对于 AI 代理：可在 https://www.mongodb.com/zh-cn/docs/llms.txt 获取文档索引—通过在任何 URL 路径后添加 .md 可获取所有页面的 Markdown 版本。
Docs 菜单
Docs 主页
/ /
Atlas 访问
Docs 主页
/
管理
/
Atlas Kubernetes Operator
/
Atlas 访问
Docs 主页
/
管理
/
Atlas Kubernetes Operator
/
Atlas 访问

配置密钥存储

您可以选择存储Atlas Kubernetes Operator管理的组件的敏感信息的位置，但Atlas Kubernetes Operator必须找到它期望的Kubernetes密钥。您可以通过多种方式存储Atlas Kubernetes Operator的密钥，包括以下方法：

  • 将敏感信息直接放入Kubernetes secrets 中。Atlas Kubernetes Operator文档中的所有教程默认使用Kubernetes密钥。要使用Kubernetes 密钥，请按照教程中的步骤操作。

  • 按照 GitOps 流程将敏感信息放入Github存储库。要在 git 中安全地存储敏感数据，您可以使用密封密钥等工具，它可以对预期目标集群的密钥进行加密。

  • 将敏感信息放入外部密钥存储工具中，例如 HashiCorp Vault 或 Hyperscalers原生密钥管理解决方案。中间密钥预配工具从外部密钥存储工具获取敏感信息，并根据敏感信息创建Kubernetes 密钥。要学习；了解有关密钥预配工具的更多信息，请参阅注意事项。

本教程设置一个与 Atlas Kubernetes Operator 一起使用的外部密钥存储工具。 本教程重点介绍“无密钥”设置，即不需要 Atlas Kubernetes Operator 创建和存储密钥来向 Kubernetes 集群预配密钥。

Considerations

以下教程将安装或配置以下工具和选项：

先决条件

在完成本教程之前，您需要以下工具和配置：

  • 运行 Kubernetes、Atlas Kubernetes Operator 和 Atlas 的服务帐户，并有足够的权限来配置它们。

    您需要一个正在运行的 Kubernetes 集群，其节点运行的处理器采用 x86-64、AMD64 或 ARM64 架构。 在本教程中，Kubernetes 集群https://kube01.internal.io监听默认端口 (443)。

    您可以访问 GitHub 上的 Atlas Kubernetes Operator 项目：

    要使用 Atlas CLI 安装 Atlas Kubernetes Operator， 请运行以下命令：

    atlas kubernetes operator install [options]

    To learn more about the command syntax and parameters, see the Atlas CLI documentation for atlas kubernetes operator install.

    提示

    请参阅：相关链接

    要部署 Atlas Kubernetes Operator，请运行以下命令。将<version>替换为最新版本号。

    kubectl apply -f https://raw.githubusercontent.com/mongodb/mongodb-atlas-kubernetes/<version>/deploy/all-in-one.yaml

    To register for an Atlas account, see Create an Atlas Account.

  • API keys. You must create an API key and configure the API Access List.

    您需要以下公共 API 密钥、私有 API 密钥和组织 ID 信息， 配置 Atlas Kubernetes Operator 对 Atlas 的访问权限。

  • 一个秘密存储。本教程使用HashiCorp Vault，这是一项用于密钥存储的第三方服务，在 https://vault.internal.io 上运行。

    您可以根据需要将其他密钥存储库与 Atlas Kubernetes Operator 结合使用，包括 AWS、Azure 和 Google 的 Cloud KMS。

  • 仅供内部访问。为防止在公共 Internet 上暴露敏感信息，秘密存储解决方案的以下组件只允许内部访问：

    • HashiCorp Vault 或KMS服务。

    • Kubernetes 集群 API 服务。

    • 内部网络。 本教程使用internal.io 。

    虽然以前的组件只允许内部访问，但它们允许相互访问，并允许团队或组织内的任何人访问。 这是确保安全的最佳实践。

  • 公共证书颁发机构 (CA) 。 您可以使用公共 CA 来避免管理和分发自定义 CA 根证书。

    您可以使用以下任何工具自动执行 CA 证书管理和续订：

    在本教程中：

    • 所有internal.io HTTPs 服务都是内部地址，但其 HTTPS 站点保存由公共 CA 签名的自动续订证书。

    • 此集成不需要双向 TLS (mTLS)，因为它仅执行服务器端 HTTPS 验证。

    • 客户端可以信任这些服务证书，而无需额外的证书预配。

步骤

请按照以下步骤为 Atlas Kubernetes Operator 配置密钥存储。

1

在目标集群中安装密钥配置工具。

选择一个密钥预配工具进行安装。

要将外部密钥操作符用作密钥预配工具，请执行以下操作：

  1. 运行以下命令以安装带有 Helm Charts 的外部 Secrets Operator 并启动该服务：

    helm repo add external-secrets https://charts.external-secrets.io
    helm upgrade -i --atomic \
    -n external-secrets --create-namespace --set extraArgs.loglevel=debug \
    external-secrets external-secrets/external-secrets`

