シークレット ストレージの構成

ターゲット クラスターにシークレット プロビジョニング ツールをインストールします。

外部シークレット演算子 をシークレットプロビジョニングツールとして使用するには、次の手順に従います。

1. 次のコマンドを実行して、 Helm Charts で 外部シークレット演算子 をインストールし、サービスを開始します。

   helm repo add external-secrets https://charts.external-secrets.io

   helm upgrade -i --atomic \
   -n external-secrets --create-namespace --set extraArgs.loglevel=debug \
   external-secrets external-secrets/external-secrets`

2. 外部シークレットが正常に実行されることを確認します。

   kubectl get pod -n external-secrets -l app.kubernetes.io/name=external-secrets

   出力を非表示

   NAME                                READY   STATUS    RESTARTS   AGE
   external-secrets-5779d5d6f6-2lhgd   1/1     Running   0          70s

シークレットにアクセスするための認証を設定します。

OIDC JSON web tokenとKubernetes認証を設定するには次の手順に従います。

1. 次のコマンドを実行して、マウント パスのOIDC JSON web token認証を有効にします。 複数のKubernetesクラスターを設定する場合は、各クラスターのマウント パスに対してOIDC JSON web token認証を有効にする必要があります。

   vault auth enable -path=jwt-kube01 jwt

2. 次のコマンドを実行して、 kube01.internal.ioクラスター上のOIDC検出 URL への非認証アクセスを許可します。

   $ kubectl create clusterrolebinding oidc-reviewer  \
     --clusterrole=system:service-account-issuer-discovery \
     --group=system:unauthenticated

3. 次のコマンドを実行して、HashiCorp Vault にクラスターを信頼するように指示します。https://kube01.internal.io/ のクラスターの発行者は、.well-known/openid-configuration の OIDC 検出ドキュメント内のURLと一致する必要があります。

   curl https://kube01.internal.io/.well-known/openid-configuration | jq .issuer
   https://kube01.internal.io/
   vault write auth/jwt-kube01/config jwks_url="https://kube01.internal.io/openid/v1/jwks"

4. クラスターに公開するシークレットへのアクセスを許可するポリシーを作成します。

   次の例では、後の手順で指定するexternal-secretsポリシーを作成します。

   echo external-secrets-policy.hcl
   path "secret/data/kube01/external-secrets/*" {
     capabilities = ["read"]
   }

5. コマンドを実行してHashiCorp Vaultロールを作成し、Kubernetesサービス アカウントをそのロールにバインドします。これにより、HashiCorp Vault内でのサービス アカウントのアクセスが制限されます。

   次のコマンドを実行すると、vault オーディエンスのJSON web token（OIDC）タイプの jwt-kube01-system ロールが作成されます。このコマンドでは、バインドされたサブジェクトとして、sub ユーザー クレームと mongodb-atlas-system名前空間内の default Kubernetesサービス アカウントを指定します。このコマンドは、HashiCorp Vault 内の external-secrets ポリシーセットの権限のロールを関連付けます。

   vault write auth/jwt-kube01/role/jwt-kube01-system role_type="jwt" bound_audiences=vault \
     user_claim="sub" bound_subject="system:serviceaccount:mongodb-atlas-system:default" \
     policies="external-secrets"

6. コマンドを実行して、外部シークレット演算子がdefault名前空間にアクセスするための別のロールを作成します。

   次のコマンドを実行すると、vault オーディエンスのJSON web token（OIDC）タイプの jwt-kube01-default ロールが作成されます。このコマンドは、sub ユーザー クレームと、default名前空間内の default Kubernetesサービス アカウントを バインドされたサブジェクト として指定します。このコマンドは、HashiCorp Vault 内の external-secrets ポリシーセットの権限のロールを関連付けます。

   vault write auth/jwt-kube01/role/jwt-kube01-default role_type="jwt" bound_audiences=vault \
     user_claim="sub" bound_subject="system:serviceaccount:default:default" \
     policies="external-secrets"

7. システム サービス アカウントに対してOIDC認証が正常に実行されることを確認します。

   export TEST_JWT_TOKEN=$(kubectl -n mongodb-atlas-system create token default --audience "vault")
   vault write auth/jwt-kube01/login role=jwt-kube01-system jwt=$(TEST_JWT_TOKEN)

   Atlas Kubernetes Operatorは、システム サービス アカウントのOIDC JSON web token認証情報を返します。

8. デフォルトのサービス アカウントに対してOIDC認証が正常に実行されることを確認します。

   export TEST_JWT_TOKEN=$(kubectl -n default create token default --audience "vault")
   vault write auth/jwt-kube01/login role=jwt-kube01-default jwt=$(TEST_JWT_TOKEN)

