Управление секретами Kubernetes c помощью ESO и Secret Management

Принцип работы ESO с Secret Management

• идентификатор и параметры извлекаемого секрета;

• объекты SecretStore или ClusterSecretStore, к которым обращается для подключения к Secret Management.

Перед началом работы

1. Создайте сервисный аккаунт и назначьте ему роль scsm.user.

2. Сгенерируйте ключ доступа для сервисного аккаунта.

3. Создайте секрет в Secret Management.

4. Установите ESO одним из способов:

   • с помощью диспетчера пакетов Helm (см. рекомендации в разделе Option1: Intall from chart repository).

   • с помощью сервиса Managed Kubernetes, установив плагин.

Создайте ExternalSecret

1. Создайте файл csm-secret.yaml:

   nano csm-secret.yaml
   
   

2. Скопируйте и сохраните в подготовленном файле спецификацию:

   apiVersion: v1
   kind: Secret
   metadata:
       name: csm-secret
       labels:
         type: csm
   type: Opaque
   stringData:
       key_id: '000000000000000000001'
       key_secret: '000000000000000000002'
   
   

   Где:

   • key_id — логин ключа доступа созданного сервисного аккаунта;

   • key_secret — пароль ключа доступа созданного сервисного аккаунта.

3. В кластере Kubernetes создайте k8s Secret:

   kubectl apply -f "csm-secret.yaml"
   
   

1. Создайте файл csm-secret-store.yaml:

   nano csm-secret-store.yaml
   
   

2. Скопируйте и сохраните в подготовленном файле спецификацию:

   apiVersion: external-secrets.io/v1beta1
   kind: SecretStore
   metadata:
     name: csm
   spec:
     provider:
       cloudrusm:
         auth:
           secretRef:
             accessKeyIDSecretRef:
               name: csm-secret
               key: key_id
             accessKeySecretSecretRef:
               name: csm-secret
               key: key_secret
         projectID: 50000000-4000-3000-2000-100000000001
   
   

   Где:

   • accessKeyIDSecretRef — ссылка на k8s Secret;

   • projectID — идентификатор проекта.

3. Создайте SecretStore в кластере Kubernetes:

   kubectl apply -f "csm-secret-store.yaml"
   
   

1. Создайте файл csm-external-secret.yaml:

   nano csm-external-secret.yaml
   
   

2. Выберите вариант формата секрета, в котором был создан my-first-secret в Secret Management:

   ---

   Стандартный формат

   Формат JSON

   Секрет вставляется в текстовом формате в виде строки.

   Скопируйте и сохраните в подготовленном файле спецификацию:

   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: csm-ext-secret
   spec:
     refreshInterval: 10s
     secretStoreRef:
       name: csm
       kind: SecretStore
     target:
       name: my-awesome-secret
       creationPolicy: Owner
     data:
       - secretKey: target_key
         remoteRef:
           key: my-first-secret
   
   

   Где:

   • spec:

     • refreshInterval — временной интервал обновления секрета.

   • target:

     • name — имя создаваемого k8s Secret.

   • remoteRef — информация, как получить значение из внешнего секрета:

     • key — имя или идентификатор секрета в Secret Management.

3. Создайте ExternalSecret в кластере Kubernetes

   kubectl apply -f "csm-external-secret.yaml"
   
   

4. Проверьте, что k8s Secret c именем my-awesome-secret присутствует в кластере и содержит значение секрета my-first-secret из Secret Management:

   kubectl get secrets my-awesome-secret -o yaml
   
   

apiVersion: v1
data:
  target_key: bG0yZG0TESTHdpZm0m
kind: Secret
metadata:
  annotations:
    kubectl.kubernetes.io/last-applied-configuration: |
      {"apiVersion":"external-secrets.io/v1beta1","kind":"ExternalSecret","metadata":{"annotations":{},"name":"csm-ext-secret","namespace":"default"},"spec":{"data":[{"remoteRef":{"key":"my-first-secret"},"secretKey":"target_key"}],"refreshInterval":"120s","secretStoreRef":{"kind":"SecretStore","name":"csm"},"target":{"creationPolicy":"Owner","name":"my-awesome-secret"}}}
    reconcile.external-secrets.io/data-hash: 00ec00a000d0cf0a000d0000000e0000
  creationTimestamp: "2025-04-03T16:02:42Z"
  labels:
    reconcile.external-secrets.io/created-by: b0d0e0f00c0d00a00ba00d00cd00fcb0
    reconcile.external-secrets.io/managed: "true"
  name: my-awesome-secret
  namespace: default
  ownerReferences:
  - apiVersion: external-secrets.io/v1beta1
    blockOwnerDeletion: true
    controller: true
    kind: ExternalSecret
    name: csm-ext-secret
    uid: fa0d0000-0a0c-0ec0-0000-00c0c1c0d0fa
  resourceVersion: "1548"
  uid: c00efe0-0d00-0dfe-a0c0-f00e0a000000
type: Opaque

Поиск секретов по имени или меткам (тегам)

1. Создайте файл csm-external-secret.yaml:

   nano csm-external-secret-search.yaml
   
   

2. Скопируйте и сохраните в подготовленном файле следующую спецификацию:

   apiVersion: external-secrets.io/v1beta1
   kind: ExternalSecret
   metadata:
     name: csm-ext-secret
   spec:
     refreshInterval: 10s
     secretStoreRef:
       name: csm
       kind: SecretStore
     target:
       name: my-awesome-secret
       creationPolicy: Owner
     dataFrom:
       - find: # You can use the name and tags separately or together to search for secrets.
           tags:
             env: production
           name:
             regexp: "my.*secret"
   
   

3. Для проверки выполните команду:

   kubectl get secrets my-awesome-secret -o yaml
   
   

apiVersion: v1
data:
  my-first-secret: bG0yZG0TESTHdpZm0m
  my-second-secret: ewogICJsb2dpbiI6ICJteV9sb2dpbiIsCiAgInBhc3N3b3JkIjogImFzZm5zZGZpbjEyTCIKfQ==
kind: Secret
metadata:
  annotations:
    kubectl.kubernetes.io/last-applied-configuration: |
      {"apiVersion":"external-secrets.io/v1beta1","kind":"ExternalSecret","metadata":{"annotations":{},"name":"csm-ext-secret","namespace":"default"},"spec":{"dataFrom":[{"find":{"name":{"regexp":"my.*secret"}}}],"refreshInterval":"120s","secretStoreRef":{"kind":"SecretStore","name":"csm"},"target":{"creationPolicy":"Owner","name":"my-awesome-secret"}}}
    reconcile.external-secrets.io/data-hash: 49db1066bcc65a9d20c825b8295ad49b
  creationTimestamp: "2025-04-03T16:02:42Z"
  labels:
    reconcile.external-secrets.io/created-by: b0d0e0f00c0d00a00ba00d00cd00fcb0
    reconcile.external-secrets.io/managed: "true"
  name: my-awesome-secret
  namespace: default
  ownerReferences:
  - apiVersion: external-secrets.io/v1beta1
    blockOwnerDeletion: true
    controller: true
    kind: ExternalSecret
    name: csm-ext-secret
    uid: fa0d0000-0a0c-0ec0-0000-00c0c1c0d0fa
  resourceVersion: "10631"
  uid: ac00efe0-0d00-0dfe-a0c0-f00e0a000000
type: Opaque