使用csi-secrets-store-provider-alibabacloud导入阿里云KMS服务凭据

安全说明

默认情况下，您直接从文件系统读取密钥和阿里云KMS凭据管家之间的直接交互可能存在兼容性问题，csi-secrets-store-provider-alibabacloud可以用于解决此类兼容性问题，同时支持将密钥同步创建为集群中的Kubernetes原生Secrets实例，以供环境变量挂载使用。使用前请您评估如下的安全风险。

• 当密钥在文件系统中可以被访问时，如果应用中存在某些有缺陷的软件，该软件的漏洞可能会造成目录遍历的风险，导致敏感信息泄露。

• 由于一些Debug端点或Logs权限的误配置都可能导致密钥泄露，所以通过环境变量挂载引用的方式消费密钥是一个不安全且不推荐的方式。

• 当开启Secret实例同步特性时，需要基于权限最小化原则严格控制访问权限。

鉴于上述原因，如果应用中并不需要密文的持久化存储，推荐通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离为应用配置Pod维度的最小化权限，并通过凭据管理直接在应用中获取密钥凭据，以减少密钥内容在Pod文件系统或Kubernetes集群Secrets中的暴漏风险。

前提条件

• 已创建符合如下要求的ACK集群。具体操作，请参见创建ACK托管集群、创建注册集群。

  • 集群为1.20及以上版本。支持ACK托管集群、ACK专有集群、ACK注册集群，暂不支持ACK Serverless集群。

  • 集群与您的KMS服务凭据需要在同一地域。

• 已通过kubectl工具连接集群。

步骤一：配置组件认证信息

您需要配置csi-secrets-store-provider-alibabacloud的认证信息，以确保该组件有权限获取KMS服务中的凭据信息，否则csi-secrets-store-provider-alibabacloud将无法向集群中导入或同步凭据信息。您可以根据集群类型选择如下三种授权方式进行配置。

• 通过RRSA授权：适用于1.22及以上版本的ACK托管集群。

• 为集群对应的Worker RAM角色添加权限：适用于ACK托管集群、ACK专有集群和ACK注册集群。

• 通过设置AK扮演指定RAM角色：适用于所有容器服务Kubernetes集群。

步骤二：安装csi-secrets-store-provider-alibabacloud组件

1. 登录容器服务管理控制台，在左侧导航栏选择集群。

2. 在集群列表页面，单击目标集群名称，然后在左侧导航栏，选择应用 > Helm。

3. 在Helm页面，单击创建，在Chart区域搜索并选中csi-secrets-store-provider-alibabacloud，其它设置保持默认，然后单击下一步。

   根据弹出的页面提示确认，组件将被安装在默认的kube-system命名空间中，并以组件名称发布应用。如果您需要自定义应用名和命名空间，请根据页面提示设置。

4. 选择Chart版本为最新版本，在参数区域根据步骤一选择的认证方式，设置相关参数，然后单击确定。

   • 如果选择通过RRSA授权，您需要将参数rrsa.enable设置为true，以开启RRSA认证功能。

     其他相关参数配置如下。

     envVarsFromSecret:
     #  ACCESS_KEY_ID:
     #    secretKeyRef: alibaba-credentials
     #    key: id
     #  SECRET_ACCESS_KEY:
     #    secretKeyRef: alibaba-credentials
     #    key: secret
       ALICLOUD_ROLE_ARN:
         secretKeyRef: alibaba-credentials
         key: rolearn
     #  ALICLOUD_ROLE_SESSION_NAME:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionname
     #  ALICLOUD_ROLE_SESSION_EXPIRATION:
     #    secretKeyRef: alibaba-credentials
     #   key: rolesessionexpiration
       ALICLOUD_OIDC_PROVIDER_ARN:
         secretKeyRef: alibaba-credentials
         key: oidcproviderarn

