターゲット・サービスとして Key Protect を選択します。
4. 「選択された属性に基づくリソース」 に切り替え、「インスタンス ID」 にチェック・マークを付け、先ほど作成した Key Protect サービス・インスタンスを選択します。
5. サービス・アクセスで 「リーダー」 役割を割り当てます。
6. 「許可」 をクリックし、委任された許可を確認します。

これから、App ID サービスのインスタンスを作成します。

1. サービス作成ページに移動します。 App ID サービス作成ページに移動します。

   1. 前述のサービスで使用したのと同じ ロケーション を使用します。
   2. プランとして 「段階的層」 を選択します。
   3. サービス名を secure-file-storage-appid に設定します。
   4. 前述のサービスと同じ リソース・グループ を選択します。
   5. 許可された Key Protect サービスの 名前 と ルート鍵 を、それぞれのドロップダウンから選択します。
   6. 「作成」 をクリックします。

2. 「認証の管理」 の 「認証設定」 タブで、アプリケーションに使用するドメインを指す Web リダイレクト URL を追加します。 URL の形式は https://secure-file-storage.<Ingress subdomain>/redirect_uri です。 以下に例を示します。

   • 指定する Ingress サブドメイン: mycluster-1234-d123456789.us-south.containers.appdomain.cloud
   • リダイレクト先は URL で、 https://secure-file-storage.mycluster-1234-d123456789.us-south.containers.appdomain.cloud/redirect_uri です。

   App ID ウェブリダイレクトが必要です。 URL https://www.facebook.com/motionpoint または であること。 http Ingressのサブドメインは、クラスタダッシュボードまたは ibmcloud ks cluster get --cluster <cluster-name> で確認できます。

3. 同じタブの**「認証設定」の「ランタイム・アクティビティー」**で、IBM Cloud Activity Tracker Event Routing のイベントの取り込みを有効にします。

4. サービス資格情報を作成します。

   1. 「サービス資格情報」 で、新規資格情報 を作成します。
   2. 名前を secure-file-storage-appid-acckey に設定します。
   3. 「役割」 で 「マネージャー」 を選択します。
   4. その他の項目はデフォルト値のままにしておいてください。
   5. 追加 をクリックします。

App ID ダッシュボードで、使用されている ID プロバイダーとログインおよびユーザー管理エクスペリエンスをカスタマイズする必要があります。 このチュートリアルでは、わかりやすくするためにデフォルトを使用します。 実稼働環境では、多要素認証 (MFA) および高度なパスワード・ルールを使用することを検討してください。

コードを取得する

1. アプリケーションのコードを入手します。

   git clone https://github.com/IBM-Cloud/secure-file-storage
   

2. secure-file-storage/app ディレクトリーに移動します。

   cd secure-file-storage/app
   

構成設定と資格情報を入力してください

1. ログインしていない場合は、 ibmcloud login または ibmcloud login --sso を使用して対話的にログインしてください。 IBM Cloud のリージョンとリソース・グループをターゲットにします。

   ibmcloud target -r <region> -g <resource_group>
   

   その他の CLI コマンドについては、資料の一般的な IBM Cloud CLI (ibmcloud) コマンドのトピックを参照してください。

2. 次のステップで構成ファイルを生成するために必要な環境変数を設定します。

   1. まず、 <YOUR_CLUSTER_NAME> を置き換えてクラスター名を設定します。

      export MYCLUSTER=<YOUR_CLUSTER_NAME>
      

   2. ibmcloud ks コマンドを使用して Ingress サブドメインを設定します。

      export INGRESS_SUBDOMAIN=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressHostname) // .ingress.hostname')
      

   3. ibmcloud ks コマンドを使用して Ingress シークレットを設定します。

      export INGRESS_SECRET=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressSecretName) // .ingress.secretName')
      

