Decidir onde implementar o aplicativo

O local e o grupo de recursos de todos os recursos criados devem corresponder ao local e ao grupo de recursos do cluster Kubernetes.

Capturar atividades do usuário e do aplicativo

O IBM Cloud Activity Tracker Event Routing deve ser configurado para rotear eventos de auditoria para uma instância de destino IBM Cloud Logs. Encaminhe os eventos de auditoria conforme descrito na configuração de um destino IBM Logs, se não estiver configurado atualmente em sua conta.

No final deste tutorial, você revisará os eventos que foram gerados concluindo as etapas do tutorial.

Criar um cluster para o aplicativo

IBM Cloud Kubernetes Service e Red Hat OpenShift on IBM Cloud fornecem ambientes para implementar apps altamente disponíveis em contêineres que são executados em clusters Kubernetes.

Pule esta seção se tiver um cluster Kubernetes existente que queira reutilizar com este tutorial. No restante deste tutorial, o nome do cluster é referenciado como secure-file-storage-cluster, basta substituí-lo pelo nome do seu cluster.

Um cluster mínimo com uma (1) zona, um (1) nó do trabalhador e o menor tamanho disponível (Tipo) é suficiente para este tutorial. Para criar seu IBM Cloud Kubernetes Service cluster, siga as etapas para Criar clusters VPC ou Criar clusters clássicos. Para criar seu Red Hat OpenShift on IBM Cloud cluster, siga as etapas para Criação de clusters VPC ou Criação de clusters clássicos.

Usar suas próprias chaves de criptografia

O Key Protect ajuda você a fornecer chaves criptografadas para aplicativos entre os serviços IBM Cloud. Key Protect e IBM Cloud Object Storage trabalham juntos para proteger os seus dados em repouso. Nesta seção, você criará uma chave raiz para o depósito de armazenamento.

1. Crie uma instância do Key Protect
   1. Selecione um local.
   2. Defina o nome como secure-file-storage-kp.
   3. Selecione o grupo de recursos onde criar a instância de serviço e clique em Criar.
2. Em Chaves, clique no botão Incluir para criar uma nova chave raiz. Ele será usado para criptografar o depósito de armazenamento e os dados do App ID.
   1. Configure o tipo de chave como Chave raiz.
   2. Defina o nome como secure-file-storage-root-enckey.
   3. Em seguida, Incluir chave.

Use Bring your own key (BYOK) importando uma chave raiz existente.

Configurar o armazenamento para arquivos de usuário

O aplicativo de compartilhamento de arquivos salva os arquivos no bucket Object Storage. A relação entre arquivos e usuários é armazenada como metadados no banco de dados IBM Cloudant. Nesta seção, você criará e configurará esses serviços.

Relacionamentos do mapa de banco de dados entre usuários e seus arquivos

O banco de dados IBM Cloudant conterá metadados para todos os arquivos transferidos por upload do aplicativo.

1. Crie uma instância do serviço do IBM Cloudant
   1. Selecione Cloudant como a oferta.
   2. Selecione um ambiente Multilocatário e uma região como a dos serviços anteriores.
   3. Defina o nome como secure-file-storage-cloudant.
   4. Use o mesmo grupo de recursos dos serviços anteriores.
   5. Configure Método de autenticação para IAM.
   6. Clique em Criar.
2. De volta para a Lista de recursos, localize o serviço recém-criado e clique nele. Nota: você precisará esperar até que o status mude para Ativo.
   1. Em Credenciais de serviço, crie Nova credencial.
   2. Defina o nome como secure-file-storage-cloudant-acckey.
   3. Para Função selecione Gerenciador.
   4. Mantenha os valores padrão para os campos restantes.
   5. Clique em Incluir.
3. Expanda as credenciais recém criadas e tome nota dos valores. Você precisará deles em uma etapa posterior.
4. Em Gerenciar, clique em Ativar Painel.
5. Clique em Create Database (Criar banco de dados) para criar um banco de dados não particionado chamado secure-file-storage-metadata.

