Как я могу использовать секретный менеджер GCP в кластере Anthos

Question

Я хочу создать два кластера Anthos в GCP: один — GKE, а второй — EKS (AWS Kubernetes), и я хочу сохранить секрет в диспетчере секретов GCP, использовать эти секреты как в GKE, так и в EKS. Каков хороший и безопасный способ сделать это?

Answer 1

Для этой цели вы можете использовать драйвер Secret Store CSI , он позволит вам получить доступ к секретам , хранящимся в диспетчере секретов, в виде файлов, смонтированных в модулях Kubernetes.

Для этого сначала вам необходимо настроить кластер Anthos с помощью workload-identity . В этом блоге , написанном Харшем Манваром , содержится подробное объяснение того, как создать кластер Anthos с GKE и EKS с использованием Workload-identity(OIDC). Если у вас уже есть существующий кластер, следуйте этому документу , чтобы включить идентификацию рабочей нагрузки в существующем кластере.

После выполнения этих предварительных условий вам необходимо выполнить следующие простые шаги для использования секретного менеджера GCP:

• Установите драйвер Secret Store CSI для секретного менеджера GCP в кластере Anthos (он будет применяться как к GKE, так и к EKS, в противном случае примените один и тот же yaml в обоих кластерах отдельно).
• Создайте учетную запись службы, чтобы предоставить идентификатору рабочей нагрузки доступ к диспетчеру секретов.
• Создайте секрет и предоставьте доступ к вновь созданной учетной записи службы, чтобы идентификатор рабочей нагрузки мог получить его от диспетчера секретов.
• Попробуйте использовать секрет в образце развертывания.

Следуйте этой документации для получения более подробной информации об этапах установки и настройки.