Configurar armazenamento secreto

Adicione as políticas do Vault para o Kubernetes Operator e seus componentes.

Escreva as políticas para os Kubernetes Operator, MongoDB database, MongoDB Ops Manager e AppDB no Vault usando o comando a seguir, substituindo as variáveis pelos valores na tabela:

vault policy write {PolicyName} {PathToPolicyFile}

Repita o comando para todos os recursos que você está adicionando ao Vault.

Vincule os roles do Vault às políticas do Vault para o Operador Kubernetes e seus componentes.

Vincule os roles do Vault às políticas para o Kubernetes Operator, MongoDB database, MongoDB Ops Manager e AppDB usando os quatro comandos a seguir, substituindo as variáveis pelos valores na tabela:

vault write auth/kubernetes/role/{OperatorPolicyName}
bound_service_account_names=enterprise-operator bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{DatabasePolicyName}
bound_service_account_names=mongodb-kubernetes-database-pods bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{OpsManagerPolicyName}
bound_service_account_names=mongodb-kubernetes-ops-manager bound_service_account_namespaces={ServiceAccountNamespace}

vault write auth/kubernetes/role/{AppDBPolicyName}
bound_service_account_names=mongodb-kubernetes-appdb bound_service_account_namespaces={ServiceAccountNamespace}

Esses comandos garantem que os pods de cada componente tenham somente o acesso especificado em sua política.

vault write auth/kubernetes/role/{PolicyName}
bound_service_account_names={ServiceAccountName} bound_service_account_namespaces={ServiceAccountNamespace}

Adicione as anotações ao arquivo de sistema do Kubernetes.

Antes de executar os comandos nesta etapa, certifique-se de ter criado uma função no Vault com o nome mongodbenterprise.

Adicione as seguintes linhas realçadas à seção spec.template.metadata.annotations do seu arquivo de sistema do Kubernetes Operator. Para a maioria dos usuários, o nome desse arquivo é mongodb-kubernetes.yaml ou mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   replicas: 1
   template:
      metadata:
        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"

Se você estiver executando o Vault no modo TLS e especificou o valor operator.vaultSecretBackend.tlsSecretRef, o Kubernetes Operator adicionará as seguintes anotações. Caso contrário, adicione a seguinte linha destacada ao arquivo, substituindo {TLSSecret} pelo nome do segredo contendo uma entrada ca.crt. O conteúdo da entrada ca.crt deve corresponder ao certificado da CA usado para gerar os certificados Vault TLS.

        annotations:
          vault.hashicorp.com/agent-inject: "true"
          vault.hashicorp.com/role: "mongodbenterprise"
          vault.hashicorp.com/tls-secret: {TLSSecret}
          vault.hashicorp.com/ca-cert: /vault/tls/ca.crt

Defina a variável de ambiente no Kubernetes.

Adicione as seguintes linhas realçadas à seção spec.env do seu arquivo de sistema do Kubernetes Operator. Para a maioria dos usuários, o nome desse arquivo é mongodb-kubernetes.yaml ou mongodb-kubernetes-openshift.yaml.

apiVersion: apps/v1
kind: Deployment
metadata:
   name: mongodb-kubernetes-operator
   namespace: production
spec:
   env:
   - name: OPERATOR_ENV
     value: ENVIRONMENT_NAME
   - name: SECRET_BACKEND
     value: VAULT_BACKEND

Isso define a variável de ambiente do Vault no Kubernetes.

Crie um arquivo com as informações de configuração do Vault.

Usando seu aplicação de edição de texto preferido, crie um arquivo chamado config. Cole o seguinte texto no arquivo:

apiVersion: v1
kind: ConfigMap
metadata:
  name: secret-configuration
  namespace: {Namespace}
data:
  VAULT_SERVER_ADDRESS: {VaultServerAddress}
  OPERATOR_SECRET_BASE_PATH: mongodbenterprise/operator
  DATABASE_SECRET_BASE_PATH: mongodbenterprise/database
  OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
  APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb

Os caminhos neste arquivo são os caminhos padrão. Você pode substituí-los por seus caminhos de base se tiver personalizado a configuração do Kubernetes Operator.

Se estiver executando o Vault no modo TLS , você também deverá adicionar a seguinte linha destacada ao arquivo:

   OPS_MANAGER_SECRET_BASE_PATH: mongodbenterprise/opsmanager
   APPDB_SECRET_BASE_PATH: mongodbenterprise/appdb
   TLS_SECRET_REF: {TLSSecret}

Substitua os espaços reservados nas informações de configuração do Vault.

Substitua os espaços reservados no arquivo config por estes valores. Salve o arquivo com um tipo de arquivo YAML substituindo a extensão de arquivo .txt por .yaml.

Crie um ConfigMap com a configuração do Vault.

Emitir o seguinte comando para criar um ConfigMap contendo as informações do Vault:

kubectl create configmap secret-configuration --from-file=config.yaml

Isto cria um ConfigMap denominado secret-configuration. Este ConfigMap contém o conteúdo do arquivo config.

Migrar manualmente segredos que não migram automaticamente

Você deve migrar manualmente os seguintes segredos para armazená-los no Vault:

• Qualquer segredo criado por usuário existente, incluindo credenciais de operador armazenadas como segredos do Kubernetes, se aplicável

• O operador Kubernetes secreto gen-key cria

• As MongoDB Ops Manager credenciais de administrador/chave de administrador Kubernetes Operator criam

• Segredos do TLS

Para migrar ou criar manualmente novos segredos, adicione-os ao Vault. Depois de adicioná-los ao Vault, você poderá removê-los do Kubernetes.

Todos os outros segredos que o Kubernetes Operator cria migram automaticamente, e o Kubernetes Operator usa o Vault para novos segredos. Os segredos criados pelo usuário devem ser adicionados ao Vault.