   4. イメージ・リポジトリー名を、事前作成されたイメージ icr.io/solution-tutorials/tutorial-cloud-e2e-security に設定します。

      export IMAGE_REPOSITORY=icr.io/solution-tutorials/tutorial-cloud-e2e-security
      

   5. デフォルト値を置き換えて、追加の環境変数を設定します。

      export BASENAME=secure-file-storage
      

   6. 使用する名前空間を設定します。

      export TARGET_NAMESPACE=default
      

   7. default ネームスペースおよび画像の IBM Cloud Container Registry 以外の Kubernetes ネームスペースを使用している場合にのみ、オプションで $IMAGE_PULL_SECRET 環境変数を設定します。 この場合、追加の Kubernetes 構成が必要になります (新しい名前空間でコンテナー・レジストリー・シークレットを作成するなど)。

3. secure-file-storage.yaml と secure-file-storage-ingress.yaml を生成するには、以下のコマンドを実行します。 先ほど設定した環境変数とテンプレートファイル secure-file-storage.template.yaml および secure-file-storage-ingress.template.yaml を一緒に使用します。

   ./generate_yaml.sh
   

   例として、アプリケーションがデフォルトの Kubernetes 名前空間にデプロイされているとします。

   スクリプトによって使用される環境変数

   変数	値	説明
   $IMAGE_PULL_SECRET	提供されたイメージを使用する場合は定義しない	レジストリーにアクセスするためのシークレット。
   $IMAGE_REPOSITORY	icr.io/solution-tutorials/tutorial-cloud-e2e-security または icr.io/namespace/image-name	ビルドされたイメージを指す URL に似た ID。前のセクションのレジストリー URL、名前空間、イメージ名に基づきます。
   $TARGET_NAMESPACE	デフォルト	アプリがプッシュされる Kubernetes 名前空間。
   $INGRESS_SUBDOMAIN	secure-file-stora-123456.us-south.containers.appdomain.cloud	クラスターの概要ページから取得するか、ibmcloud ks cluster get --cluster <your-cluster-name> を使用して取得します。
   $INGRESS_SECRET	secure-file-stora-123456	ibmcloud ks cluster get --cluster <your-cluster-name> を使用して取得します。
   $BASENAME	secure-file-storage	リソースを識別するために使用される接頭部。

4. credentials.template.env を credentials.env にコピーします。

   cp credentials.template.env credentials.env
   

5. credentials.env を編集し、空白に以下の値を入力します。

   • Object Storage サービスのリージョン・エンドポイント、バケット名、Object Storage サービス用に作成された資格情報。
   • secure-file-storage-cloudant の認証情報、
   • および App IDの資格情報。 変数 appid_redirect_uris は、上記で説明したリダイレクト URI のコンマ区切りリストです。

   Cloud Shell を使用している場合、nano credentials.env を使用してファイルを編集できます。

クラスターへのデプロイ

1. 指示に従ってクラスタにアクセスします。コンソール概要ページの 「アクション」メニュー からアクセスできる CLI経由で接続します。

   ibmcloud ks cluster config --cluster $MYCLUSTER --admin
   

2. ターゲット名前空間で Ingress シークレットが使用可能であることを確認します。 そうでない場合は、作成する必要があります。

   ibmcloud ks ingress secret ls -c $MYCLUSTER
   

   Ingress シークレットに CRN がある場合は、その名前と CRN を使用して、ターゲット名前空間にシークレットを作成します。

   ibmcloud ks ingress secret create -c $MYCLUSTER -n $TARGET_NAMESPACE --cert-crn <crn-shown-in-the-output-above> --name <secret-name-shown-above>
   

   Ingress シークレットに CRN がない場合は、以下のコマンドを使用してターゲット名前空間に再作成します。

   kubectl get secret $INGRESS_SECRET --namespace=ibm-cert-store -oyaml | grep -v '^\s*namespace:\s'| kubectl apply  --namespace=$TARGET_NAMESPACE -f -
   

3. アプリケーションがサービス資格情報を取得するために使用するシークレットを作成します。

   kubectl create secret generic secure-file-storage-credentials --from-env-file=credentials.env
   

