Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Verwenden Sie AWS Secrets Manager Geheimnisse in Amazon Elastic Kubernetes Service

Um Geheimnisse aus Secrets Manager als in EKSAmazon-Pods gemountete Dateien anzuzeigen, können Sie den AWS Secrets and Configuration Provider (ASCP) für den Kubernetes Secrets Store CSI Driver verwenden. Das ASCP funktioniert mit Amazon Elastic Kubernetes Service (AmazonEKS) 1.17+, auf dem eine Amazon-Knotengruppe ausgeführt wird. EC2 AWS Fargate Knotengruppen werden nicht unterstützt. Mit dem ASCP können Sie Ihre Secrets in Secrets Manager speichern und verwalten und sie dann über Ihre Workloads abrufen, die auf Amazon EKS laufen. Wenn Ihr Secret mehrere Schlüssel/Wert-Paare im JSON Format enthält, können Sie wählen, welche in Amazon bereitgestellt werden sollen. EKS The ASCP verwendet JMESPathSyntax, um die Schlüssel/Wert-Paare in Ihrem Geheimnis abzufragen. Das funktioniert ASCP auch mit Parameter Store-Parametern.

Wenn Sie einen privaten EKS Amazon-Cluster verwenden, stellen Sie sicher, VPC dass der Cluster, in dem sich der Cluster befindet, über einen Secrets Manager Manager-Endpunkt verfügt. Der Secrets Store CSI Driver verwendet den Endpunkt, um Secrets Manager aufzurufen. Hinweise zum Erstellen eines Endpunkts in einem VPC finden Sie unterVPCEndpunkt.

Wenn Sie die automatische Rotation von Secrets Manager für Ihre Secrets Manager verwenden, können Sie auch die Funktion zum Abgleich der Rotation von Secrets Store CSI Driver verwenden, um sicherzustellen, dass Sie das neueste Geheimnis von Secrets Manager abrufen. Weitere Informationen finden Sie unter Automatische Rotation bereitgestellter Inhalte und synchronisierter Kubernetes Secrets.

Schritt 1: Einrichten der Zugriffssteuerung

Der ASCP ruft die EKS Amazon-Pod-Identität ab und tauscht sie gegen eine IAM Rolle ein. Sie legen Berechtigungen in einer IAM Richtlinie für diese IAM Rolle fest. Wenn der die IAM Rolle ASCP übernimmt, erhält er Zugriff auf die von Ihnen autorisierten Geheimnisse. Andere Container können nicht auf die Geheimnisse zugreifen, es sei denn, Sie verknüpfen sie ebenfalls mit der IAM Rolle.

Wenn Aufrufe von Kubernetes ASCP zum Nachschlagen der Region und der IAM Rolle, die dem Pod zugeordnet sind, von Kubernetes gedrosselt werden, können Sie die Drosselungsquoten wie in Schritt 2 gezeigt wie in Schritt 2 gezeigt helm install ändern.

Schritt 2: Installieren und konfigurieren Sie ASCP

Das ASCP ist GitHub im secrets-store-csi-provider-aws-Repository verfügbar. Das Repo enthält auch YAML Beispieldateien zum Erstellen und Mounten eines Secrets.

Während der Installation können Sie den so konfigurieren, ASCP dass er einen FIPS Endpunkt verwendet. Eine Liste der Endpunkte finden Sie unter AWS Secrets Manager Endpunkte.

Schritt 3: Identifizieren Sie, welche Secrets bereitgestellt werden sollen

Um festzustellen, welche ASCP Geheimnisse in Amazon EKS als Dateien im Dateisystem bereitgestellt werden, erstellen Sie eine SecretProviderClass YAML Datei. Die SecretProviderClass listet die Geheimnisse auf, die gemountet werden sollen, und den Dateinamen, unter dem sie gemountet werden sollen. Der SecretProviderClass muss sich im selben Namespace befinden wie der EKS Amazon-Pod, auf den er verweist.

Die folgenden Beispiele zeigen, wie Sie die Secrets beschreibenSecretProviderClass, die Sie mounten möchten, und wie die im EKS Amazon-Pod gemounteten Dateien benannt werden sollen.

Beispiel: Hängen Sie Geheimnisse nach Namen ein oder ARN

Das folgende Beispiel zeigt eineSecretProviderClass, die drei Dateien in Amazon EKS mountet:

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-secrets
spec:
  provider: aws
  parameters:
    objects: |
        - objectName: "arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret2-d4e5f6"
        - objectName: "MySecret3"
          objectType: "secretsmanager"
        - objectName: "MySecret4"
          objectType: "secretsmanager"
          objectVersionLabel: "AWSCURRENT"

Beispiel: Schlüssel-/Wert-Paare aus einem Secret mounten

Das folgende Beispiel zeigt eineSecretProviderClass, die drei Dateien in Amazon EKS mountet:

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-secrets
spec:
  provider: aws
  parameters:
    objects: |
      - objectName: "arn:aws:secretsmanager:us-east-2:111122223333:secret:MySecret-a1b2c3"
        jmesPath: 
            - path: username
              objectAlias: dbusername
            - path: password
              objectAlias: dbpassword

Beispiel: Definieren einer Failover-Region für ein multiregionales Secret

Um die Verfügbarkeit bei Verbindungsausfällen oder bei Notfallwiederherstellungskonfigurationen zu gewährleisten, ASCP unterstützt der eine automatische Failover-Funktion zum Abrufen von Geheimnissen aus einer sekundären Region.

Das folgende Beispiel zeigt ein SecretProviderClass, das ein Secret abruft, das in mehrere Regionen repliziert wird. In diesem Beispiel ASCP versucht der, das Geheimnis sowohl von als auch us-east-1 abzurufen. us-east-2 Wenn eine der Regionen einen 4xx-Fehler zurückgibt, z. B. aufgrund eines Authentifizierungsproblems, ASCP wird keines der Secrets bereitgestellt. Wenn das Geheimnis erfolgreich abgerufen wurdeus-east-1, hängt es diesen ASCP geheimen Wert ein. Wenn das Geheimnis nicht erfolgreich abgerufen wurdeus-east-1, es aber erfolgreich abgerufen wurdeus-east-2, hängt er diesen ASCP geheimen Wert an.

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-secrets
spec:
  provider: aws
  parameters:
    region: us-east-1
    failoverRegion: us-east-2
    objects: |
      - objectName: "MySecret"

Beispiel: Ein Failover-Secret zum Mounten auswählen

Das folgende Beispiel zeigt ein SecretProviderClass, das angibt, welches Secret im Falle eines Failovers gemountet werden soll. Das Failover-Secret ist kein Replikat. In diesem Beispiel ASCP versucht der, die beiden von objectName angegebenen Secrets abzurufen. Wenn einer von beiden einen 4xx-Fehler zurückgibt, z. B. aufgrund eines Authentifizierungsproblems, hängt ASCP er keines der Geheimnisse ein. Wenn das Geheimnis erfolgreich abgerufen wurdeus-east-1, hängt es diesen ASCP geheimen Wert ein. Wenn das Geheimnis nicht erfolgreich abgerufen wurdeus-east-1, es aber erfolgreich abgerufen wurdeus-east-2, hängt er diesen ASCP geheimen Wert an. Die gemountete Datei in Amazon EKS hat einen NamenMyMountedSecret.

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-secrets
spec:
  provider: aws
  parameters:
    region: us-east-1
    failoverRegion: us-east-2
    objects: |
      - objectName: "arn:aws:secretsmanager:us-east-1:111122223333:secret:MySecret-a1b2c3"
        objectAlias: "MyMountedSecret"
        failoverObject: 
          - objectName: "arn:aws:secretsmanager:us-east-2:111122223333:secret:MyFailoverSecret-d4e5f6"

Schritt 4: Mounten Sie die Geheimnisse als Dateien im EKS Amazon-Pod

Die folgenden Anweisungen zeigen, wie Sie Geheimnisse mithilfe der Beispieldateien ExampleSecretProviderClass.yaml und ExampleDeployment .yaml als YAML Dateien mounten.

Fehlerbehebung

Sie können die meisten Fehler anzeigen, indem Sie die Pod-Bereitstellung beschreiben.