决定应用程序的部署位置

您创建的所有资源的 位置 和 资源组 应与 Kubernetes 集群的 位置 和 资源组 匹配。

捕获用户和应用程序活动

必须配置 IBM Cloud Activity Tracker Event Routing 以将审计事件路由到IBM Cloud Logs目标实例。 如果当前未在账户中配置，则按 配置IBM日志目标 中所述路由审计事件。

在本教程结束时，您可查看通过完成本教程的各步骤生成的事件。

为应用程序创建集群

IBM Cloud Kubernetes Service 和 Red Hat OpenShift on IBM Cloud 提供用于在 Kubernetes 集群中运行的容器中部署高可用性应用程序的环境。

如果您有现有的 Kubernetes 集群，并希望在本教程中使用，请跳过本节。在本教程的其余部分，集群名称将引用为 secure-file-storage-cluster，只需替换为您的集群名称即可。

具有一个 (1) 专区、一个 (1) 工作程序节点和最小可用大小（类型模板）的最小集群足以满足本教程的需求。 要创建 IBM Cloud Kubernetes Service 群集，请按照 创建 VPC 群集 或 创建经典群集 的步骤进行操作。 要创建 Red Hat OpenShift on IBM Cloud 群集，请按照 创建 VPC 群集 或 创建经典群集 的步骤操作。

使用您自己的加密密钥

Key Protect 可帮助您跨 IBM Cloud 服务为应用程序供应加密密钥。Key Protect 和 IBM Cloud Object Storage 协同工作以保护静态数据。 在此部分中，您将为存储区创建一个根密钥。

1. 创建 Key Protect的实例。
   1. 选择地点。
   2. 请将姓名设置为 secure-file-storage-kp。
   3. 选择资源组，在其中创建服务实例，然后点击创建。
2. 在 “密钥” 下，点击 “添加”按钮创建新的根密钥。 它将用于加密存储桶和 App ID 数据。
   1. 将“密钥类型”设置为根密钥。
   2. 请将姓名设置为 secure-file-storage-root-enckey。
   3. 然后 添加密钥。

自带密钥 (BYOK) 可通过导入现有根密钥来提供。

设置用于用户文件的存储空间

文件共享应用程序会将文件保存到 Object Storage 存储桶中。 文件和用户之间的关系以元数据的形式存储在 IBM Cloudant 数据库中。 在此部分中，您将创建和配置这些服务。

用户与其文件之间的数据库映射关系

IBM Cloudant 数据库将包含从应用程序上传的所有文件的元数据。

1. 创建 IBM Cloudant 服务的实例。
   1. 选择 Cloudant 作为产品。
   2. 选择与先前服务相同的 多租户 环境和 区域。
   3. 请将姓名设置为 secure-file-storage-cloudant。
   4. 使用先前服务所用的相同资源组。
   5. 将 认证方法 设置为 IAM。
   6. 单击创建。
2. 返回到资源列表，找到新创建的服务并单击该服务。 注意：您需要等待状态变为“激活”
   1. 在服务凭证下，新建凭证。
   2. 请将姓名设置为 secure-file-storage-cloudant-acckey。
   3. 对于 角色，请选择 管理者。
   4. 其余字段保留默认值。
   5. 单击添加。
3. 展开新创建的凭证并记下值。 在稍后步骤中您需要这些凭证。
4. 在 管理下，单击 启动仪表板。
5. 点击创建数据库，创建一个名为 secure-file-storage-metadata 的非分区数据库。

认证用户

通过 App ID，可以保护资源并向应用程序添加认证。 作为本教程中未使用的替代方法，App ID 可以 集成 与 Kubernetes Service 以认证访问集群中部署的应用程序的用户。

在创建 App ID 服务之前，请授予服务对 Key Protect 服务的访问权。 您必须是您正在使用的 Key Protect 实例的帐户所有者或管理员。 您还必须至少具有 App ID 服务的“查看者”访问权。

1. 转至 管理> 访问 IAM> 授权，然后单击 创建。
2. 选择 App ID 服务作为源服务。
3. 选择 Key Protect 作为目标服务。
4. 切换到 基于所选属性的资源，检查 实例标识，选择先前创建的 Key Protect 服务实例。
5. 在“服务”访问权下分配 读者 角色。
6. 单击 授权 以确认授权。

现在，创建一个 App ID 服务的实例。

1. 浏览至 App ID 服务创建页面。

   1. 使用用于先前服务的相同 位置。
   2. 选择累进层作为套餐。
   3. 将服务名称设置为 secure-file-storage-appid。
   4. 选择与先前服务相同的 资源组。
   5. 从相应的下拉列表中选择已授权的 Key Protect 服务 名称 和 根密钥。
   6. 单击创建。