Autenticar usuários

Com o App ID, é possível proteger recursos e incluir a autenticação em seus aplicativos. Como uma alternativa não usada neste tutorial, App ID pode integrar com Kubernetes Service para autenticar usuários acessando aplicativos implementados no cluster.

Antes de criar o serviço App ID, conceda o acesso de serviço ao serviço Key Protect. Deve-se ser o proprietário da conta ou um administrador para a instância do Key Protect com a qual você está trabalhando. Deve-se também ter pelo menos o acesso de Visualizador para o serviço do App ID.

1. Vá para Gerenciar > Acessar IAM > Autorizações e clique em Criar.
2. Selecione o serviço App ID como seu serviço de origem.
3. Selecione Key Protect como o seu serviço de destino.
4. Alterne para Recursos baseados em atributos selecionados, verifique o ID da Instância e selecione a instância de serviço do Key Protect criada anteriormente.
5. Atribua a função de Leitor em Acesso a serviço.
6. Clique em Autorizar para confirmar a autorização delegada.

Agora, crie uma instância do serviço App ID.

1. Navegue até a App ID página de criação de serviços.

   1. Use o mesmo local usado para os serviços anteriores.
   2. Selecione a Camada graduada como plano.
   3. Defina o nome do serviço como secure-file-storage-appid.
   4. Selecione um grupo de recursos igual aos serviços anteriores.
   5. Selecione o nome do serviço Key Protect autorizado e a chave raiz nos respectivos menus suspensos.
   6. Clique em Criar.

2. Em Gerenciar autenticação, na guia Configurações de autenticação, inclua uma URL de redirecionamento da web apontando para o domínio que você usará para o aplicativo. O formato de URL é https://secure-file-storage.<Ingress subdomain>/redirect_uri. Por exemplo:

   • com o subdomínio do ingresso: mycluster-1234-d123456789.us-south.containers.appdomain.cloud
   • o redirecionamento URL é https://secure-file-storage.mycluster-1234-d123456789.us-south.containers.appdomain.cloud/redirect_uri.

   App ID exige que o URL de redirecionamento da Web seja https ou http. Você pode visualizar o subdomínio do Ingress no painel do cluster ou em ibmcloud ks cluster get --cluster <cluster-name>.

3. Na mesma guia em Configurações de autenticação em Atividade de tempo de execução, ative os eventos de captura no IBM Cloud Activity Tracker Event Routing.

4. Criar credenciais de serviço:

   1. Em Credenciais de serviço, crie Nova credencial.
   2. Defina o nome como secure-file-storage-appid-acckey.
   3. Para Função selecione Gerenciador.
   4. Mantenha os valores padrão para os campos restantes.
   5. Clique em Incluir.

É necessário customizar os provedores de identidade usados, assim como o login e a experiência de gerenciamento de usuários no painel do App ID. Este tutorial usa os padrões para simplicidade. Para um ambiente de produção, considere usar as regras de Autenticação de Diversos Fatores (MFA) e de senha avançada.

Obtenha o código

1. Obtenha o código do aplicativo:

   git clone https://github.com/IBM-Cloud/secure-file-storage
   

2. Acesse o diretório secure-file-storage/app:

   cd secure-file-storage/app
   

Preencha as definições e credenciais de configuração

1. Se você não estiver conectado, use ibmcloud login ou ibmcloud login --sso para fazer login interativamente. Destine sua região e grupo de recursos do IBM Cloud.

   ibmcloud target -r <region> -g <resource_group>
   

   É possível localizar mais comandos CLI no tópico Geral IBM Cloud Comandos CLI (ibmcloud) na documentação.