  2. 确保外部密钥成功运行：

    kubectl get pod -n external-secrets -l app.kubernetes.io/name=external-secrets
    NAME                                READY   STATUS    RESTARTS   AGE
    external-secrets-5779d5d6f6-2lhgd   1/1     Running   0          70s
2

设置身份验证以访问密钥。

要设置OIDC JWT和 Kubernetes 身份验证，请执行以下操作：

  1. 运行以下命令，为挂载路径启用OIDC JSON web token身份验证。 如果设置了多个Kubernetes集群，则必须为每个集群的挂载路径启用OIDC JSON web token身份验证。

    vault auth enable -path=jwt-kube01 jwt

  2. 运行以下命令，以允许对 kube01.internal.io 集群上的 OIDC 发现 URL 进行未经身份验证的访问：

    $ kubectl create clusterrolebinding oidc-reviewer  \
      --clusterrole=system:service-account-issuer-discovery \
      --group=system:unauthenticated

  3. Run the following command to direct HashiCorp Vault to trust the cluster. The issuer for the cluster at https://kube01.internal.io/ must match the URL in the OIDC discovery document at .well-known/openid-configuration.

    curl https://kube01.internal.io/.well-known/openid-configuration | jq .issuer
    https://kube01.internal.io/
    vault write auth/jwt-kube01/config jwks_url="https://kube01.internal.io/openid/v1/jwks"

  4. 创建策略，允许访问要向集群公开的密钥。

    以下示例创建您在后续步骤中指定的external-secrets策略。

    echo external-secrets-policy.hcl
    path "secret/data/kube01/external-secrets/*" {
      capabilities = ["read"]
    }

  5. 运行以下命令创建HashiCorp Vault角色，并将Kubernetes服务帐户绑定到该角色，从而限制该服务帐户在HashiCorp Vault中的访问权限。

    以下命令为 vault 受众创建 JSON web token ( OIDC ) 类型的 jwt-kube01-system角色。该命令指定 sub 用户声明和 mongodb-atlas-system命名空间中的 default Kubernetes服务帐户作为绑定主题。此命令将角色与 HashiCorp Vault 中的 external-secrets 策略权限设立绑定。

    vault write auth/jwt-kube01/role/jwt-kube01-system role_type="jwt" bound_audiences=vault \
      user_claim="sub" bound_subject="system:serviceaccount:mongodb-atlas-system:default" \
      policies="external-secrets"

  6. 运行命令为外部密钥操作符创建另一个角色，以访问default命名空间。

    以下命令为 vault 受众创建 JSON web token ( OIDC ) 类型的 jwt-kube01-default角色。此命令指定 sub 用户声明和 default命名空间中的 default Kubernetes服务帐户作为绑定主题。此命令将角色与 HashiCorp Vault 中的 external-secrets 策略权限设立绑定。

    vault write auth/jwt-kube01/role/jwt-kube01-default role_type="jwt" bound_audiences=vault \
      user_claim="sub" bound_subject="system:serviceaccount:default:default" \
      policies="external-secrets"

  7. 确保系统服务帐户成功运行OIDC身份验证：

    export TEST_JWT_TOKEN=$(kubectl -n mongodb-atlas-system create token default --audience "vault")
    vault write auth/jwt-kube01/login role=jwt-kube01-system jwt=$(TEST_JWT_TOKEN)

    Atlas Kubernetes Operator 返回系统服务帐户的OIDC JSON web token档案。

  8. 确保为默认服务帐户成功运行OIDC身份验证：

    export TEST_JWT_TOKEN=$(kubectl -n default create token default --audience "vault")
    vault write auth/jwt-kube01/login role=jwt-kube01-default jwt=$(TEST_JWT_TOKEN)

    Atlas Kubernetes Operator返回默认服务帐户的OIDC JSON web token凭证。

3

设置自动密钥预配。

要使用外部密钥操作符预配密钥，请执行以下操作：

提示

以下示例显示 API 密钥属性 (publicApiKey、privateApiKey)。如果使用服务账户，请将其替换为 clientId 和 clientSecret。要了解更多信息，请参阅使用服务账户配置对 Atlas 的访问权限。

  1. 在mongodb-atlas-system命名空间中为default服务帐户部署SecretStore自定义资源：

    $ cat external-secrets/vault-system.yaml
    apiVersion: external-secrets.io/v1beta1
    kind: SecretStore
    metadata:
      name: vault-store
      namespace: mongodb-atlas-system
    spec:
      provider:
        vault:
          server: "https://vault.internal.io"
          path: "secret"
          version: "v2"
          auth:
            jwt:
              path: "jwt-kube01"
              role: "jwt-kube01-system"
              kubernetesServiceAccountToken:
                expirationSeconds: 600
                serviceAccountRef:
                  name: "default"
                  audiences:
                  - vault
    $ kubectl apply -f external-secrets/vault-system.yaml

