シークレット ストレージの構成

OIDC JSON web tokenとKubernetes認証を設定するには次の手順に従います。

1. 次のコマンドを実行して、マウント パスのOIDC JSON web token認証を有効にします。 複数のKubernetesクラスターを設定する場合は、各クラスターのマウント パスに対してOIDC JSON web token認証を有効にする必要があります。

   vault auth enable -path=jwt-kube01 jwt

2. Run the following command to allow unauthenticated access to the OIDC discovery URLs on the kube01.internal.io cluster:

   $ kubectl create clusterrolebinding oidc-reviewer  \
     --clusterrole=system:service-account-issuer-discovery \
     --group=system:unauthenticated

3. Run the following command to direct HashiCorp Vault to trust the cluster. The issuer for the cluster at https://kube01.internal.io/ must match the URL in the OIDC discovery document at .well-known/openid-configuration.

   curl https://kube01.internal.io/.well-known/openid-configuration | jq .issuer
   https://kube01.internal.io/
   vault write auth/jwt-kube01/config jwks_url="https://kube01.internal.io/openid/v1/jwks"

4. クラスターに公開するシークレットへのアクセスを許可するポリシーを作成します。

   次の例では、後の手順で指定するexternal-secretsポリシーを作成します。

   echo external-secrets-policy.hcl
   path "secret/data/kube01/external-secrets/*" {
     capabilities = ["read"]
   }

5. コマンドを実行してHashiCorp Vaultロールを作成し、Kubernetesサービス アカウントをそのロールにバインドします。これにより、HashiCorp Vault内でのサービス アカウントのアクセスが制限されます。

   The following command creates the jwt-kube01-system role of the JWT (OIDC) type for the vault audience. The command specifies the sub user claim, and the default Kubernetes service account in the mongodb-atlas-system namespace as the bound subject. This command ties the role to the external-secrets policy set of permissions within HashiCorp Vault.

   vault write auth/jwt-kube01/role/jwt-kube01-system role_type="jwt" bound_audiences=vault \
     user_claim="sub" bound_subject="system:serviceaccount:mongodb-atlas-system:default" \
     policies="external-secrets"

6. コマンドを実行して、外部シークレット演算子がdefault名前空間にアクセスするための別のロールを作成します。

   The following command creates the jwt-kube01-default role of the JWT (OIDC) type for the vault audience. This command specifies the sub user claim, and the default Kubernetes service account in the default namespace as the bound subject . This command ties the role to the external-secrets policy set of permissions within HashiCorp Vault.

   vault write auth/jwt-kube01/role/jwt-kube01-default role_type="jwt" bound_audiences=vault \
     user_claim="sub" bound_subject="system:serviceaccount:default:default" \
     policies="external-secrets"

7. システム サービス アカウントに対してOIDC認証が正常に実行されることを確認します。

   export TEST_JWT_TOKEN=$(kubectl -n mongodb-atlas-system create token default --audience "vault")
   vault write auth/jwt-kube01/login role=jwt-kube01-system jwt=$(TEST_JWT_TOKEN)

   Atlas Kubernetes Operatorは、システム サービス アカウントのOIDC JSON web token認証情報を返します。

8. デフォルトのサービス アカウントに対してOIDC認証が正常に実行されることを確認します。

   export TEST_JWT_TOKEN=$(kubectl -n default create token default --audience "vault")
   vault write auth/jwt-kube01/login role=jwt-kube01-default jwt=$(TEST_JWT_TOKEN)

   Atlas Kubernetes Operatorは、デフォルトのサービス アカウントのOIDC JSON web token認証情報を返します。

Kubernetes 認証を設定するには、次の手順に従います。

1. 以下のコマンドを実行して、マウント パスの Kubernetes 認証を有効にします。 複数の Kubernetes クラスターを設定する場合は、各クラスターのマウント パスに対して Kubernetes 認証を有効にする必要があります。

   vault auth enable -path=jwt-kube01 kubernetes

   Helm を使用して をインストールすると、クラスター ロールのバインディングが自動的に構成されます。

2. クラスターに公開したいシークレットへのアクセスを許可するポリシーを作成します。

   次の例では、後のステップで使用されるポリシー vault-secret を作成しています。これは、ヘルムvault チャート CSI プロバイダーが設定する HashiCorp Vault サービス アカウントにバインドされたKubernetes シークレット である を使用します。

   echo vault-secret.yaml
   apiVersion: v1
   kind: Secret
   metadata:
     name: vault
     annotations:
       kubernetes.io/service-account.name: vault
   type: kubernetes.io/service-account-token
   $ kubectl apply -f vault-secret.yaml

3. コマンドを実行して Kubernetes クラスターを信頼し、Kubernetes 認証を使用します。

   export VAULT_JWT ?= $(shell kubectl get secret/vault -o jsonpath='{.data.token}' |base64 -d)

   vault write auth/k8s-kube01/config kubernetes_host="kube01.internal.io" token_reviewer_jwt=$(VAULT_JWT)

4. コマンドを実行してHashiCorp Vaultロールを作成し、Kubernetesサービス アカウントをそのロールにバインドします。これにより、HashiCorp Vault内でのサービス アカウントのアクセスが制限されます。