2. 在认证设置选项卡的管理认证下，添加指向将用于应用程序的域的 Web 重定向 URL。 URL为 https://secure-file-storage.<Ingress subdomain>/redirect_uri。 例如：

   • 具有入口子域: mycluster-1234-d123456789.us-south.containers.appdomain.cloud
   • URL 是 https://secure-file-storage.mycluster-1234-d123456789.us-south.containers.appdomain.cloud/redirect_uri。

   App ID 要求网络重定向 URL 为 https 或 http。 您可以在集群仪表板或通过 ibmcloud ks cluster get --cluster <cluster-name> 查看您的Ingress子域。

3. 在运行时活动下认证设置下的同一选项卡中，允许在 IBM Cloud Activity Tracker Event Routing 中捕获事件。

4. 创建服务凭证:

   1. 在服务凭证下，新建凭证。
   2. 请将姓名设置为 secure-file-storage-appid-acckey。
   3. 对于 角色，请选择 管理者。
   4. 其余字段保留默认值。
   5. 单击添加。

您应该在 App ID 仪表板中定制使用的身份提供者以及登录和用户管理体验。 为简单起见，本教程使用的是缺省值。 对于生产环境，请考虑使用多因子认证 (MFA) 和高级密码规则。

获取代码

1. 获取应用程序的代码：

   git clone https://github.com/IBM-Cloud/secure-file-storage
   

2. 进入 secure-file-storage/app目录：

   cd secure-file-storage/app
   

填写配置设置和凭证

1. 如果您尚未登录，请使用 ibmcloud login 或 ibmcloud login --sso 进行交互式登录。 将 IBM Cloud 区域和资源组作为目标。

   ibmcloud target -r <region> -g <resource_group>
   

   您可以在文档中的 常规 IBM Cloud CLI(ibmcloud)命令 主题中找到更多 CLI 命令。

2. 在下一步中设置生成配置文件所需的环境变量。

   1. 首先通过替换 <YOUR_CLUSTER_NAME> 来设置集群名称:

      export MYCLUSTER=<YOUR_CLUSTER_NAME>
      

   2. 使用 ibmcloud ks 命令设置入口子域:

      export INGRESS_SUBDOMAIN=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressHostname) // .ingress.hostname')
      

   3. 使用 ibmcloud ks 命令设置入口密钥:

      export INGRESS_SECRET=$(ibmcloud ks cluster get --cluster $MYCLUSTER --output json | jq -r 'try(.ingressSecretName) // .ingress.secretName')
      

   4. 将映像存储库名称设置为预先构建的映像 icr.io/solution-tutorials/tutorial-cloud-e2e-security:

      export IMAGE_REPOSITORY=icr.io/solution-tutorials/tutorial-cloud-e2e-security
      

   5. 通过替换缺省值来设置其他环境变量:

      export BASENAME=secure-file-storage
      

   6. 设置要使用的名称空间:

      export TARGET_NAMESPACE=default
      

   7. (可选) 仅当您对映像使用的另一个 Kubernetes 名称空间而不是 default 名称空间和 IBM Cloud Container Registry 时，才设置 $IMAGE_PULL_SECRET 环境变量。 这需要额外的 Kubernetes 配置（例如，在新的命名空间中创建容器注册表密钥 ）。

3. 运行以下命令以生成 secure-file-storage.yaml 和 secure-file-storage-ingress.yaml。 它将使用刚刚与模板文件 secure-file-storage.template.yaml 和 secure-file-storage-ingress.template.yaml 一起配置的环境变量。

   ./generate_yaml.sh
   

   例如，假设应用程序部署在默认的 Kubernetes 命名空间中：

   脚本使用的环境变量

   变量	值	描述
   $IMAGE_PULL_SECRET	使用提供的图像时不定义	用于访问注册表的私钥。
   $IMAGE_REPOSITORY	icr.io/solution-tutorials/tutorial-cloud-e2e-security 或 icr.io/namespace/image-name	基于上一节中的URL、命名空间和图像名称的已构建图像的URL。
   $TARGET_NAMESPACE	缺省值	将在其中推送应用程序的 Kubernetes 名称空间。
   $INGRESS_SUBDOMAIN	secure-file-stora-123456.us-south.containers.appdomain.cloud	从集群概览页面或通过 ibmcloud ks cluster get --cluster <your-cluster-name> 获取。
   $INGRESS_SECRET	secure-file-stora-123456	使用 ibmcloud ks cluster get --cluster <your-cluster-name> 进行检索。
   $BASENAME	secure-file-storage	用于标识资源的前缀。

