Configure el almacenamiento de secretos

Agregue las políticas de Vault para el operador de Kubernetes y sus componentes.

Escriba las políticas para el operador de Kubernetes, la base de datos de MongoDB, Ops Manager y los recursos de AppDB en Vault usando el siguiente comando, reemplazando las variables con los valores de la tabla:

vault policy write {PolicyName} {PathToPolicyFile}

Repita el comando para todos los recursos que está agregando a Vault.

Vincula los roles de Vault a las políticas de Vault para el operador de Kubernetes y sus componentes.

Vincule los roles de Vault a las políticas para el operador de Kubernetes, la base de datos de MongoDB, Ops Manager y los recursos de AppDB mediante los siguientes cuatro comandos, reemplazando las variables con los valores de la tabla:

vault write auth/kubernetes/role/{OperatorPolicyName}
bound_service_account_names=enterprise-operator bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{DatabasePolicyName}
bound_service_account_names=mongodb-kubernetes-database-pods bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{OpsManagerPolicyName}
bound_service_account_names=mongodb-kubernetes-ops-manager bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{AppDBPolicyName}
bound_service_account_names=mongodb-kubernetes-appdb bound_service_account_namespaces={ServiceAccountNamespace}

Estos comandos garantizan que los pods de cada componente solo tengan el acceso especificado en su política.

vault write auth/kubernetes/role/{PolicyName}
bound_service_account_names={ServiceAccountName} bound_service_account_namespaces={ServiceAccountNamespace}

Agregue las anotaciones al archivo de implementación de Kubernetes.

Antes de ejecutar comandos en este paso, asegúrese de haber creado una función de Vault con el mongodbenterprise nombre.

Agregue las siguientes líneas resaltadas a la sección spec.template.metadata.annotations de su archivo de implementación del operador de Kubernetes. Para la mayoría de los usuarios, el nombre de este archivo es mongodb-kubernetes.yaml o mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   replicas: 1
   template:
      metadata:
        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"

Si está ejecutando Vault en En modoTLS y al especificar el valor operator.vaultSecretBackend.tlsSecretRef, el operador de Kubernetes agrega las siguientes anotaciones. De lo contrario, agregue la siguiente línea resaltada al archivo, reemplazando {TLSSecret} por el nombre del secreto que contiene una ca.crt entrada. El contenido de la ca.crt entrada debe coincidir con el certificado de la CA utilizada para generar los certificados TLS de Vault.

        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"
          vault.hashicorp.com/tls-secret: {TLSSecret}
          vault.hashicorp.com/ca-cert: /vault/tls/ca.crt

Definir la variable de entorno en Kubernetes.

Agregue las siguientes líneas resaltadas a la sección spec.env de su archivo de implementación del operador de Kubernetes. Para la mayoría de los usuarios, el nombre de este archivo es mongodb-kubernetes.yaml o mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   env:
   - name: OPERATOR_ENV
     value: ENVIRONMENT_NAME
   - name: SECRET_BACKEND
     value: VAULT_BACKEND

Esto define la variable de entorno para Vault en Kubernetes.

Cree un archivo con la información de configuración de Vault.

Con su aplicación de edición de texto preferida, cree un archivo llamado config. Pegue el siguiente texto en él:

apiVersion: v1
kind: ConfigMap
metadata:
  name: secret-configuration
  namespace: {Namespace}
data:
  VAULT_SERVER_ADDRESS: {VaultServerAddress}
  OPERATOR_SECRET_BASE_PATH: mongodbenterprise/operator
  DATABASE_SECRET_BASE_PATH: mongodbenterprise/database
  OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
  APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb

Las rutas de este archivo son las predeterminadas. Puede reemplazarlas con sus rutas base si personalizó la configuración del operador de Kubernetes.

Si está ejecutando Vault en modo TLS, también debe agregar la siguiente línea resaltada al archivo:

   OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
   APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb
   TLS_SECRET_REF: {TLSSecret}

Reemplace los marcadores de posición en la información de configuración de Vault.

Reemplace los marcadores de config posición del archivo con estos valores. Guarde el archivo con un tipo de archivo YAML reemplazando la .txt extensión .yaml por.

Cree un ConfigMap con la configuración de Vault.

Emita el siguiente comando para crear un ConfigMap que contenga la información del almacén:

kubectl create configmap secret-configuration --from-file=config.yaml

Esto crea un ConfigMap secret-configurationllamado. Este ConfigMap contiene el contenido del config archivo.

Migrar manualmente secretos que no migran automáticamente

Debe migrar manualmente los siguientes secretos para almacenarlos en Vault:

• Cualquier secreto existente creado por el usuario, incluidas las credenciales del operador almacenadas como secretos de Kubernetes, si corresponde

• El operador secreto de clave gen de Kubernetes crea

• Las credenciales de administrador/clave de administrador de Ops Manager que crea el operador de Kubernetes

• Secretos de TLS

Para migrar o crear secretos manualmente, agréguelos a Vault. Después de agregarlos, puede eliminarlos de Kubernetes.

Todos los demás secretos que crea el operador de Kubernetes se migran automáticamente, y el operador de Kubernetes utiliza Vault para los nuevos secretos. Los secretos creados por el usuario deben añadirse a Vault.