使用ack-secret-manager或csi-secrets-store-provider-alibabacloud导入阿里云KMS服务凭据

安全说明

ack-secret-manager和csi-secrets-store-provider-alibabacloud组件用于解决默认从文件系统读取密钥配置的Kubernetes负载应用和阿里云凭据管家交互的兼容性问题。同时也支持将密钥同步创建为集群中的Kubernetes原生Secrets实例，用于环境变量挂载使用。使用前请您评估如下的安全风险。

• 当密钥在文件系统中可访问时，攻击者可能通过应用中的例如目录遍历（Directory traversal）CVE安全漏洞窃取密钥。

• 由于一些Debug端点或Logs权限的误配置都可能导致密钥泄露，所以通过环境变量挂载引用的方式消费密钥是一个安全且不推荐的方式。

• 当开启Secret实例同步特性时，需要基于权限最小化原则严格控制访问权限。

鉴于上述原因，如果应用中并不需要密文的持久化存储，安全上推荐使用通过RRSA配置ServiceAccount的RAM权限实现Pod权限隔离为应用配置pod维度的最小化权限，并通过凭据管理直接在应用中获取密钥凭据，以减少密钥内容在Pod文件系统或Kubernetes集群Secrets中的暴露面。

配置认证信息

您需要确保ack-secret-manager组件有权限获取KMS服务中的凭据信息，否则ack-secret-manager组件将无法向集群中导入或同步凭据信息，您可以根据集群信息选择如下三种授权配置方式。

• 方式一：为集群对应的WorkRole添加权限：适用于ACK托管集群。

• 方式二：通过RRSA授权：适用于1.22及以上版本的ACK托管集群和ACK Serverless集群，推荐在多租场景下使用。

• 方式三：通过设置AK扮演指定RAM角色：适用于所有容器服务Kubernetes集群。

使用ack-secret-manager

前提条件

• 已创建Kubernetes托管版集群

• 已通过kubectl工具连接集群

• 已安装阿里云CLI

安装ack-secret-manager组件

1. 登录容器服务管理控制台，在左侧导航栏选择市场 > 应用市场。

2. 在应用目录页签下选中全部页签，在搜索框中搜索并选中ack-secret-manager。然后在ack-secret-manager页面右上角，单击一键部署。

3. 在弹出面板中，选择集群，命名空间和发布名称可保持默认值，然后单击下一步。

4. 在参数配置页面，设置相应参数，然后单击确定。

   创建成功后，会自动跳转到目标集群的ack-secret-manager页面，检查安装结果。若下图中所有资源创建成功，则表明组件安装成功。

使用示例

通过在阿里云KMS凭据管家中添加一个测试凭据，并在目标集群中创建一个ExternalSecret实例用于展示从凭据管家中导入密钥到集群中创建并同步Secret的过程。

1. 执行以下命令，在KMS凭据管家中添加凭证。更多信息，请参见管理通用凭据。

   如果您使用的专属KMS实例，请登录密钥管理服务控制台创建凭据。具体操作，请参见管理及使用通用凭据。

   aliyun kms CreateSecret --SecretName test --SecretData 1234 --VersionId v1

2. 使用以下YAML内容，创建hello-service-external-secret.yaml文件。

   apiVersion: 'alibabacloud.com/v1alpha1'
   kind: ExternalSecret
   metadata:
     name: hello-service
   spec:
     data:
       - key: test
         name: password
         versionStage: ACSCurrent

3. 执行以下命令，创建ExternalSecret测试实例。

   kubectl apply -f hello-service-external-secret.yml

4. 执行以下命令，查看目标Secret是否创建成功。

   kubectl get secret hello-service -o yaml

   预期输出：

   apiVersion: v1
   kind: Secret
   metadata:
     name: hello-service
   type: Opaque
   data:
     password: MTIzNA==

   如果存在以上预期输出，表明Secret已创建成功。

5. 修改并同步Secret。

   在未关闭自动同步配置的前提下，您还可以修改KMS凭据管家中的密钥信息，等待片刻后查看目标Secret是否已经完成同步。

   如果您需要解析一个JSON格式的Secret，并将其中指定的key-value对同步到K8s Secret中，可以使用jmesPath字段。例如，如果您在KMS Secrets Manager中有如下JSON格式的Secret：

   {
    "username": "testuser",
    "password": "testpassword"
   }

   为解析其中的username和password键值对并将其独立同步到K8s Secret中，您可以使用如下的jmesPath字段进行配置。

   当使用jmesPath字段时，必需指定以下两个子字段：

   • path：必选项，基于JMES path规范解析JSON中的指定字段。

   • objectAlias：必选项，用于指定解析出的字段同步到K8s Secret中的Key名称。

   data:
     - key: testJson
       name: password
       jmesPath:
       - path: "username"
         objectAlias: "MySecretUsername"
       - path: "password"
         objectAlias: "MySecretPassword"

   同步后的Secret实例如下。

   apiVersion: v1
   kind: Secret
   metadata:
     name: hello-service
   type: Opaque
   data:
     MySecretPassword: dGVzdFBhc3N****
     MySecretUsername: dGVzdFVz****