   次のコマンドは、default または mongodb-atlas-system 名前空間のKubernetesサービス アカウントにバインドされた auth/k8s-kube01 に k8s-kube01 ロールを作成します。このロールは、HashiCorp Vault 内の secrets-store 権限ポリシーに関連付けられます。

   vault write auth/k8s-kube01/role/k8s-kube01-role \
     bound_service_account_names=default,mongodb-atlas-operator \
     bound_service_account_namespaces=default,mongodb-atlas-system \
     policies=secrets-store

   ポリシーが存在し、シークレットへのアクセスが許可されている必要があります。 次のサンプル ポリシーでは、 kube01/secrets-storeパスの下の KV v 2シークレットへのアクセスを許可します。

   path "secret/data/kube01/secrets-store/*" {
     capabilities = ["read"]
   }

5. システム サービス アカウントに対して Kubernetes 認証が正常に実行されることを確認します。

   export TEST_JWT_TOKEN=$( kubectl create -n mongodb-atlas-system token mongodb-atlas-operator)
   vault write auth/jwt-kube01/login role=jwt-kube01-system jwt=$(TEST_JWT_TOKEN)

6. Kubernetes 認証がデフォルト アカウントで正常に実行されることを確認します。

   export TEST_JWT_TOKEN=$(kubectl -n default create token default)
   vault write auth/jwt-kube01/login role=jwt-kube01-default jwt=$(TEST_JWT_TOKEN)

外部シークレット演算子を使用してシークレットをプロビジョニングするには、

1. mongodb-atlas-system名前空間にdefaultサービス アカウントのSecretStoreカスタム リソースを配置します。

   $ cat external-secrets/vault-system.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-store
     namespace: mongodb-atlas-system
   spec:
     provider:
       vault:
         server: "https://vault.internal.io"
         path: "secret"
         version: "v2"
         auth:
           jwt:
             path: "jwt-kube01"
             role: "jwt-kube01-system"
             kubernetesServiceAccountToken:
               expirationSeconds: 600
               serviceAccountRef:
                 name: "default"
                 audiences:
                 - vault
   $ kubectl apply -f external-secrets/vault-system.yaml

2. default名前空間にdefaultサービス アカウントのSecretStoreカスタム リソースを配置します。

   $ cat external-secrets/vault-default.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-store
     namespace: default
   spec:
     provider:
       vault:
         server: "https://vault.internal.io"
         path: "secret"
         version: "v2"
         auth:
           jwt:
             path: "jwt-kube01"
             role: "jwt-role"
             kubernetesServiceAccountToken:
               expirationSeconds: 600
               serviceAccountRef:
                 name: "default"
                 audiences:
                 - vault
   $ kubectl apply -f external-secrets/vault-default.yaml

3. API キーを含むシークレットを参照するExternalSecretカスタム リソースを配置します。 外部シークレット演算子が作成するシークレットを見つけるには、Atlas Kubernetes Operator の値credentialsを使用してspec.target.template.metadata.labelsをatlas.mongodb.com/typeに設定する必要があります。

   次のコマンドを実行する前に、HashiCorp Vault に次のプロパティを持つ Kv V2 パスsecret/data/kube01/external-secrets/atlas-account にシークレットが入力されていることを確認してください。

   • orgId

   • publicApiKey

   • privateApiKey

   $ cat external-secrets/atlas.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: atlas
     namespace: mongodb-atlas-system
   spec:
       refreshInterval: "15s"
       secretStoreRef:
         name: vault-store
         kind: SecretStore
       target:
         name: mongodb-atlas-operator-api-key
         template:
           metadata:
             labels:
               atlas.mongodb.com/type: credentials
       data:
       - secretKey: orgId
         remoteRef:
           key: secret/data/kube01/external-secrets/atlas-account
           property: orgId
       - secretKey: publicApiKey
         remoteRef:
           key: secret/data/kube01/external-secrets/atlas-account
           property: publicApiKey
       - secretKey: privateApiKey
         remoteRef:
           key: secret/data/kube01/external-secrets/atlas-account
           property: privateApiKey
     $ kubectl apply -f external-secrets/atlas.yaml

   This command creates the Kubernetes secret mongodb-atlas-operator-api-key in the mongodb-atlas-system namespace.

4. データベースユーザーの認証情報を含むシークレットを参照するExternalSecretカスタム リソースを配置します。 外部シークレット演算子が作成するシークレットを見つけるには、Atlas Kubernetes Operator の値credentialsを使用してspec.target.template.metadata.labelsをatlas.mongodb.com/typeに設定する必要があります。

   次のコマンドを実行する前に、HashiCorp Vault に プロパティを持つ Kv V2 secret/data/kube01/external-secrets/db-userパスpassword にシークレットが入力されていることを確認してください。

   $ cat external-secrets/dbuser.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: dbuser
     namespace: default
   spec:
       refreshInterval: "15s"
       secretStoreRef:
         name: vault-store
         kind: SecretStore
       target:
         name: dbuser-password
         template:
           metadata:
             labels:
               atlas.mongodb.com/type: credentials
       data:
       - secretKey: password
         remoteRef:
           key: secret/data/kube01/external-secrets/db-user
           property: password
     $ kubectl apply -f external-secrets/atlas.yaml