   • 如果选择为集群对应的Worker RAM角色添加权限，您可以采用默认参数配置直接安装。

   • 如果选择通过设置AK扮演指定RAM角色，您需要配置如下相关参数。

     envVarsFromSecret:
       ACCESS_KEY_ID:
         secretKeyRef: alibaba-credentials
         key: id
       SECRET_ACCESS_KEY:
         secretKeyRef: alibaba-credentials
         key: secret
       ALICLOUD_ROLE_ARN:
         secretKeyRef: alibaba-credentials
         key: rolearn
     #  ALICLOUD_ROLE_SESSION_NAME:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionname
     #  ALICLOUD_ROLE_SESSION_EXPIRATION:
     #    secretKeyRef: alibaba-credentials
     #    key: rolesessionexpiration
     #  ALICLOUD_OIDC_PROVIDER_ARN:
     #    secretKeyRef: alibaba-credentials
     #    key: oidcproviderarn

   • 如需开启定时同步凭据的功能，需要配置如下相关参数。

     • secrets-store-csi-driver.enableSecretRotation：是否开启凭据的自动轮询功能，设置为true，开启凭据自动轮询功能。

     • secrets-store-csi-driver.rotationPollInterval：凭据同步的频率，设置为120s，此处以两分钟同步一次凭据为例，您可以根据实际需求调整。

   创建成功后，会自动跳转到目标集群的csi-secrets-store-provider-alibabacloud页面，检查安装结果。若下图中所有资源创建成功，则表明组件安装成功。

步骤三：配置数据同步信息

认证信息配置完成后，您需要通过SecretProviderClass来进行KMS凭据信息的配置。

配置模板说明

SecretProviderClass模板格式定义如下所示。

apiVersion: secrets-store.csi.x-k8s.io/v1alpha1
kind: SecretProviderClass
metadata:
  name: <NAME>
spec:
  provider: alibabacloud   # 此处配置固定为'alibabacloud'。
  parameters:

其中parameters通常包含挂载请求的三个字段：

parameters:
    objects: |
        - objectName: "MySecret"

配置使用示例

本示例以ACK托管集群同一地域下的KMS服务凭据test为例，介绍如何通过SecretProviderClass将其导入到集群应用中。

1. 使用以下简单的SecretProviderClass示例，创建secretstore.yaml文件。

   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: test-secrets
   spec:
     provider: alibabacloud   # 此处固定配置为alibabacloud。
     parameters:
       objects: | # objectType 支持oos和kms, 默认为kms
         - objectName: "test"
         - objectType: "kms"

2. 执行以下命令，部署SecretProviderClass。

   kubectl apply -f secretstore.yaml

3. 使用以下内容，创建deploy.yaml。

   包含一个Nginx Deployment实例，通过CSI Inline文件系统的形式声明使用了上面示例中已经创建的SecretProviderClass，并在Pod中的/mnt/secrets-store目录下挂载凭据密钥。关于Deployment实例更多信息，请参见Deployment示例。

   apiVersion: apps/v1  # 1.8.0之前版本请使用apps/v1beta1。
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         volumes:
           - name: secrets-store-inline
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: "test-secrets"
         containers:
           - name: nginx
             image: anolis-registry.cn-zhangjiakou.cr.aliyuncs.com/openanolis/nginx:1.14.1-8.6 # 替换为您的实际镜像。
             ports:
               - containerPort: 80
             resources:
               limits:
                 cpu: "500m"
             volumeMounts:
               - name: secrets-store-inline
                 mountPath: "/mnt/secrets-store"
                 readOnly: true

4. 执行以下命令，部署Deploy应用。

   kubectl apply -f deploy.yaml

5. 验证密钥是否被正常挂载。

   登录Pod查看Secret的目标挂载路径/mnt/secrets-store下是否已经创建了SecretProviderClass实例中指定密钥名称为文件名的密钥文件，同时查看文件内容是否为KMS凭据中指定的密文。

相关文档

• 如果您需要为ACK Serverless集群中的应用导入阿里云KMS凭据，请参见使用ack-secret-manager导入阿里云KMS服务凭据。

• 为了保护从KMS读取后缓存在ACK集群中的Secret，您可以对ACK集群Secret进行一键加密。具体操作，请参见使用阿里云KMS进行Secret的落盘加密。