  2. 在default命名空间中为default服务帐户部署SecretStore自定义资源：

    $ cat external-secrets/vault-default.yaml
    apiVersion: external-secrets.io/v1beta1
    kind: SecretStore
    metadata:
      name: vault-store
      namespace: default
    spec:
      provider:
        vault:
          server: "https://vault.internal.io"
          path: "secret"
          version: "v2"
          auth:
            jwt:
              path: "jwt-kube01"
              role: "jwt-role"
              kubernetesServiceAccountToken:
                expirationSeconds: 600
                serviceAccountRef:
                  name: "default"
                  audiences:
                  - vault
    $ kubectl apply -f external-secrets/vault-default.yaml

  3. 部署引用包含 API 密钥的密钥的ExternalSecret自定义资源。 您必须将spec.target.template.metadata.labels设置为atlas.mongodb.com/type ，值为credentials ，Atlas Kubernetes Operator 才能找到外部密钥 操作符 创建的密钥。

    在运行以下命令之前，请确保HashiCorp Vault已在 Kv V2 路径 secret/data/kube01/external-secrets/atlas-account 中填充具有以下属性的密钥：

    • orgId

    • publicApiKey

    • privateApiKey

    $ cat external-secrets/atlas.yaml
    apiVersion: external-secrets.io/v1beta1
    kind: ExternalSecret
    metadata:
      name: atlas
      namespace: mongodb-atlas-system
    spec:
        refreshInterval: "15s"
        secretStoreRef:
          name: vault-store
          kind: SecretStore
        target:
          name: mongodb-atlas-operator-api-key
          template:
            metadata:
              labels:
                atlas.mongodb.com/type: credentials
        data:
        - secretKey: orgId
          remoteRef:
            key: secret/data/kube01/external-secrets/atlas-account
            property: orgId
        - secretKey: publicApiKey
          remoteRef:
            key: secret/data/kube01/external-secrets/atlas-account
            property: publicApiKey
        - secretKey: privateApiKey
          remoteRef:
            key: secret/data/kube01/external-secrets/atlas-account
            property: privateApiKey
      $ kubectl apply -f external-secrets/atlas.yaml

    此命令在 mongodb-atlas-system 命名空间中创建 Kubernetes 密钥 mongodb-atlas-operator-api-key。

  4. 部署引用包含数据库用户档案的密钥的ExternalSecret自定义资源。 您必须将spec.target.template.metadata.labels设置为atlas.mongodb.com/type ，值为credentials ，Atlas Kubernetes Operator 才能找到外部密钥 Operator 创建的密钥。

    在运行以下命令之前，请确保HashiCorp Vault已在 Kv V2 路径 secret/data/kube01/external-secrets/db-user 中使用 password属性填充密钥。

    $ cat external-secrets/dbuser.yaml
    apiVersion: external-secrets.io/v1beta1
    kind: ExternalSecret
    metadata:
      name: dbuser
      namespace: default
    spec:
        refreshInterval: "15s"
        secretStoreRef:
          name: vault-store
          kind: SecretStore
        target:
          name: dbuser-password
          template:
            metadata:
              labels:
                atlas.mongodb.com/type: credentials
        data:
        - secretKey: password
          remoteRef:
            key: secret/data/kube01/external-secrets/db-user
            property: password
      $ kubectl apply -f external-secrets/atlas.yaml

  5. 确保运行以下命令时按预期返回密钥：

    $ kubectl get -n mongodb-atlas-system secrets/mongodb-atlas-operator-api-key
    $ kubectl get -n default secrets/dbuser-password
4

部署 Atlas Kubernetes Operator 自定义资源。

现在，您可以部署Atlas Kubernetes Operator自定义资源。Atlas Kubernetes Operator引用 HashiCorp Vault 的Kubernetes密钥进行身份验证。根据部署需要调整 timeout 值。

kubectl apply -f ako/project.yaml
kubectl apply -f ako/deployment.yaml
kubectl apply -f ako/user.yaml
kubectl wait --for=condition=ready atlasdeployment/serverless-deployment --timeout=10m
kubectl wait --for=condition=ready atlasdatabaseuser/user --timeout=10m

要了解有关这些自定义资源的更多信息，请参阅自定义资源。

5

测试 Atlas Kubernetes Operator 部署。

要测试 Atlas Kubernetes Operator 部署，请运行以下命令：

export ATLAS_DEPLOYMENT_CONN_STR=$(kubectl get secrets/test-atlas-operator-project-test-serverless-deployment-dbuser -o jsonpath='{.data.connectionStringStandardSrv}' |base64 -d)
mongosh $(ATLAS_DEPLOYMENT_CONN_STR) --apiVersion 1 --eval "show dbs"

Atlas Kubernetes Operator 返回您的数据库部署列表。

后退
Atlas 访问
来年
网络对等
给本页内容打分

在此页面上