2. Configure as variáveis de ambiente necessárias à geração de arquivos de configuração na próxima etapa

   1. Inicie configurando o nome do cluster substituindo <YOUR_CLUSTER_NAME>:

      export MYCLUSTER=<YOUR_CLUSTER_NAME>
      

   2. Configure o subdomínio de ingresso usando comandos ibmcloud ks :

      export INGRESS_SUBDOMAIN=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressHostname) // .ingress.hostname')
      

   3. Configure o segredo do ingresso usando comandos ibmcloud ks :

      export INGRESS_SECRET=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressSecretName) // .ingress.secretName')
      

   4. Configure o nome do repositório de imagens para a imagem pré-construída icr.io/solution-tutorials/tutorial-cloud-e2e-security:

      export IMAGE_REPOSITORY=icr.io/solution-tutorials/tutorial-cloud-e2e-security
      

   5. Configure variáveis de ambiente adicionais, substituindo os valores padrão:

      export BASENAME=secure-file-storage
      

   6. Configure o namespace para usar:

      export TARGET_NAMESPACE=default
      

   7. Opcionalmente, defina a variável de ambiente $IMAGE_PULL_SECRET somente se estiver usando outro espaço de nome Kubernetes que não seja o espaço de nome default e o IBM Cloud Container Registry para a imagem. Isso requer a configuração adicional do Kubernetes (por ex., criando um segredo de registro de contêiner no novo namespace).

3. Execute o comando abaixo para gerar secure-file-storage.yaml e secure-file-storage-ingress.yaml. Ele usará as variáveis de ambiente que você acabou de configurar junto com os arquivos de modelo secure-file-storage.template.yaml e secure-file-storage-ingress.template.yaml.

   ./generate_yaml.sh
   

   Como exemplo, supondo que o aplicativo seja implementado no espaço de nomes Kubernetes padrão:

   Variáveis de ambiente usadas pelo script

   Variável	Valor	Descrição
   $IMAGE_PULL_SECRET	Não definir ao usar a imagem fornecida	Um segredo para acessar o registro.
   $IMAGE_REPOSITORY	icr.io/solution-tutorials/tutorial-cloud-e2e-security ou icr.io/namespace/image-name	O identificador do tipo URL para a imagem construída com base na URL de registro, no namespace e nome da imagem da seção anterior.
   $TARGET_NAMESPACE	padrão	o namespace do Kubernetes no qual o app será enviado por push.
   $INGRESS_SUBDOMAIN	secure-file-stora-123456.us-south.containers.appdomain.cloud	Recupere por meio da página de visão geral do cluster ou com ibmcloud ks cluster get --cluster <your-cluster-name>.
   $INGRESS_SECRET	secure-file-stora-123456	Recuperar com ibmcloud ks cluster get --cluster <your-cluster-name>.
   $BASENAME	secure-file-storage	O prefixo usado para identificar recursos.

4. Copie credentials.template.env para credentials.env:

   cp credentials.template.env credentials.env
   

5. Edite credentials.env e preencha os espaços em branco com estes valores:

   • o terminal regional de serviço do Object Storage, o nome do depósito, as credenciais criadas para o serviço do Object Storage,
   • as credenciais para o armazenamento seguro de arquivos na nuvem,
   • e as credenciais para App ID. A variável appid_redirect_uris é uma lista separada por vírgula de URIs de redirecionamento, conforme discutido acima.

   Ao usar o Cloud Shell, é possível usar nano credentials.env para editar o arquivo.

Implementar no cluster

1. Obtenha acesso ao seu cluster conforme descrito nas instruções Conectar via CLI, acessível no menu Ações... na página de visão geral do console.

   ibmcloud ks cluster config --cluster $MYCLUSTER --admin
   

2. Verifique se um segredo do Ingress está disponível em seu namespace de destino Se não, você precisa criá-lo (a). "

   ibmcloud ks ingress secret ls -c $MYCLUSTER
   

   Se o segredo do Ingress tiver um CRN, use seu nome e CRN para criar um segredo em seu namespace de destino:

   ibmcloud ks ingress secret create -c $MYCLUSTER -n $TARGET_NAMESPACE --cert-crn <crn-shown-in-the-output-above> --name <secret-name-shown-above>
   

   Se o segredo do Ingress não tiver um CRN, use o comando a seguir para recriá-lo no namespace de destino:

   kubectl get secret $INGRESS_SECRET --namespace=ibm-cert-store -oyaml | grep -v '^\s*namespace:\s'| kubectl apply  --namespace=$TARGET_NAMESPACE -f -
   