4. 将 credentials.template.env 复制到 credentials.env：

   cp credentials.template.env credentials.env
   

5. 编辑 credentials.env，并使用以下值填写空白设置：

   • Object Storage 服务区域端点，存储区名称，为 Object Storage 服务创建的凭证，
   • 安全文件存储云存储的证书，
   • 以及 App ID的凭证。 变量 appid_redirect_uris 是上面讨论的重定向 URI 的逗号分隔列表。

   使用 Cloud Shell时，可以使用 nano credentials.env 来编辑文件。

部署到集群

1. 获取对集群的访问权，如 通过 CLI 连接 指示信息中所述，可从控制台概述页面中的 操作 ... 菜单访问。

   ibmcloud ks cluster config --cluster $MYCLUSTER --admin
   

2. 请检查 Ingress 私钥在目标名称空间中是否可用。 如果没有，您需要创建它。

   ibmcloud ks ingress secret ls -c $MYCLUSTER
   

   如果 Ingress 私钥具有 CRN，请使用其名称和 CRN 在目标名称空间中创建私钥:

   ibmcloud ks ingress secret create -c $MYCLUSTER -n $TARGET_NAMESPACE --cert-crn <crn-shown-in-the-output-above> --name <secret-name-shown-above>
   

   如果 Ingress 私钥没有 CRN，请使用以下命令在目标名称空间中重新创建该私钥:

   kubectl get secret $INGRESS_SECRET --namespace=ibm-cert-store -oyaml | grep -v '^\s*namespace:\s'| kubectl apply  --namespace=$TARGET_NAMESPACE -f -
   

3. 创建应用程序用于获取服务凭证的私钥：

   kubectl create secret generic secure-file-storage-credentials --from-env-file=credentials.env
   

4. 部署应用程序。

   kubectl apply -f secure-file-storage.yaml
   

5. 为应用程序部署网络路由 ( ClusterIP 服务和 Ingress)，以使其可从公共因特网访问。

   kubectl apply -f secure-file-storage-ingress.yaml
   

提供 CIS 和 Secrets Manager 实例

• 需要 IBM Cloud Internet Services 实例。 使用现有实例或从此 目录条目 创建一个实例。 提供了一些定价套餐，包括免费试用。 新的 CIS 的供应过程将说明如何配置现有 DNS 注册器 (可能不在 IBM Cloud中) 以使用 CIS提供的域名服务器。 在 shell 窗口中导出定制域:

  export MYDOMAIN=example.com
  

• 请填写 Secrets Manager。 使用现有实例或创建 创建 Secrets Manager 服务实例 中描述的新实例。 如果创建新实例，请将其命名为 secure-file-storage-sm。 您可以通过与先前创建的 Key Protect 实例集成来增强静态密钥的安全性。

使用 Kubernetes 集群 Ingress 子域 作为别名，在 CIS 实例中创建 DNS 条目。

1. 打开 CIS 服务实例，可以在 资源列表 中找到该服务实例。
2. 单击左侧的 可靠性 选项卡。
3. 点击顶部的 DNS选项卡。
4. 向下滚动到“DNS 记录”部分，然后单击 添加 以创建新记录:
   1. 类型: CNAME
   2. 名称: secure-file-storage
   3. 别名: 集群的 Ingress 子域。 可以通过执行以下命令在 shell 中获取正确的值:

      echo $INGRESS_SUBDOMAIN
      

   4. 单击 添加 以添加新记录。

将 Secrets Manager 实例连接到 Let 's Encrypt。

1. 需要 Let 's Encrypt ACME 帐户和关联的 .pem 文件。 使用现有一个或 创建一个:

   1. 安装 acme-account-build-tool。 创建 Let 's Encrypt ACME 帐户 包含指示信息和指向创建工具的链接。
   2. 运行 acme-account-create-tool 以专门为此安全文件存储器示例创建帐户。 下面是一个示例:

      $ ./acme-account-creation-tool-darwin-amd64 -e YOUREMAIL -o secure-file-storage.example.com -d letsencrypt-prod
      INFO[2022-12-28T13:30:00-08:00] Registering a new account with the CA
      INFO[2022-12-28T13:30:00-08:00] Account information written to file : secure-file-storage.example.com-account-info.json
      INFO[2022-12-28T13:30:00-08:00] Private key written to file : secure-file-storage.example.com-private-key.pem
      
