使用csi-secrets-store-provider-alibabacloud导入阿里云KMS服务凭据

配置模板说明

SecretProviderClass模板格式定义如下所示。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # 此处配置固定为'alibabacloud'。
  parameters:
    objects: |
      - objectName: <KMS Encryption Parameter Name> # KMS 凭据名称
        objectType: kms # 同步 KMS 凭据时固定为 kms

其中parameters通常包含挂载请求的三个字段：

parameters:
  objects: |
    - objectName: "MySecret"
    - objectType: "kms"

配置使用示例

本示例以ACK托管集群同一地域下的KMS服务凭据test为例，介绍如何通过SecretProviderClass将其导入到集群应用中。

1. 使用以下简单的SecretProviderClass示例，创建secretstore.yaml文件。

   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: test-secrets
   spec:
     provider: alibabacloud   # 此处固定配置为alibabacloud。
     parameters:
       objects: | # objectType 支持oos和kms, 默认为kms
         - objectName: "test-hangzhou"
           objectType: "kms"
           objectAlias: "hangzhou-public"
           kmsEndpoint:  "kms.{region}.aliyuncs.com"

2. 执行以下命令，部署SecretProviderClass。

   kubectl apply -f secretstore.yaml

3. 使用以下内容，创建deploy.yaml。

   包含一个Nginx Deployment实例，通过CSI Inline文件系统的形式声明使用了上面示例中已经创建的SecretProviderClass，并在Pod中的/mnt/secrets-store目录下挂载凭据密钥。关于Deployment实例更多信息，请参见Deployment示例。

   apiVersion: apps/v1  # 1.8.0之前版本请使用apps/v1beta1。
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         volumes:
           - name: secrets-store-inline
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: "test-secrets"
         containers:
           - name: nginx
             image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # 替换为您的实际镜像。
             ports:
               - containerPort: 80
             resources:
               limits:
                 cpu: "500m"
             volumeMounts:
               - name: secrets-store-inline
                 mountPath: "/mnt/secrets-store"
                 readOnly: true

4. 执行以下命令，部署Deploy应用。

   kubectl apply -f deploy.yaml

5. 验证密钥是否被正常挂载。

   登录Pod查看Secret的目标挂载路径/mnt/secrets-store下是否已经创建了SecretProviderClass实例中指定密钥名称为文件名的密钥文件，同时查看文件内容是否为KMS凭据中指定的密文。

将 KMS 凭据同步为 Kubernetes Secret

Secrets Store CSI Driver 支持将从外部密钥管理服务（如阿里云KMS、OOS）中获取的密钥，自动同步并创建为集群内原生的 Kubernetes Secret。应用无需修改代码，就能以标准方式使用这些外部密钥。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # 此处配置固定为alibabacloud，请勿修改。
  parameters:
    objects: |
      - objectName: <KMS Encryption Parameter Name>  # KMS 凭据名称
        objectType: kms     # 同步 KMS 凭据时固定为 kms
  secretObjects:
  - secretName: <Kubernetes Secret Name>            # Kubernetes Secret 名称
    type: <Kubernetes Secret Type>                  # Kubernetes Secret 类型
    data:
    - objectName: <parameters.objects.objectName>   # parameters.objects.objectName 名称，当指定别名时，使用别名
      key: <Kubernetes Secret Data Key>             # Kubernetes Secret Data Key 字段名称

kmsEndpoint配置说明

可通过专属网关访问或共享网关访问两种方式访问KMS服务获取凭据，请参考以下要求进行Endpoint配置。关于专属网关访问和共享网关访问的更多差异，请参见共享网关和专属网关的差异。

KMS Endpoint地址说明

KMS Endpoint配置示例

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: test
spec:
  provider: alibabacloud # 固定值为 'alibabacloud'
  parameters:
    # 示例使用网关说明：
    # hangzhou-public 使用共享网关公网域名，需要将{region}替换为KMS凭据所在的Region，此方式可获取和集群不在同一Region的KMS凭据
    # hangzhou-vpc 未指定kmsEndpoint字段，使用默认的共享网关VPC域名
    # hangzhou-cryptoservice 使用专属网关，需要替换{kms-instance-id}为KMS凭据所属实例ID
    # london-public 使用共享网关公网域名，需要将{region}替换为KMS凭据所在的Region，此方式可获取和集群不在同一Region的KMS凭据
    objects: |
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-vpc"
      - objectName: "test-hangzhou"
        objectType: "kms"
        objectAlias: "hangzhou-cryptoservice"
        kmsEndpoint:  "{kms-instance-id}.cryptoservice.kms.aliyuncs.com"
      - objectName: "test-london"
        objectAlias: "london-public"
        kmsEndpoint:  "kms.{region}.aliyuncs.com"