Uso de parámetros del Parameter Store en Amazon Elastic Kubernetes Service

Instalación del controlador CSI de Kubernetes Secrets Store y el ASCP.

1. Para instalar el controlador CSI de Kubernetes Secrets Store, ejecute los siguientes comandos. Para obtener instrucciones completas sobre la instalación, consulte la sección Installation (Instalación) en el libro de controladores CSI de Kubernetes Secrets Store. Para obtener más información acerca de cómo se instala Helm, consulte Utilizar Helm con Amazon EKS.

   helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
   helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver

2. Para instalar el ASCP, utilice el archivo YAML en el directorio de implementación del repositorio de GitHub. Para obtener información acerca de cómo se instala kubectl, consulte Instalación de kubectl.

   kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Crear y montar un secreto

1. Configure la Región de AWS y el nombre de su clúster como variables de shell para que pueda usarlos en los comandos bash. En region, ingrese la Región de AWS donde se ejecuta el clúster de Amazon EKS. En clustername, ingrese el nombre del clúster.

   REGION=region
   CLUSTERNAME=clustername

2. Cree un parámetro de prueba.

   aws ssm put-parameter --name "MyParameter" --value "EKS parameter" --type String --region "$REGION"

3. Cree una política de recursos para el pod que limite el acceso al parámetro que creó en el paso anterior. Para parameter-arn, utilice el ARN del parámetro. Guarde el ARN de la política en una variable de shell. Para recuperar el ARN del parámetro, utilice get-parameter.

   POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn --output text iam create-policy --policy-name nginx-parameter-deployment-policy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [ {
           "Effect": "Allow",
           "Action": ["ssm:GetParameter", "ssm:GetParameters"],
           "Resource": ["parameter-arn"]
       } ]
   }')

4. Cree un proveedor OpenID Connect (OIDC) de IAM para el clúster si todavía no tiene uno. Para obtener más información, consulte Crear un proveedor OIDC de IAM para su clúster.

   eksctl utils associate-iam-oidc-provider --region="$REGION" --cluster="$CLUSTERNAME" --approve # Only run this once

5. Cree la cuenta de servicio que utiliza el pod y asocie la política de recursos que creó en el paso 3 con esa cuenta de servicio. Para este tutorial, en el nombre de la cuenta de servicio, utilice nginx-deployment-sa. Para obtener más información, consulte Crear un rol de IAM para una cuenta de servicio.

   eksctl create iamserviceaccount --name nginx-deployment-sa --region="$REGION" --cluster "$CLUSTERNAME" --attach-policy-arn "$POLICY_ARN" --approve --override-existing-serviceaccounts

6. Cree la SecretProviderClass para especificar qué parámetro montar en el pod. El siguiente comando utiliza la ubicación del archivo de un archivo SecretProviderClass denominado ExampleSecretProviderClass.yaml. Para obtener información acerca de la creación de su propia SecretProviderClass, consulte SecretProviderClass.

   kubectl apply -f ./ExampleSecretProviderClass.yaml

7. Implemente el pod El siguiente comando utiliza un archivo de implementación denominado ExampleDeployment.yaml. Para obtener información acerca de la creación de su propia SecretProviderClass, consulte Paso 3: Actualice la implementación de YAML.

   kubectl apply -f ./ExampleDeployment.yaml

8. Para verificar que el parámetro se ha montado correctamente, utilice el siguiente comando y confirme que el valor del parámetro aparece.

   kubectl exec -it $(kubectl get pods | awk '/nginx-deployment/{print $1}' | head -1) cat /mnt/secrets-store/MyParameter; echo

   Aparece el valor del parámetro.

   "EKS parameter"

Ver los mensajes de error del contenedor

1. Obtenga una lista de nombres de pods con el siguiente comando. Si no está utilizando el espacio de nombres predeterminado, use -n <NAMESPACE>.

   kubectl get pods

2. Para describir el pod, en el siguiente comando, en pod-id use el ID de pod de los pods que encontró en el paso anterior. Si no está utilizando el espacio de nombres predeterminado, use -n <NAMESPACE>.

   kubectl describe pod/pod-id

Ver los errores del ASCP

• Para obtener más información en los registros del proveedor, en el siguiente comando, en pod-id utilice el ID del pod csi-secrets-store-provider-aws.

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id