Синхронизация с секретами Yandex Lockbox

С помощью инструмента External Secrets Operator вы можете настроить синхронизацию секретов Yandex Lockbox с секретами кластера Yandex Managed Service for Kubernetes.

Существует несколько схем интеграции Yandex Lockbox с сервисом Managed Service for Kubernetes. Далее для примера рассматривается схема ESO as a Service:

Чтобы настроить синхронизацию секретов:

1. Установите External Secrets Operator и настройте Yandex Lockbox.
2. Настройте кластер Managed Service for Kubernetes.
3. Создайте External Secret.

Если созданные ресурсы вам больше не нужны, удалите их.

Также инфраструктуру для синхронизации секретов Yandex Lockbox с секретами кластера Managed Service for Kubernetes можно развернуть через Terraform с помощью готового файла конфигурации.

Перед началом работыПеред началом работы

Зарегистрируйтесь в Yandex Cloud и создайте платежный аккаунт:

1. Перейдите в консоль управления, затем войдите в Yandex Cloud или зарегистрируйтесь.
2. На странице Yandex Cloud Billing убедитесь, что у вас подключен платежный аккаунт, и он находится в статусе ACTIVE или TRIAL_ACTIVE. Если платежного аккаунта нет, создайте его и привяжите к нему облако.

Если у вас есть активный платежный аккаунт, вы можете создать или выбрать каталог, в котором будет работать ваша инфраструктура, на странице облака.

Подробнее об облаках и каталогах.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость ресурсов для синхронизации секретов входит:

• Плата за использование мастера Managed Service for Kubernetes (см. тарифы Managed Service for Kubernetes).
• Плата за вычислительные ресурсы и диски группы узлов Managed Service for Kubernetes (см. тарифы Yandex Compute Cloud).
• Плата за хранение и операции с секретом (см. тарифы Yandex Lockbox).

Создайте инфраструктуруСоздайте инфраструктуру

Настройте окружениеНастройте окружение

1. Если у вас еще нет интерфейса командной строки Yandex Cloud, установите и инициализируйте его.

   По умолчанию используется каталог, указанный в профиле CLI. Вы можете указать другой каталог с помощью параметра --folder-name или --folder-id.

2. Установите утилиту jq:

   sudo apt update && sudo apt install jq
   

3. Установите kubectl и настройте его на работу с созданным кластером.

Установите External Secrets Operator и настройте Yandex LockboxУстановите External Secrets Operator и настройте Yandex Lockbox

1. Установите External Secrets Operator согласно инструкции.
2. Назначьте сервисному аккаунту, который вы создали при установке External Secrets Operator, роль lockbox.payloadViewer на созданный ранее секрет lockbox-secret.

Настройте кластер Managed Service for KubernetesНастройте кластер Managed Service for Kubernetes

1. Создайте пространство имен ns, в котором будут размещены объекты External Secrets Operator:

   kubectl create namespace ns
   

2. Создайте секрет yc-auth с ключом sa-key.json, который вы создали при установке External Secrets Operator:

   kubectl --namespace ns create secret generic yc-auth \
     --from-file=authorized-key=sa-key.json
   

3. Создайте хранилище секретов SecretStore, содержащее секрет yc-auth:

   kubectl --namespace ns apply -f - <<< '
   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: secret-store
   spec:
     provider:
       yandexlockbox:
         auth:
           authorizedKeySecretRef:
             name: yc-auth
             key: authorized-key'
   

Создайте External SecretСоздайте External Secret

1. Создайте объект ExternalSecret, указывающий на секрет lockbox-secret в хранилище secret-store:

   kubectl --namespace ns apply -f - <<< '
   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: external-secret
   spec:
     refreshInterval: 1h
     secretStoreRef:
       name: secret-store
       kind: SecretStore
     target:
       name: k8s-secret
     data:
     - secretKey: password
       remoteRef:
         key: <идентификатор_секрета>
         property: password'
   

   Где:

   • key — идентификатор созданного ранее секрета Yandex Lockbox lockbox-secret.
   • spec.target.name — имя нового ключа: k8s-secret. External Secret Operator создаст этот ключ и поместит в него параметры секрета lockbox-secret.

2. Убедитесь, что новый ключ k8s-secret содержит значение секрета lockbox-secret:

   kubectl --namespace ns get secret k8s-secret \
     --output=json | \
     jq --raw-output ."data"."password" | \
     base64 --decode
   

   В выводе команды будет содержаться значение ключа password секрета lockbox-secret:

   p@$$w0rd
   

Удалите созданные ресурсыУдалите созданные ресурсы

Удалите ресурсы, которые вы больше не будете использовать, чтобы за них не списывалась плата: