Verwenden von Parameter Store-Parametern in Amazon Elastic Kubernetes Service

So installieren Sie den Kubernetes-Secrets-Store-CSI-Treiber und den ASCP

1. Führen Sie die folgenden Befehle aus, um den Kubernetes-Secrets-Store-CSI-Treiber zu installieren. Eine vollständige Installationsanweisung finden Sie unter Installation im Kubernetes-Secrets-Store-CSI-Treiberhandbuch. Weitere Informationen zur Installation von Helm finden Sie unter Verwenden von Helm mit Amazon EKS.

   helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
   helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver

2. Verwenden Sie zur Installation des ASCP die YAML-Datei im Bereitstellungsverzeichnis des Repositorys. GitHub Informationen zur Installation von kubectl finden Sie im Abschnitt Installieren der kubectl.

   kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Ein Secret erstellen und mounten

1. Legen Sie den AWS-Region und den Namen Ihres Clusters als Shell-Variablen fest, damit Sie sie in bash Befehlen verwenden können. Geben Sie für Region den Ort ein, AWS-Region in dem Ihr Amazon EKS-Cluster ausgeführt wird. Geben Sie unter Cluster-Name einen Namen für Ihren Cluster ein.

   REGION=region
   CLUSTERNAME=clustername

2. Erstellen Sie einen Test-Parameter.

   aws ssm put-parameter --name "MyParameter" --value "EKS parameter" --type String --region "$REGION"

3. Erstellen Sie eine Ressourcenrichtlinie für den Pod, die den Zugriff auf den Parameter beschränkt, den Sie im vorherigen Schritt erstellt haben. Verwenden Sie für parameter-arn den ARN des Parameters. Speichern Sie den Richtlinien-ARN in einer Shell-Variablen. Um den Parameter-ARN abzurufen, verwenden Sie get-parameter.

   POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn --output text iam create-policy --policy-name nginx-parameter-deployment-policy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [ {
           "Effect": "Allow",
           "Action": ["ssm:GetParameter", "ssm:GetParameters"],
           "Resource": ["parameter-arn"]
       } ]
   }')

4. Erstellen Sie einen IAM OpenID Connect (OIDC)-Anbieter für den Cluster, wenn Sie noch keinen haben. Weitere Informationen finden Sie unter Erstellen eines IAM-OIDC-Anbieters für Ihren Cluster.

   eksctl utils associate-iam-oidc-provider --region="$REGION" --cluster="$CLUSTERNAME" --approve # Only run this once

5. Erstellen Sie das Dienstkonto, das der Pod verwendet, und ordnen Sie die Ressourcenrichtlinie, die Sie in Schritt 3 erstellt haben, diesem Dienstkonto zu. Für dieses Tutorial verwenden Sie für den Namen des Dienstkontos. nginx-deployment-sa Weitere Informationen finden Sie unter Erstellen einer IAM-Rolle für ein Servicekonto.

   eksctl create iamserviceaccount --name nginx-deployment-sa --region="$REGION" --cluster "$CLUSTERNAME" --attach-policy-arn "$POLICY_ARN" --approve --override-existing-serviceaccounts

6. Erstellen Sie SecretProviderClass, um anzugeben, welcher Parameter im Pod gemounted werden soll. Der folgende Befehl verwendet den Dateispeicherort einer SecretProviderClass-Datei mit dem Namen ExampleSecretProviderClass.yaml. Informationen zum Erstellen Ihrer eigenen SecretProviderClass finden Sie unter SecretProviderClass.

   kubectl apply -f ./ExampleSecretProviderClass.yaml

7. Ihr Pod bereitstellen Der folgende Befehl verwendet eine Bereitstellungsdatei mit dem Namen ExampleDeployment.yaml. Informationen zum Erstellen Ihrer eigenen SecretProviderClass finden Sie unter Schritt 3: Aktualisieren der Bereitstellungs-YAML.

   kubectl apply -f ./ExampleDeployment.yaml

8. Um zu überprüfen, ob der Parameter ordnungsgemäß gemounted wurde, verwenden Sie den folgenden Befehl und bestätigen Sie, dass Ihr Parameterwert angezeigt wird.

   kubectl exec -it $(kubectl get pods | awk '/nginx-deployment/{print $1}' | head -1) cat /mnt/secrets-store/MyParameter; echo

   Der Parameterwert wird angezeigt.

   "EKS parameter"

Fehlermeldungen für Ihren Container anzeigen

1. Erstellen Sie mit dem folgenden Befehl eine Liste der Pod-Namen. Wenn Sie nicht den Standard-Namespace verwenden, verwenden Sie -n <NAMESPACE>.

   kubectl get pods

2. Um den Pod zu beschreiben, geben Sie im folgenden Befehl für pod-id die Pod-ID aus den Pods an, die Sie im vorherigen Schritt gefunden haben. Wenn Sie nicht den Standard-Namespace verwenden, verwenden Sie -n <NAMESPACE>.

   kubectl describe pod/pod-id

Fehler für den ASCP anzeigen

• Um weitere Informationen in den Anbieterprotokollen zu finden, verwenden Sie im folgenden Befehl für pod-id die ID des csi-secrets-store-provider-aws-Pods.

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id