3. Crie o segredo usado pelo aplicativo para obter credenciais de serviço:

   kubectl create secret generic secure-file-storage-credentials --from-env-file=credentials.env
   

4. Implemente o app.

   kubectl apply -f secure-file-storage.yaml
   

5. Implemente o roteamento de rede (um serviço ClusterIP e Ingress) para seu app para torná-lo acessível por meio da internet pública.

   kubectl apply -f secure-file-storage-ingress.yaml
   

Provisão de instâncias de CIS e Secrets Manager

• Uma instância do IBM Cloud Internet Services é necessária. Use uma instância existente ou crie uma a partir desta entrada de catálogo. Vários planos de precificação estão disponíveis, incluindo um julgamento gratuito. O processo de fornecimento de um novo CIS explicará como configurar seu registro de DNS existente (talvez não em IBM Cloud) para usar os servidores de nomes de domínio fornecidos pelo CIS. Exporte o domínio customizado na janela shell:

  export MYDOMAIN=example.com
  

• É necessária uma instância de Secrets Manager. Use uma instância existente ou crie uma nova descrita em Criando uma instância de serviço Secrets Manager. Se criar uma nova instância, nomeia-o secure-file-storage-sm. Você pode aumentar a segurança de seus segredos em repouso integrando-se à instância Key Protect criada anteriormente.

Crie uma entrada de DNS na instância do CIS usando seu cluster Kubernetes subdomínio do Ingress como o alias.

1. Abra a instância de serviço CIS, você pode encontrá-lo na Lista de Recursos.
2. Clique na guia Confiabilidade à esquerda.
3. Clique na guia DNS na parte superior.
4. Role até a seção de Registros DNS e clique em Adicionar para criar um novo registro:
   1. Tipo: CNAME
   2. Nome: secure-file-storage
   3. Alias: o subdomínio do Ingress de seu cluster É possível obter o valor correto no shell executando o comando a seguir:

      echo $INGRESS_SUBDOMAIN
      

   4. Clique em Incluir para incluir o novo registro

Conectar Secrets Manager instância para o Let's Encrypt.

1. Uma conta do Let's Encrypt ACME e o arquivo .pem associado é necessário. Use um existente ou crie um:

   1. Instale o acme-account-creation-tool. Criando uma conta ACME do Let's Encrypt ACME contém instruções e um link para a ferramenta de criação.
   2. Execute acme-account-create-tool para criar uma conta especificamente para este exemplo de armazenamento de arquivo seguro Abaixo está um exemplo:

      $ ./acme-account-creation-tool-darwin-amd64 -e YOUREMAIL -o secure-file-storage.example.com -d letsencrypt-prod
      INFO[2022-12-28T13:30:00-08:00] Registering a new account with the CA
      INFO[2022-12-28T13:30:00-08:00] Account information written to file : secure-file-storage.example.com-account-info.json
      INFO[2022-12-28T13:30:00-08:00] Private key written to file : secure-file-storage.example.com-private-key.pem
      
      Account Info
      {
         "email": "YOUREMAIL",
         "registration_uri": "https://acme-v02.api.letsencrypt.org/acme/acct/891897087",
         "registration_body": {
            "status": "valid",
            "contact": [
               "mailto:YOUREMAIL"
            ]
         }
      }%
      $ ls
      secure-file-storage.example.com-account-info.json secure-file-storage.example.com-private-key.pem
      

2. Conecte a conta do ACME do Let's Encrypt para a instância Secrets Manager. Veja Adicionando uma configuração de autoridade de certificação na UI para obter mais detalhes:

   1. Abra a instância de serviço Secrets Manager, é possível localizá-la na Lista de recursos.
   2. Abra Motores de segredos à esquerda e clique em Certificados públicos.
   3. Em Autoridades de Certificado clique em Adicionar.
   4. Nome: LetsEncrypt e Autoridade do Certificado: Vamos Encrypt.
   5. Em Selecionar arquivo, clique em Incluir arquivo e escolha o secure-file-storage.example.com-private-key.pem ou seu arquivo .pem existente no seletor.
   6. Clique em Incluir.