4. アプリをデプロイします。

   kubectl apply -f secure-file-storage.yaml
   

5. パブリック・インターネットからアクセスできるように、アプリのネットワーク・ルーティング ( ClusterIP サービスと Ingress) をデプロイします。

   kubectl apply -f secure-file-storage-ingress.yaml
   

Provision CISとSecrets Managerインスタンス

• IBM Cloud Internet Services インスタンスが必要です。 既存のインスタンスを使用するか、この カタログ・エントリー からインスタンスを作成します。 無料トライアルなど、いくつかの料金プランをご利用いただけます。 新しい CIS のプロビジョニング・プロセスでは、 CIS提供のドメイン・ネーム・サーバーを使用するために既存の DNS レジストラー ( IBM Cloudにはない可能性があります) を構成する方法について説明します。 シェル・ウィンドウでカスタム・ドメインをエクスポートします。

  export MYDOMAIN=example.com
  

• Secrets Managerのインスタンスが必要です。 既存のインスタンスを使用するか、 Secrets Manager サービス・インスタンスの作成 で説明されている新しいインスタンスを作成します。 新規インスタンスを作成する場合は、 secure-file-storage-sm という名前を付けます。 先ほど作成した Key Protect インスタンスと統合することで、保管中の秘密のセキュリティを強化することができます。

Kubernetes クラスター Ingress サブドメイン を別名として使用して、 CIS インスタンスに DNS エントリーを作成します。

1. CIS サービス・インスタンスを開きます。これは リソース・リスト にあります。
2. 左側の 「信頼性」タブをクリックします。
3. 上部の DNSタブをクリックします。
4. 「DNS レコード」セクションまでスクロールダウンし、 「追加」 をクリックして新規レコードを作成します。
   1. タイプ: CNAME
   2. 名前: secure-file-storage
   3. 別名: クラスターの 「Ingress サブドメイン (Ingress subdomain)」。 シェルで正しい値を取得するには、次のコマンドを実行します。

      echo $INGRESS_SUBDOMAIN
      

   4. 「追加」 をクリックして、新規レコードを追加します。

Secrets Manager インスタンスを Let 's Encrypt に接続します。

1. Let 's Encrypt ACME アカウントおよび関連する .pem ファイルが必要です。 既存のものを使用するか、 作成 します。

   1. acme-account-creation-tool をインストールします。 Let 's Encrypt ACME アカウントの作成 には、手順と作成ツールへのリンクが含まれています。
   2. acme-account-creation-tool を実行して、この secure-file-storage の例に特化したアカウントを作成します。 以下に例を示します。

      $ ./acme-account-creation-tool-darwin-amd64 -e YOUREMAIL -o secure-file-storage.example.com -d letsencrypt-prod
      INFO[2022-12-28T13:30:00-08:00] Registering a new account with the CA
      INFO[2022-12-28T13:30:00-08:00] Account information written to file : secure-file-storage.example.com-account-info.json
      INFO[2022-12-28T13:30:00-08:00] Private key written to file : secure-file-storage.example.com-private-key.pem
      
      Account Info
      {
         "email": "YOUREMAIL",
         "registration_uri": "https://acme-v02.api.letsencrypt.org/acme/acct/891897087",
         "registration_body": {
            "status": "valid",
            "contact": [
               "mailto:YOUREMAIL"
            ]
         }
      }%
      $ ls
      secure-file-storage.example.com-account-info.json secure-file-storage.example.com-private-key.pem
      

2. Let 's Encrypt ACME アカウントを Secrets Manager インスタンスに接続します。 詳しくは、 UI での認証局構成の追加 を参照してください。

   1. Secrets Manager サービス・インスタンスを開きます。これは リソース・リスト にあります。
   2. 左側の 「シークレット・エンジン」 を開き、 「パブリック証明書」 をクリックします。
   3. 「認証局」 の下の 「追加」 をクリックします。
   4. 名前: LetsEncrypt および 認証局: Let 's Encrypt。
   5. 「ファイルの選択」 で 「ファイルの追加」 をクリックし、 secure-file-storage.example.com-private-key.pem または選択機能から既存の .pem ファイルを選択します。
   6. 追加 をクリックします。

3. CIS を DNS プロバイダーとして接続します。

   1. 「DNS プロバイダー」の下の 「追加」 をクリックします。
   2. 名前 cis を選択し、ドロップダウンから Cloud Internet Services を選択します。
   3. 次へ をクリックします。
   4. 「許可」 タブで、 CIS インスタンスを選択します。
   5. 追加 をクリックします。

