Configurar armazenamento secreto

Adicione as políticas do Vault para o Kubernetes Operator e seus componentes.

Escreva as políticas para os Kubernetes Operator, MongoDB database, MongoDB Ops Manager e AppDB no Vault usando o comando a seguir, substituindo as variáveis pelos valores na tabela:

vault policy write {PolicyName} {PathToPolicyFile}

Repita o comando para todos os recursos que você está adicionando ao Vault.

Vincule os roles do Vault às políticas do Vault para o Operador Kubernetes e seus componentes.

Vincule os roles do Vault às políticas para o Kubernetes Operator, MongoDB database, MongoDB Ops Manager e AppDB usando os quatro comandos a seguir, substituindo as variáveis pelos valores na tabela:

vault write auth/kubernetes/role/{OperatorPolicyName}
bound_service_account_names=enterprise-operator bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{DatabasePolicyName}
bound_service_account_names=mongodb-kubernetes-database-pods bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{OpsManagerPolicyName}
bound_service_account_names=mongodb-kubernetes-ops-manager bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{AppDBPolicyName}
bound_service_account_names=mongodb-kubernetes-appdb bound_service_account_namespaces={ServiceAccountNamespace}

Esses comandos garantem que os pods de cada componente tenham somente o acesso especificado em sua política.

vault write auth/kubernetes/role/{PolicyName}
bound_service_account_names={ServiceAccountName} bound_service_account_namespaces={ServiceAccountNamespace}

Adicione as anotações ao arquivo de sistema do Kubernetes.

Before running commands in this step, ensure that you have created a Vault role with the name mongodbenterprise.

Adicione as seguintes linhas realçadas à seção spec.template.metadata.annotations do seu arquivo de sistema do Kubernetes Operator. Para a maioria dos usuários, o nome desse arquivo é mongodb-kubernetes.yaml ou mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   replicas: 1
   template:
      metadata:
        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"

If you're running Vault in TLS mode, and specified the operator.vaultSecretBackend.tlsSecretRef value, the Kubernetes Operator adds the following annotations. Otherwise, add the following highlighted line to the file, replacing {TLSSecret} with the name of the secret containing a ca.crt entry. The content of the ca.crt entry must match the certificate of the CA used to generate the Vault TLS certificates.

        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"
          vault.hashicorp.com/tls-secret: {TLSSecret}
          vault.hashicorp.com/ca-cert: /vault/tls/ca.crt

Defina a variável de ambiente no Kubernetes.

Adicione as seguintes linhas realçadas à seção spec.env do seu arquivo de sistema do Kubernetes Operator. Para a maioria dos usuários, o nome desse arquivo é mongodb-kubernetes.yaml ou mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   env:
   - name: OPERATOR_ENV
     value: ENVIRONMENT_NAME
   - name: SECRET_BACKEND
     value: VAULT_BACKEND

Isso define a variável de ambiente do Vault no Kubernetes.

Crie um arquivo com as informações de configuração do Vault.

Usando seu aplicação de edição de texto preferido, crie um arquivo chamado config. Cole o seguinte texto no arquivo:

apiVersion: v1
kind: ConfigMap
metadata:
  name: secret-configuration
  namespace: {Namespace}
data:
  VAULT_SERVER_ADDRESS: {VaultServerAddress}
  OPERATOR_SECRET_BASE_PATH: mongodbenterprise/operator
  DATABASE_SECRET_BASE_PATH: mongodbenterprise/database
  OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
  APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb

Os caminhos neste arquivo são os caminhos padrão. Você pode substituí-los por seus caminhos de base se tiver personalizado a configuração do Kubernetes Operator.

Se você estiver executando o Vault no modo TLS , também deverá adicionar a seguinte linha destacada ao arquivo:

   OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
   APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb
   TLS_SECRET_REF: {TLSSecret}

Substitua os espaços reservados nas informações de configuração do Vault.

Replace the placeholders in the config file with these values. Save the file with a YAML file type by replacing the .txt file extension with .yaml.

Crie um ConfigMap com a configuração do Vault.

Emitir o seguinte comando para criar um ConfigMap contendo as informações do Vault:

kubectl create configmap secret-configuration --from-file=config.yaml

This creates a ConfigMap named secret-configuration. This ConfigMap contains the contents of the config file.

Migrar manualmente segredos que não migram automaticamente

Você deve migrar manualmente os seguintes segredos para armazená-los no Vault:

• Qualquer segredo criado por usuário existente, incluindo credenciais de operador armazenadas como segredos do Kubernetes, se aplicável

• O operador Kubernetes secreto gen-key cria

• As MongoDB Ops Manager credenciais de administrador/chave de administrador Kubernetes Operator criam

• Segredos do TLS

Para migrar ou criar manualmente novos segredos, adicione-os ao Vault. Depois de adicioná-los ao Vault, você poderá removê-los do Kubernetes.

Todos os outros segredos que o Kubernetes Operator cria migram automaticamente, e o Kubernetes Operator usa o Vault para novos segredos. Os segredos criados pelo usuário devem ser adicionados ao Vault.