      Account Info
      {
         "email": "YOUREMAIL",
         "registration_uri": "https://acme-v02.api.letsencrypt.org/acme/acct/891897087",
         "registration_body": {
            "status": "valid",
            "contact": [
               "mailto:YOUREMAIL"
            ]
         }
      }%
      $ ls
      secure-file-storage.example.com-account-info.json secure-file-storage.example.com-private-key.pem
      

2. 将 Let 's Encrypt ACME 帐户连接到 Secrets Manager 实例。 有关更多详细信息，请参阅 在 UI 中添加认证中心配置:

   1. 打开 Secrets Manager 服务实例，可以在 资源列表 中找到该服务实例。
   2. 打开左侧的 密钥引擎，然后单击 公用证书。
   3. 在“认证中心”下，单击 添加。
   4. 名称: LetsEncrypt 和 认证中心: Let 's Encrypt。
   5. 在 选择文件 下，单击 添加文件，然后从选择器中选择 secure-file-storage.example.com-private-key.pem 或现有 .pem 文件。
   6. 单击添加。

3. 将 CIS 作为 DNS 提供者连接:

   1. 在“DNS 提供程序”下，单击 添加。
   2. 名称 顺从下拉列表中选择 Cloud Internet Services。
   3. 单击下一步。
   4. 在 授权 选项卡中，选择 CIS 实例。
   5. 单击添加。

4. 在 Secrets Manager 中订购证书

   1. 打开 Secrets Manager 服务，然后选择左侧的 密钥。
   2. 单击添加。
   3. 单击 公用证书，然后单击 下一步。
   4. 填写以下表单：
      • 名称-输入您可以记住的名称。
      • 描述-输入您选择的描述。
      • 点击下一步。
      • 在 认证中心 下，选择已配置的 Let 's Encrypt 认证中心引擎。
      • 在 密钥算法下，选择首选算法，
      • 捆绑软件证书-关闭
      • 自动证书旋转-离开
      • 在 DNS 提供者 下，选择已配置的 DNS 提供者实例
      • 单击 选择域 将选中 使用通配符进行选择，并使域本身处于未选中状态，然后单击 完成。
   5. 单击下一步。
   6. 复审您的选择，然后单击 添加。
   7. 单击活动私钥的三个垂直点菜单，然后选择 详细信息 并从对话框复制 CRN。 导出 shell 中的值。 大致如下：

      export PUBLIC_CERT_CRN=crn:v1:bluemix:public:secrets-manager:eu-de:a/abc123abc123abc123abc123:99999999-9999-9999-9999-999999999999:secret:aaaaaaaa-9999-9999-aaaa-123456781234
      

5. 本教程利用服务授权来授予集群对 Secrets Manager 服务实例及其受管私钥的访问权。

   1. 转至 "IAM 授权" 页面，然后单击 创建 以添加新授权。
   2. 在 源 下，选择 Kubernetes Service，然后单击以选取 特定资源。 然后，对于 源服务实例，选择集群。
   3. 在 目标 下，选择 Secrets Manager，然后继续使用 特定资源 和 实例标识，选择 Secrets Manager 服务实例。
   4. 最后，在 角色 下，选择 管理器，然后通过单击 授权来授予授权。

6. 验证是否已将 MYDOMAIN 和 PUBLIC CERT_CRN 的值导出到环境中:

   echo MYDOMAIN $(printenv MYDOMAIN)
   echo PUBLIC_CERT_CRN $(printenv PUBLIC_CERT_CRN)
   

7. 从新的 TLS 证书创建 Ingress 私钥。

   ibmcloud ks ingress secret create --name secure-file-storage-certificate --cluster $MYCLUSTER --cert-crn $PUBLIC_CERT_CRN --namespace $TARGET_NAMESPACE
   

8. 运行以下命令以生成配置文件的新副本。 它将使用您与模板文件 secure-file-storage.template.yaml 和 secure-file-storage.template-ingress.yaml 一起配置的所有环境变量。 您可能希望首先保存当前版本:

   cp secure-file-storage.yaml /tmp
   cp secure-file-storage-ingress.yaml /tmp
   

   ./generate_yaml.sh
   

9. 将配置更改应用到您的仪表盘：

   kubectl apply -f secure-file-storage-ingress.yaml
   

10. 切换回浏览器。 在 IBM Cloud 资源列表中，找到先前创建并配置的 App ID 服务，然后启动其管理仪表板。

• 单击左侧的 管理认证 和顶部的 认证设置 选项卡。
• 在添加网站重定向URL 表单中，将 https://secure-file-storage.example.com/redirect_uri 添加为另一个 URL。

11. 现在，一切应该都已就位。 请访问您配置的自定义域名 https://secure-file-storage.<your custom domain>，测试应用程序。