4. Secrets Manager での証明書の注文

   1. Secrets Manager サービスを開き、左側の シークレット を選択します。
   2. 追加 をクリックします。
   3. 「パブリック証明書」 をクリックし、 「次へ」 をクリックします。
   4. 次のフォームに入力します。
      • 名前 - 覚えておくことができる名前を入力します。
      • 説明 - 任意の説明を入力します。
      • 「次へ」 をクリックします。
      • 認証局 の下で、構成済みの Let's Encrypt 認証局エンジンを選択します。
      • 鍵アルゴリズム の下で、任意のアルゴリズムを選択します。
      • バンドル証明書 - オフのままにします。
      • 自動証明書ローテーション - オフのままにします。
      • DNS プロバイダー で、構成済みの DNS プロバイダー・インスタンスを選択します。
      • ドメインの選択 をクリックし、ワイルドカードで選択 をオンにし、ドメイン自体のチェックを外したままにして、完了 をクリックします。
   5. 次へ をクリックします。
   6. 選択内容を確認して、 「追加」 をクリックします。
   7. アクティブなシークレットの 3 つの垂直ドット・メニューをクリックし、 「詳細」 を選択して、ダイアログから CRN をコピーします。 値をシェルにエクスポートします。 出力は、次のようになります。

      export PUBLIC_CERT_CRN=crn:v1:bluemix:public:secrets-manager:eu-de:a/abc123abc123abc123abc123:99999999-9999-9999-9999-999999999999:secret:aaaaaaaa-9999-9999-aaaa-123456781234
      

5. このチュートリアルでは、サービス間の許可を利用して、 Secrets Manager サービス・インスタンスとその管理対象シークレットへのアクセス権限をクラスターに付与します。

   1. 「IAM 許可(IAM Authorizations)」ページ に移動し、 「作成」 をクリックして新しい許可を追加します。
   2. 「ソース」 で Kubernetes Service を選択し、 「特定のリソース」 をクリックして選択します。 次に、 「ソース・サービス・インスタンス」 でクラスターを選択します。
   3. 「ターゲット」 で Secrets Manager を選択し、次に 「特定のリソース」 および 「インスタンス ID」 を選択して、 Secrets Manager サービス・インスタンスを選択します。
   4. 最後に、 「役割」 で 「管理者」 を選択し、 「許可」 をクリックして許可を付与します。

6. MYDOMAIN および PUBLIC_CERT_CRN の値が環境にエクスポートされていることを確認します。

   echo MYDOMAIN $(printenv MYDOMAIN)
   echo PUBLIC_CERT_CRN $(printenv PUBLIC_CERT_CRN)
   

7. 新しい TLS 証明書から Ingress シークレットを作成します。

   ibmcloud ks ingress secret create --name secure-file-storage-certificate --cluster $MYCLUSTER --cert-crn $PUBLIC_CERT_CRN --namespace $TARGET_NAMESPACE
   

8. 以下のコマンドを実行して、構成ファイルの新規コピーを生成します。 テンプレート・ファイル secure-file-storage.template.yaml および secure-file-storage.template-ingress.yaml と一緒に構成したすべての環境変数が使用されます。 まず、現行バージョンを保存することをお勧めします。

   cp secure-file-storage.yaml /tmp
   cp secure-file-storage-ingress.yaml /tmp
   

   ./generate_yaml.sh
   

9. クラスタに構成変更を適用します

   kubectl apply -f secure-file-storage-ingress.yaml
   

10. 再度ブラウザーに切り替えます。 IBM Cloud リソース・リストで、前に作成および構成したApp ID サービスを見つけ、その管理ダッシュボードを起動します。

• 左側の 「認証の管理 (Manage Authentication)」 をクリックし、上部の 「認証設定 (Authentication Settings)」 タブをクリックします。
• 「Web リダイレクト URL の追加」 フォームで、別の URL として https://secure-file-storage.example.com/redirect_uri を追加します。

11. これですべてが配置されました。 構成したカスタム・ドメイン https://secure-file-storage.<your custom domain> でアプリにアクセスして、アプリをテストします。