Configure el almacenamiento de secretos

Agregue las políticas de Vault para el operador de Kubernetes y sus componentes.

Guarde las políticas para el Operador de Kubernetes, la base de datos MongoDB, el Ops Manager y los recursos de AppDB en Vault usando el siguiente comando, sustituyendo las variables por los valores de la tabla:

vault policy write {PolicyName} {PathToPolicyFile}

Repita el comando para todos los recursos que está agregando a Vault.

Asocie los roles de Vault con las políticas de Vault para el Operador de Kubernetes y sus componentes.

Asocie los roles de Vault a las políticas para el Operador de Kubernetes, la base de datos MongoDB, Ops Manager y los recursos de AppDB utilizando los siguientes cuatro comandos, reemplazando las variables por los valores de la tabla:

vault write auth/kubernetes/role/{OperatorPolicyName}
bound_service_account_names=enterprise-operator bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{DatabasePolicyName}
bound_service_account_names=mongodb-kubernetes-database-pods bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{OpsManagerPolicyName}
bound_service_account_names=mongodb-kubernetes-ops-manager bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{AppDBPolicyName}
bound_service_account_names=mongodb-kubernetes-appdb bound_service_account_namespaces={ServiceAccountNamespace}

Estos comandos garantizan que los pods de cada componente solo tengan el acceso especificado en su política.

vault write auth/kubernetes/role/{PolicyName}
bound_service_account_names={ServiceAccountName} bound_service_account_namespaces={ServiceAccountNamespace}

Agrega las anotaciones al archivo de implementación de Kubernetes.

Antes de ejecutar los comandos en este paso, asegúrese de haber creado un rol de Vault con el nombre mongodbenterprise.

Agrega las siguientes líneas resaltadas a la sección spec.template.metadata.annotations de tu archivo de implementación del Operador de Kubernetes. Para la mayoría de los usuarios, el nombre de este archivo es mongodb-kubernetes.yaml o mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   replicas: 1
   template:
      metadata:
        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"

Si estás ejecutando Vault en TLS en el modo y se especifica el valor de operator.vaultSecretBackend.tlsSecretRef, el operador de Kubernetes añade las siguientes anotaciones. De lo contrario, añada la siguiente línea resaltada al archivo, reemplazando {TLSSecret} con el nombre del secreto que contenga una entrada ca.crt. El contenido de la entrada ca.crt debe coincidir con el certificado de la CA utilizado para generar los certificados TLS de Vault.

        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"
          vault.hashicorp.com/tls-secret: {TLSSecret}
          vault.hashicorp.com/ca-cert: /vault/tls/ca.crt

Definir la variable de entorno en Kubernetes.

Agrega las siguientes líneas resaltadas a la sección spec.env de tu archivo de implementación del Operador de Kubernetes. Para la mayoría de los usuarios, el nombre de este archivo es mongodb-kubernetes.yaml o mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   env:
   - name: OPERATOR_ENV
     value: ENVIRONMENT_NAME
   - name: SECRET_BACKEND
     value: VAULT_BACKEND

Esto define la variable de entorno para Vault en Kubernetes.

Cree un archivo con la información de configuración de Vault.

Utilizando la aplicación de edición de texto que prefieras, crea un archivo llamado config. Pegue el siguiente texto en el archivo:

apiVersion: v1
kind: ConfigMap
metadata:
  name: secret-configuration
  namespace: {Namespace}
data:
  VAULT_SERVER_ADDRESS: {VaultServerAddress}
  OPERATOR_SECRET_BASE_PATH: mongodbenterprise/operator
  DATABASE_SECRET_BASE_PATH: mongodbenterprise/database
  OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
  APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb

Las rutas en este archivo son las rutas por defecto. Puedes reemplazarlas con tus rutas base si personalizaste la configuración del Operador de Kubernetes.

Si está ejecutando Vault en modo TLS, también debe agregar la siguiente línea resaltada al archivo:

   OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
   APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb
   TLS_SECRET_REF: {TLSSecret}

Sustituye los marcadores de posición en la información de configuración de Vault.

Reemplazar los marcadores de posición en el archivo config con estos valores. Guarde el archivo con un tipo de archivo YAML reemplazando la extensión de archivo .txt por .yaml.

Cree un ConfigMap con la configuración de Vault.

Emita el siguiente comando para crear un ConfigMap que contenga la información de Vault:

kubectl create configmap secret-configuration --from-file=config.yaml

Esto crea un ConfigMap llamado secret-configuration. Este ConfigMap contiene el contenido del archivo config.

Migra manualmente los secretos que no se migran automáticamente

Debe migrar manualmente los siguientes secretos para almacenarlos en Vault:

• Cualquier secreto existente creado por el usuario, incluidas las credenciales del operador almacenadas como secretos de Kubernetes, si corresponde

• El secreto gen-key Kubernetes operador crea

• Las credenciales de administrador/clave de administrador de Ops Manager que crea el operador de Kubernetes

• Secretos TLS

Para migrar manualmente o crear nuevos secretos, añádelos a Vault. Después de agregarlas a Vault, puedes removerlas de Kubernetes.

Todos los demás secretos que crea el operador de Kubernetes se migran automáticamente, y el operador de Kubernetes utiliza Vault para los nuevos secretos. Los secretos creados por el usuario deben añadirse a Vault.