3. Conecte o CIS como um provedor DNS:

   1. Sob provedores DNS clique em Adicionar.
   2. Name cis e escolha Cloud Internet Services na lista suspensa.
   3. Clique em Avançar.
   4. Na aba Autorização escolha a instância CIS.
   5. Clique em Incluir.

4. Solicite um certificado em Secrets Manager

   1. Abra o serviço Secrets Manager e selecione Segredos à esquerda.
   2. Clique em Incluir.
   3. Clique em Certificado público e, em seguida, em Avançar.
   4. Preencha o formulário:
      • Nome - digite um nome que você pode lembrar.
      • Descrição - digite uma descrição de sua escolha.
      • Clique em Avançar.
      • Em Autoridade de certificação, selecione o seu mecanismo de autoridade de certificação Let's Encrypt configurado.
      • Em Algoritmo de chave, escolha o seu algoritmo preferencial,
      • Certificados de pacote configurável -deixe desativado
      • Rotação automática de certificado - deixe desativado
      • Em Provedor DNS selecione sua instância de provedor DNS configurada
      • Clique em Selecionar domínios, marque Selecionar com curinga e deixe o próprio domínio desmarcado e clique em Pronto.
   5. Clique em Avançar.
   6. Revise suas seleções e clique em Incluir.
   7. Clique no menu de três pontos verticais para o segredo ativo e escolha Detalhes e copie o CRN do diálogo. Exporte o valor na casca. Ele se parecerá com o seguinte:

      export PUBLIC_CERT_CRN=crn:v1:bluemix:public:secrets-manager:eu-de:a/abc123abc123abc123abc123:99999999-9999-9999-9999-999999999999:secret:aaaaaaaa-9999-9999-aaaa-123456781234
      

5. Este tutorial alavanca o serviço para a autorização de serviço para fornecer ao cluster acesso à instância de serviço Secrets Manager e seus segredos gerenciados.

   1. Acesse a página Autorizações do IAM e depois clique em Criar para incluir uma nova autorização.
   2. Em Origem, selecione Kubernetes Service, em seguida, clique para selecionar Recursos específicos. Em seguida, para Instância de serviço de origem, escolha seu cluster..
   3. Em Destino, selecione Secrets Manager, em seguida, indo com Recursos específicos e ID da instância, selecione sua instância de serviço do Secrets Manager.
   4. Finalmente, em Funções, selecione Gerenciador e conceda a autorização clicando em Autorizar.

6. Verifique se os valores para MYDOMAIN e PUBLIC_CERT_CRN foram exportados para o ambiente:

   echo MYDOMAIN $(printenv MYDOMAIN)
   echo PUBLIC_CERT_CRN $(printenv PUBLIC_CERT_CRN)
   

7. Crie um segredo do Ingress por meio do novo certificado TLS

   ibmcloud ks ingress secret create --name secure-file-storage-certificate --cluster $MYCLUSTER --cert-crn $PUBLIC_CERT_CRN --namespace $TARGET_NAMESPACE
   

8. Execute o comando abaixo para gerar novas cópias dos arquivos de configuração.. Ele usará todas as variáveis de ambiente configuradas juntamente com os arquivos de modelo secure-file-storage.template.yaml e secure-file-storage.template-ingress.yaml. Você pode querer primeiro salvar a versão atual:

   cp secure-file-storage.yaml /tmp
   cp secure-file-storage-ingress.yaml /tmp
   

   ./generate_yaml.sh
   

9. Aplique as alterações de configuração em seu cluster:

   kubectl apply -f secure-file-storage-ingress.yaml
   

10. Alterne de volta para o navegador. Na Lista de recursos do IBM Cloud, localize o serviço App ID criado e configurado anteriormente e ative seu painel de gerenciamento.

• Clique em Gerenciar autenticação na esquerda e na aba Configurações de autenticação na parte superior.
• No formulário Incluir URLs de redirecionamento da web inclua https://secure-file-storage.example.com/redirect_uri como outra URL.

11. Tudo deve estar em seu lugar agora. Teste o aplicativo acessando-o em seu domínio customizado configurado https://secure-file-storage.<your custom domain>.