   Atlas Kubernetes Operatorは、デフォルトのサービス アカウントのOIDC JSON web token認証情報を返します。

自動シークレットプロビジョニングを設定します。

外部シークレット演算子を使用してシークレットをプロビジョニングするには、

1. mongodb-atlas-system名前空間にdefaultサービス アカウントのSecretStoreカスタム リソースを配置します。

   $ cat external-secrets/vault-system.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-store
     namespace: mongodb-atlas-system
   spec:
     provider:
       vault:
         server: "https://vault.internal.io"
         path: "secret"
         version: "v2"
         auth:
           jwt:
             path: "jwt-kube01"
             role: "jwt-kube01-system"
             kubernetesServiceAccountToken:
               expirationSeconds: 600
               serviceAccountRef:
                 name: "default"
                 audiences:
                 - vault
   $ kubectl apply -f external-secrets/vault-system.yaml

2. default名前空間にdefaultサービス アカウントのSecretStoreカスタム リソースを配置します。

   $ cat external-secrets/vault-default.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: vault-store
     namespace: default
   spec:
     provider:
       vault:
         server: "https://vault.internal.io"
         path: "secret"
         version: "v2"
         auth:
           jwt:
             path: "jwt-kube01"
             role: "jwt-role"
             kubernetesServiceAccountToken:
               expirationSeconds: 600
               serviceAccountRef:
                 name: "default"
                 audiences:
                 - vault
   $ kubectl apply -f external-secrets/vault-default.yaml

3. API キーを含むシークレットを参照するExternalSecretカスタム リソースを配置します。 外部シークレット演算子が作成するシークレットを見つけるには、Atlas Kubernetes Operator の値credentialsを使用してspec.target.template.metadata.labelsをatlas.mongodb.com/typeに設定する必要があります。

   次のコマンドを実行する前に、HashiCorp Vault に次のプロパティを持つ Kv V2 パス secret/data/kube01/external-secrets/atlas-account にシークレットが入力されていることを確認してください。

   • orgId

   • publicApiKey

   • privateApiKey

   $ cat external-secrets/atlas.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: atlas
     namespace: mongodb-atlas-system
   spec:
       refreshInterval: "15s"
       secretStoreRef:
         name: vault-store
         kind: SecretStore
       target:
         name: mongodb-atlas-operator-api-key
         template:
           metadata:
             labels:
               atlas.mongodb.com/type: credentials
       data:
       - secretKey: orgId
         remoteRef:
           key: secret/data/kube01/external-secrets/atlas-account
           property: orgId
       - secretKey: publicApiKey
         remoteRef:
           key: secret/data/kube01/external-secrets/atlas-account
           property: publicApiKey
       - secretKey: privateApiKey
         remoteRef:
           key: secret/data/kube01/external-secrets/atlas-account
           property: privateApiKey
     $ kubectl apply -f external-secrets/atlas.yaml

   このコマンドは、 名前空間にKubernetesシークレット mongodb-atlas-operator-api-keymongodb-atlas-systemを作成します。

4. データベースユーザーの認証情報を含むシークレットを参照するExternalSecretカスタム リソースを配置します。 外部シークレット演算子が作成するシークレットを見つけるには、Atlas Kubernetes Operator の値credentialsを使用してspec.target.template.metadata.labelsをatlas.mongodb.com/typeに設定する必要があります。

   次のコマンドを実行する前に、HashiCorp Vault に passwordプロパティを持つ Kv V2 パス secret/data/kube01/external-secrets/db-user にシークレットが入力されていることを確認してください。

   $ cat external-secrets/dbuser.yaml
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: dbuser
     namespace: default
   spec:
       refreshInterval: "15s"
       secretStoreRef:
         name: vault-store
         kind: SecretStore
       target:
         name: dbuser-password
         template:
           metadata:
             labels:
               atlas.mongodb.com/type: credentials
       data:
       - secretKey: password
         remoteRef:
           key: secret/data/kube01/external-secrets/db-user
           property: password
     $ kubectl apply -f external-secrets/atlas.yaml

5. 次のコマンドを実行すると、シークレットが期待どおりに返されることを確認します。

   $ kubectl get -n mongodb-atlas-system secrets/mongodb-atlas-operator-api-key

   $ kubectl get -n default secrets/dbuser-password

Atlas Kubernetes Operator カスタム リソースを配置します。

Atlas Kubernetes Operator カスタム リソースを配置できるようになりました。Atlas Kubernetes Operator は、 HashiCorp Vault を参照Kubernetesシークレットを使用して認証します。配置に必要に応じて timeout の値を調整します。

kubectl apply -f ako/project.yaml
kubectl apply -f ako/deployment.yaml
kubectl apply -f ako/user.yaml
kubectl wait --for=condition=ready atlasdeployment/serverless-deployment --timeout=10m
kubectl wait --for=condition=ready atlasdatabaseuser/user --timeout=10m

これらのカスタム リソースの詳細については、「カスタム リソース 」を参照してください。

Atlas Kubernetes Operator 配置をテストします。

Atlas Kubernetes Operator の配置をテストするには、次のコマンドを実行します。

export ATLAS_DEPLOYMENT_CONN_STR=$(kubectl get secrets/test-atlas-operator-project-test-serverless-deployment-dbuser -o jsonpath='{.data.connectionStringStandardSrv}' |base64 -d)
mongosh $(ATLAS_DEPLOYMENT_CONN_STR) --apiVersion 1 --eval "show dbs"

Atlas Kubernetes Operator は、データベース配置のリストを返します。