Vault with k8s - История изменений

Sirmax в 18:33, 8 октября 2021

2021-10-08T18:33:42Z

← Предыдущая		Версия 18:33, 8 октября 2021
Строка 1:		Строка 1:
	[[Категория:K8s]]		[[Категория:K8s]]
	[[Категория:Hashicorp_Vault]]		[[Категория:Hashicorp_Vault]]
		+	[[Категория:Vault]]
	[[Категория:Linux]]		[[Категория:Linux]]

Sirmax: /* Деплоймент в K8S */

2019-02-13T13:43:16Z

Деплоймент в K8S

← Предыдущая		Версия 13:43, 13 февраля 2019
Строка 198:		Строка 198:
	==Деплоймент в K8S==		==Деплоймент в K8S==
	Примерная конфигурация PODа		Примерная конфигурация PODа
−	export VAULT_K8S_SERVICE_ACCOUNT="k8s-test-service-account"
−	export VAULT_K8S_ROLE="k8s-test-role"
	<PRE>		<PRE>
	apiVersion: extensions/v1beta1		apiVersion: extensions/v1beta1

Sirmax: /* Привязка сервисных аккаунтов K8S к ролям Vault */

2019-02-13T13:42:28Z

Привязка сервисных аккаунтов K8S к ролям Vault

← Предыдущая		Версия 13:42, 13 февраля 2019
Строка 183:		Строка 183:
	</PRE>		</PRE>
	<B>Важно:</B> Это сервисный аккаунт для запуска PODов, и это НЕ ТОТ сервисный аккаунт который используется Vault		<B>Важно:</B> Это сервисный аккаунт для запуска PODов, и это НЕ ТОТ сервисный аккаунт который используется Vault
		+	<BR>
	Создать привязку		Создать привязку
	<PRE>		<PRE>

Sirmax: /* Привязка сервисных аккаунтов K8S к ролям Vault */

2019-02-13T13:42:09Z

Привязка сервисных аккаунтов K8S к ролям Vault

← Предыдущая		Версия 13:42, 13 февраля 2019
Строка 173:		Строка 173:
	export VAULT_K8S_ROLE="k8s-test-role"		export VAULT_K8S_ROLE="k8s-test-role"
	</PRE>		</PRE>
−	Здесь VAULT_K8S_SERVICE_ACCOUNT - это сервисный аккаунт в k8s который можно создать например так	+	Здесь VAULT_K8S_SERVICE_ACCOUNT - это сервисный аккаунт в k8s который можно создать например так:
	<PRE>		<PRE>
	---		---
Строка 180:		Строка 180:
	metadata:		metadata:
	name: k8s-service-account		name: k8s-service-account
−	namespace: ьн-~~тфьуызфсу~~	+	namespace: my-namespace-name
	</PRE>		</PRE>
		+	<B>Важно:</B> Это сервисный аккаунт для запуска PODов, и это НЕ ТОТ сервисный аккаунт который используется Vault
	Создать привязку		Создать привязку
	<PRE>		<PRE>

Sirmax: /* Привязка сервисных аккаунтов K8S к ролям Vault */

2019-02-13T13:40:04Z

Привязка сервисных аккаунтов K8S к ролям Vault

@@ Строка 173: / Строка 173: @@
 export VAULT_K8S_ROLE="k8s-test-role"
 </PRE>
 Создать привязку
 <PRE>

Sirmax: /* Получение необходимых секретов из K8S */

2019-02-13T13:37:08Z

Получение необходимых секретов из K8S

← Предыдущая		Версия 13:37, 13 февраля 2019
Строка 149:		Строка 149:
	-o jsonpath="{.data['ca\.crt']}" \		-o jsonpath="{.data['ca\.crt']}" \
	\| base64 --decode; echo )		\| base64 --decode; echo )
		+	</PRE>
−
	====Настройка доступа Vault в K8S====		====Настройка доступа Vault в K8S====
	Настроить vault (адрес API можно взять из конфигурации kubectl)		Настроить vault (адрес API можно взять из конфигурации kubectl)

