Amazon Elastic Kubernetes Service での Parameter Store パラメータの使用

Kubernetes Secrets Store CSI ドライバーと ASCP をインストールするには

1. Kubernetes Secrets Store CSI ドライバーをインストールするには、次のコマンドを実行します。詳細なインストール手順については、Kubernetes Secrets Store CSI ドライバーブックの「インストール」を参照してください。Helm のインストールについては、「Amazon EKS での Helm の使用」を参照してください。

   helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
   helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver

2. ASCP をインストールするには、GitHub リポジトリのデプロイディレクトリで YAML ファイルを使用します。kubectl のインストールについては、「kubectl のインストール」を参照してください。

   kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

シークレットを作成してマウントするには

1. bash コマンドで使用できるように、AWS リージョン とクラスターの名前をシェル変数として設定します。リージョンでは、Amazon EKS クラスターを実行する AWS リージョン を入力します。clustername では、クラスターの名前を入力します。

   REGION=region
   CLUSTERNAME=clustername

2. テストパラメータを作成します。

   aws ssm put-parameter --name "MyParameter" --value "EKS parameter" --type String --region "$REGION"

3. ポッドのリソースポリシーを作成し、前のステップで作成したパラメータへのアクセスを制限します。parameter-arn では、パラメータの ARN を使用します。ポリシー ARN をシェル変数に保存します。パラメータ ARN を取得するには、get-parameter を使用します。

   POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn --output text iam create-policy --policy-name nginx-parameter-deployment-policy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [ {
           "Effect": "Allow",
           "Action": ["ssm:GetParameter", "ssm:GetParameters"],
           "Resource": ["parameter-arn"]
       } ]
   }')

4. クラスター用に IAM OpenID Connect (OIDC) プロバイダーがない場合は作成します。詳細については、「クラスターの IAM OIDC プロバイダを作成する」を参照してください。

   eksctl utils associate-iam-oidc-provider --region="$REGION" --cluster="$CLUSTERNAME" --approve # Only run this once

5. ポッドが使用するサービスアカウントを作成し、ステップ 3 で作成したリソースポリシーをそのサービスアカウントに関連付けます。このチュートリアルでは、サービスアカウント名として nginx-deployment-sa を使用します。詳細については、「サービスアカウントの IAM ロールの作成」を参照してください。

   eksctl create iamserviceaccount --name nginx-deployment-sa --region="$REGION" --cluster "$CLUSTERNAME" --attach-policy-arn "$POLICY_ARN" --approve --override-existing-serviceaccounts

6. SecretProviderClass を作成して、ポッドにマウントするパラメータを指定します。次のコマンドは、ExampleSecretProviderClass.yaml という名前の SecretProviderClass ファイルの場所を使用します。独自の SecretProviderClass の作成については、「SecretProviderClass」を参照してください。

   kubectl apply -f ./ExampleSecretProviderClass.yaml

7. ポッドをデプロイします。次のコマンドでは、ExampleDeployment.yaml という名前のデプロイファイルを使用します。独自の SecretProviderClass の作成については、「ステップ 3: デプロイ YAML を更新する」を参照してください。

   kubectl apply -f ./ExampleDeployment.yaml

8. パラメータが正しくマウントされていることを確認するには、次のコマンドを使用して、パラメータ値が表示されていることを確認します。

   kubectl exec -it $(kubectl get pods | awk '/nginx-deployment/{print $1}' | head -1) cat /mnt/secrets-store/MyParameter; echo

   パラメータ値が表示されます。

   "EKS parameter"

コンテナのエラーメッセージを表示するには

1. 次のコマンドで、ポッド名のリストを取得します。デフォルトの名前空間を使用していない場合は、-n <NAMESPACE> を使用してください。

   kubectl get pods

2. 次のコマンドでポッドを記述するには、pod-id に前のステップで見つけたポッドの ポッド ID を使用します。デフォルトの名前空間を使用していない場合は、-n <NAMESPACE> を使用してください。

   kubectl describe pod/pod-id

ASCP のエラーを表示するには

• プロバイダーログで詳細情報を検索するには、次のコマンドで pod-id 用に csi-secrets-store-provider-aws ポッドの ID を使用します。

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id