5. 次のコマンドを実行すると、シークレットが期待どおりに返されることを確認します。

   $ kubectl get -n mongodb-atlas-system secrets/mongodb-atlas-operator-api-key

   $ kubectl get -n default secrets/dbuser-password

シークレット ストア CSI を使用してシークレットをプロビジョニングするには、次の手順に従います。

1. mongodb-atlas-system名前空間にSecretProviderClassカスタム リソースを配置します。 Secret s Store が作成するシークレットを見つけるには、Atlas Kubernetes Operator の値credentialsを使用してspec.secretObjects.labelsをatlas.mongodb.com/typeに設定する必要があります。

   Before you run the following command, ensure that HashiCorp Vault has the secret populated at the Kv V2 path secret/data/kube01/external-secrets/atlas-account with the following properties:

   • orgId

   • publicApiKey

   • privateApiKey

   $ cat secrets-store/atlas.yaml
   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: atlas
     namespace: mongodb-atlas-system
   spec:
     provider: vault
     secretObjects:
     - data:
       - key: orgId
         objectName: atlas-org
       - key: publicApiKey
         objectName: atlas-pub-key
       - key: privateApiKey
         objectName: atlas-secret-key
       secretName: mongodb-atlas-operator-api-key
       type: Opaque
       labels:
         atlas.mongodb.com/type: credentials
     parameters:
       vaultAddress: https://vault.internal.io
       vaultKubernetesMountPath: k8s-kube01
       roleName: k8s-kube01-role
       objects: |
         - objectName: atlas-org
           secretPath: secret/data/kube01/secrets-store/atlas-account
           secretKey: orgId
         - objectName: atlas-pub-key
           secretPath: secret/data/kube01/secrets-store/atlas-account
           secretKey: publicApiKey
         - objectName: atlas-secret-key
           secretPath: secret/data/kube01/secrets-store/atlas-account
           secretKey: privateApiKey
   $ kubectl apply -f secrets-store/atlas.yaml

   This command creates the Kubernetes secret mongodb-atlas-operator-api-key in the mongodb-atlas-system namespace.

2. 次のコマンドを実行して、必要なシークレットをマウントするポッドを追加します。

   $ cat secrets-store/ako-patch.yaml
     template:
       spec:
         containers:
         - name: system-secret-placeholder
           image: mongodb/atlas
           command: ["sleep", "infinity"]
           volumeMounts:
           - name: secrets-store-mount
             mountPath: "/mnt/secrets-store"
             readOnly: true
         volumes:
           - name: secrets-store-mount
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: atlas
   $ kubectl apply -f secrets-store/ako-patch.yaml

3. データベースユーザーの認証情報を含むシークレットを参照するSecretProviderClassカスタム リソースを配置します。 Secret s Store が作成するシークレットを見つけるには、Atlas Kubernetes Operator の値credentialsを使用してspec.target.template.metadata.labelsをatlas.mongodb.com/typeに設定する必要があります。

   Before you run the following command, ensure that HashiCorp Vault has the secret populated at the Kv V2 path secret/data/kube01/external-secrets/db-user with the password property.

   $ cat external-secrets/dbuser.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: SecretProviderClass
   metadata:
     name: dbuser
     namespace: default
   spec:
     provider: vault
     secretObjects:
     - data:
       - key: password
         objectName: dbuser
       secretName: dbuser-password
       type: Opaque
       labels:
         atlas.mongodb.com/type: credentials
    parameters:
       vaultAddress: https://vault.internal.io
       vaultKubernetesMountPath: k8s-kube01
       roleName: k8s-kube01-role
       objects: |
         - objectName: "dbuser"
           secretPath: "secret/data/kube01/secrets-store/db-user"
           secretKey: "password"
   $ kubectl apply -f secrets-store/dbuser.yaml

4. 次のコマンドを実行してsecret-placeholder要塞ポッドを作成します。これで Secrets Store の CSI ドライバーがdbuserの認証情報を取得し、Kubernetes に同期できるようにします。

   $ cat secrets-store/placeholder.yaml
   kind: Pod
   apiVersion: v1
   metadata:
     name: secret-placeholder
   spec:
     containers:
     - image: mongodb/atlas
       command: ["sleep", "infinity"]
       name: secret-placeholder
       volumeMounts:
       - name: secrets-store-mount
         mountPath: "/mnt/secrets-store"
         readOnly: true
     volumes:
       - name: secrets-store-mount
         csi:
           driver: secrets-store.csi.k8s.io
           readOnly: true
           volumeAttributes:
             secretProviderClass: dbuser
   $ kubectl apply -f secrets-store/placeholder.yaml

5. 次のコマンドを実行すると、シークレットが期待どおりに返されることを確認します。

   $ kubectl get -n mongodb-atlas-system secrets/mongodb-atlas-operator-api-key

   $ kubectl get -n default secrets/dbuser-password