Sirmax: /* Привязка сервисных аккаунтов K8S к ролям Vault */

2019-02-01T12:03:09Z

Привязка сервисных аккаунтов K8S к ролям Vault

← Предыдущая		Версия 12:03, 1 февраля 2019
Строка 176:		Строка 176:
	Создать привязку		Создать привязку
	<PRE>		<PRE>
		+	vault \
−	${VAULT} \
	write \		write \
	auth/kubernetes/role/${VAULT_K8S_ROLE} \		auth/kubernetes/role/${VAULT_K8S_ROLE} \

Sirmax: /* Получение необходимых секретов из K8S */

2019-01-31T12:11:22Z

Получение необходимых секретов из K8S

← Предыдущая		Версия 12:11, 31 января 2019
Строка 119:		Строка 119:
	export NAMESPACE="my-namespace-name"		export NAMESPACE="my-namespace-name"
	</PRE>		</PRE>
−	Получить имя "секрета"	+	Получить имя "секрета" для сервисного аккаунта vault-tokenreview-service-accoun (аккаунт под которым Vault работает с K8S API)
	<PRE>		<PRE>
	export SECRET_NAME=$( \		export SECRET_NAME=$( \
Строка 167:		Строка 167:
	* При авторизации POD запрашивает токен для <B>роли</B>		* При авторизации POD запрашивает токен для <B>роли</B>
	* На токен будут назначены политики из привязки		* На токен будут назначены политики из привязки
−

	====Привязка сервисных аккаунтов K8S к ролям Vault====		====Привязка сервисных аккаунтов K8S к ролям Vault====

Sirmax: /* Схема работы */

2019-01-31T12:09:47Z

Схема работы

← Предыдущая		Версия 12:09, 31 января 2019
Строка 14:		Строка 14:
	3. POD получает адрес Vault каким-то способом (в моем случае - вычитывает из Consul но это не принципиально, можно через переменную окружения или еще как-то) <BR>		3. POD получает адрес Vault каким-то способом (в моем случае - вычитывает из Consul но это не принципиально, можно через переменную окружения или еще как-то) <BR>
	4. Авторизуется в Vault под определенной ролью используя JWT <BR>		4. Авторизуется в Vault под определенной ролью используя JWT <BR>
−	5 Vault возвращает ~~токе~~ с политиками назначенными на роль <BR>	+	5 Vault возвращает токен с политиками назначенными на роль <BR>
	5. POD читает из Vault используя полученный токен <BR>		5. POD читает из Vault используя полученный токен <BR>

Sirmax: /* Схема работы */

2019-01-31T12:09:24Z

Схема работы

← Предыдущая		Версия 12:09, 31 января 2019
Строка 12:		Строка 12:
	1. Создается сервисный аккаунт <BR>		1. Создается сервисный аккаунт <BR>
	2. Запускается POD с этим сервисным аккаунтом <BR>		2. Запускается POD с этим сервисным аккаунтом <BR>
−	3. ~~Под~~ получает адрес Vault (в моем случае - вычитывает из Consul но это не принципиально) <BR>	+	3. POD получает адрес Vault каким-то способом (в моем случае - вычитывает из Consul но это не принципиально, можно через переменную окружения или еще как-то) <BR>
	4. Авторизуется в Vault под определенной ролью используя JWT <BR>		4. Авторизуется в Vault под определенной ролью используя JWT <BR>
	5 Vault возвращает токе с политиками назначенными на роль <BR>		5 Vault возвращает токе с политиками назначенными на роль <BR>
Строка 49:		Строка 49:
	+-------------------------------------------------------------------------------------------------------------------------------+		+-------------------------------------------------------------------------------------------------------------------------------+
	</PRE>		</PRE>
		+
	==Настройка==		==Настройка==
	===k8s===		===k8s===