使用csi-secrets-store-provider-alibabacloud

前提条件

• 已创建ACK集群，且版本为1.20及以上版本。支持ACK托管集群、ACK专有集群、ACK注册集群，暂不支持ACK Serverless集群。具体操作，请参见创建Kubernetes托管版集群。

• 已通过kubectl工具连接集群。

• 已安装阿里云CLI。

安装csi-secrets-store-provider-alibabacloud

1. 登录容器服务管理控制台，在左侧导航栏选择市场 > 应用市场。

2. 在应用目录页签下选中全部页签，在搜索框中搜索并选中csi-secrets-store-provider-alibabacloud。然后在csi-secrets-store-provider-alibabacloud页面右上角，单击一键部署。

3. 在弹出面板中，选择集群，命名空间和发布名称可保持默认值，然后单击下一步。

4. 选择Chart版本为最新版本，然后在参数配置页面，设置相应参数后，单击确定。

   创建成功后，会自动跳转到目标集群的csi-secrets-store-provider-alibabacloud页面，检查安装结果。若下图中所有资源创建成功，则表明组件安装成功。

使用示例

1. SecretProviderClass模板格式定义如下所示。

   apiVersion: secrets-store.csi.x-k8s.io/v1alpha1
   kind: SecretProviderClass
   metadata:
     name: <NAME>
   spec:
     provider: alibabacloud   # 此处配置固定为'alibabacloud'。
     parameters:

   其中parameters通常包含挂载请求的三个字段：

   参数	类型	说明
   objects	必选	挂载Secrets凭据的YAML配置声明。例如 parameters: objects: | - objectName: "MySecret" objects可包含以下子字段： objectName：必选，对应为指定凭据管家中的密钥名称。更多信息，请参见SecretName。 objectAlias：可选，可用于指定凭据在Pod中挂载的文件名称，如果不指定将默认使用objectName的值。 objectVersion：可选，对应凭据管家中的参数VersionId。 objectVersionLabel：可选，对应凭据管家中的参数VersionStage。 jmesPath：可选，用于解析JSON格式的凭据中的指定键值对字段，例如，以下test凭据示例包含了一段JSON： { "username": "testuser", "password": "testpassword" } 如需将username和password分别挂载为一个独立的密钥文件，可以使用如下的jmesPath字段配置。当使用jmesPath字段时，必需指定以下两个子字段： path：必选项，基于JMES path定义路径检索指定配置项。 objectAlias：必选项，指定的键值对将会以此参数配置作为文件路径挂载。
   region	可选	用于请求指定Region下的阿里云凭据管家后端。如果不指定该参数，则默认使用节点对应的阿里云Region。但在大规模应用Pod部署时，可能会带来额外的性能开销，所以推荐配置该参数指定Region。
   pathTranslation	可选	如果在凭据管家的密钥凭据包含了文件分隔符，挂载到Pod中的密钥文件会使用该配置指定的字符作为路径之间的分隔符。例如，凭据管家中的My/Path/Secret会被挂载为名称是My_Path_Secret的密钥文件。 如果不指定该参数，则默认即使用下划线作为分隔符。 如果该参数指定为“False”，则路径分割符在挂载时对应的文件名将不会使用任何字符。

   一个简单的SecretProviderClass示例模板如下所示。

   apiVersion: secrets-store.csi.x-k8s.io/v1alpha1
   kind: SecretProviderClass
   metadata:
     name: test-secrets
   spec:
     provider: alibabacloud   # 此处固定配置为 'alibabacloud'。
     parameters:
       objects: |
         - objectName: "test"

2. 使用以下内容，创建deploy.yaml。

   包含一个Nginx Deploy实例，通过CSI Inline文件系统的形式声明使用了上面示例中已经创建的SecretProviderClass，并会在Pod中的/mnt/secrets-store目录下挂载凭据密钥。关于Deploy实例更多信息，请参见Deployment示例。

   apiVersion: apps/v1  # 1.8.0之前版本请使用apps/v1beta1。
   kind: Deployment
   metadata:
     name: nginx-deployment-basic
     labels:
       app: nginx
   spec:
     replicas: 2
     selector:
       matchLabels:
         app: nginx
     template:
       metadata:
         labels:
           app: nginx
       spec:
         volumes:
           - name: secrets-store-inline
             csi:
               driver: secrets-store.csi.k8s.io
               readOnly: true
               volumeAttributes:
                 secretProviderClass: "test-secrets"
         containers:
           - name: nginx
             image: nginx:1.7.9 # 替换为您的实际镜像。
             ports:
               - containerPort: 80
             resources:
               limits:
                 cpu: "500m"
             volumeMounts:
               - name: secrets-store-inline
                 mountPath: "/mnt/secrets-store"
                 readOnly: true

3. 执行以下命令，部署Deploy应用。

   kubectl apply -f deploy.yaml

4. 验证密钥是否被正常挂载。

   登录Pod查看Secret的目标挂载路径/mnt/secrets-store下是否已经创建了SecretProviderClass实例中指定密钥名称为文件名的密钥文件，同时查看文件内容是否为KMS凭据中指定的密文。