Usar parâmetros do Parameter Store no Amazon Elastic Kubernetes Service

Para instalar o driver CSI do Armazenamento de Segredos do Kubernetes e o ASCP

1. Para instalar o driver CSI do armazenamento de segredos do Kubernetes, execute os comandos a seguir. Para obter instruções completas de instalação, consulte Installation (Instalação) no Kubernetes Secrets Store CSI Driver Book. Para obter mais informações sobre como instalar o Helm, consulte Usar o Helm com o Amazon EKS.

   helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
   helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver

2. Para instalar o ASCP, use o arquivo YAML no diretório de implantação do repositório do GitHub. Para obter informações sobre como instalar a kubectl, consulte Instalar a kubectl.

   kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Para criar e montar um segredo

1. Defina a Região da AWS e o nome do seu cluster como variáveis do shell para que você possa usá-los em comandos do bash. Para region (região), insira a Região da AWS na qual o cluster do Amazon EKS é executado. Em clustername, insira um nome para o cluster.

   REGION=region
   CLUSTERNAME=clustername

2. Criar um parâmetro de teste.

   aws ssm put-parameter --name "MyParameter" --value "EKS parameter" --type String --region "$REGION"

3. Crie uma política de recursos para o pod que limite o acesso ao parâmetro que você criou na etapa anterior. Em parameter-arn, use o ARN do parâmetro. Salve o ARN da política em uma variável do shell. Para recuperar o parâmetro ARN, useget-parameter.

   POLICY_ARN=$(aws --region "$REGION" --query Policy.Arn --output text iam create-policy --policy-name nginx-parameter-deployment-policy --policy-document '{
       "Version": "2012-10-17",
       "Statement": [ {
           "Effect": "Allow",
           "Action": ["ssm:GetParameter", "ssm:GetParameters"],
           "Resource": ["parameter-arn"]
       } ]
   }')

4. Crie um provedor IAM OIDC Connect (OIDC) para o cluster, se você ainda não tiver um. Para obter mais informações, consulte Criar um provedor IAM OIDC para o cluster.

   eksctl utils associate-iam-oidc-provider --region="$REGION" --cluster="$CLUSTERNAME" --approve # Only run this once

5. Crie a conta de serviço que o pod usa e associe a política de recursos criada na etapa 3 a essa conta de serviço. Para este tutorial, use nginx-deployment-sa para o nome da conta de serviço. Para obter mais informações, consulte Criar uma função e uma política do IAM para sua conta de serviço.

   eksctl create iamserviceaccount --name nginx-deployment-sa --region="$REGION" --cluster "$CLUSTERNAME" --attach-policy-arn "$POLICY_ARN" --approve --override-existing-serviceaccounts

6. Crie o SecretProviderClass para especificar qual parâmetro será montado no pod. O comando a seguir usa o local do arquivo de umSecretProviderClassNome doExampleSecretProviderClass.yaml. Para obter informações sobre como criar seu próprio SecretProviderClass, consulte SecretProviderClass.

   kubectl apply -f ./ExampleSecretProviderClass.yaml

7. Implante seu pod. O comando a seguir usa um arquivo de implantação chamadoExampleDeployment.yaml. Para obter informações sobre como criar seu próprio SecretProviderClass, consulte Etapa 3: Atualizar a implantação do YAML.

   kubectl apply -f ./ExampleDeployment.yaml

8. Para verificar se o parâmetro foi montado corretamente, use o comando a seguir e confirme se o valor do parâmetro aparece.

   kubectl exec -it $(kubectl get pods | awk '/nginx-deployment/{print $1}' | head -1) cat /mnt/secrets-store/MyParameter; echo

   O valor do parâmetro é exibido.

   "EKS parameter"

Para ver mensagens de erro para o contêiner

1. Obtenha uma lista de nomes de pods com o comando a seguir. Se você não estiver usando o namespace padrão, use -n <NAMESPACE>.

   kubectl get pods

2. Para descrever o pod, no comando a seguir, para pod-id use o ID dos pods encontrados na etapa anterior. Se você não estiver usando o namespace padrão, use -n <NAMESPACE>.

   kubectl describe pod/pod-id

Para ver erros para o ASCP

• Para encontrar mais informações nos logs do provedor, no comando a seguir, para pod-id, use o ID do pod csi-secrets-store-provider-aws.

  kubectl -n kube-system get pods
  kubectl -n kube-system logs pod/pod-id