HashiCorp Vaultを活用した kubernetes環境での環境変数管理

Matsuriba tech vol4の玄人枠でのLT資料。
静的secretに焦点を当ててお家でできる簡単なハンズオン付き

Transcript

1. HashiCorp Vaultを活用した kubernetes環境での環境変数管理 murasame29
2. 自己紹介
3. ちょっと質問 Q. Kubernetes興味ある人　 (予想: 100%)
4. ちょっと質問 Q. Kubernetes興味ある人　 (予想: 100%) Q. kubernetes触ったことある人 (予想: 50%)
5. ちょっと質問 Q. Kubernetes興味ある人　 (予想: 100%) Q. kubernetes触ったことある人 (予想: 50%) Q. kubernetesよく使う人 (予想: 10%)
6. ちょっと質問 Q. Kubernetes興味ある人　 (予想: 100%) Q. kubernetes触ったことある人 (予想: 50%) Q. kubernetesよく使う人 (予想: 10%) Q. 環境変数の管理で困りごとがあると感じたことがある人 (予想:100%)
7. SecretAPIどんなのか知ってる？ k-v形式でkeyに対して内容がbase64でエンコード された文字列が格納されています。
8. SecretAPIどんなのか知ってる？ k-v形式でkeyに対して内容がbase64でエンコード された文字列が格納されています。 読みにくいっちゃ読みにくいけど。。。
9. SecretAPIどんなのか知ってる？ k-v形式でkeyに対して内容がbase64でエンコード された文字列が格納されています。 読みにくいっちゃ読みにくいけど。。。 echo "eXVtYS1zYXRha2U=" | base64 -d ; echo ってやったら見えちゃう！！
10. GitOpsで致命的すぎる事例… 本番環境のsecret gitに上げちゃった！ 誰が何処にSecret保存してるんだ？ 検証したいからSecretをSlackに上 げてくれない？
11. 具体的な解決法… パブリッククラウドやSaaSを利用する。 GCPやAWS,AzureにはSecretManagerが存在する。
12. 具体的な解決法… パブリッククラウドやSaaSを利用する。 GCPやAWS,AzureにはSecretManagerが存在する。 でも... マルチクラウドの場合は …？ オンプレミスで管理したい時って …？ SecretManagerがないクラウドベンダの場合って …？
13. 具体的な解決法… パブリッククラウドやSaaSを利用する。 GCPやAWS,AzureにはSecretManagerが存在する。 でも... マルチクラウドの場合は …？ オンプレミスで管理したい時って …？ SecretManagerがないクラウドベンダの場合って …？ そんな悩みを持ってるあなたに紹介するエコシステム
14. 具体的な解決法… パブリッククラウドやSaaSを利用する。 GCPやAWS,AzureにはSecretManagerが存在する。 でも... マルチクラウドの場合は …？ オンプレミスで管理したい時って …？ SecretManagerがないクラウドベンダの場合って …？ そんな悩みを持ってるあなたに紹介するエコシステム
15. Vaultとは？ • HashiCorp社の提供するシークレット管理及びデータ暗号化用のセキュリティツール • パブリッククラウドからオンプレまで柔軟にデプロイが可能 • WebUI、CLI、APIでの操作ができる ◦ 今回はわかりやすいように vaultの操作はWebUIから行う • シークレットや鍵が一元管理可能 • EaaS(Encryption as a Service)や PKI , IdPとしても振る舞うことができる • 様々なSSOプロバイダに対応してる こいつ一つでなんでもできる。。。 Kubernetesだけでなく、GitHub Actionsやその他対応ベンダのサービスのsecretも管理可能！
16. どうやって使うの？ 1. Agent Sidecar Injectorを使ってPodに渡す 2. CSIドライバ経由でPodからマウントする 3. Secrets Operator等を使ってSecretリソースと同期させてSecretをマウントする。 a. External Secrets Operatorを使う b. Vault Secrets Operatorを使う
17. どうやって使うの？ 1. Agent Sidecar Injectorを使ってPodに渡す 2. CSIドライバ経由でPodからマウントする 3. Secrets Operator等を使ってSecretリソースと同期させてSecretをマウントする。 a. External Secrets Operatorを使う b. Vault Secrets Operatorを使う 今回はこいつに焦点を当てて話そうかと思う
18. Vault Secrets Operatorとは？ • kv-v1 , kv-v2 PKIのTLS証明書のサポート • 静的および動的シークレットのサポート • HashiCorp製のCRD Vault Secrets Operatorは指定されたVaultと namespace内のSecretを同期するOperator。 Secretの管理はVault Secret Operatorによって行われ るが標準的なアクセスが可能である 特徴
19. 実際の使用例 ※検証用なので細かい設定は省略します本番環境ではより細かい権限設定を行ってください 1. kubernetesによる認証メソッドを有効化する UI > Access -> Authentication Method -> Enable New Method -> kubernetes
20. 実際の使用例 ※検証用なので細かい設定は省略します本番環境ではより細かい権限設定を行ってください 1. kubernetesによる認証メソッドを有効化する UI > Access -> Authentication Method -> Enable New Method -> kubernetes
21. 実際の使用例 ※検証用なので細かい設定は省略します本番環境ではより細かい権限設定を行ってください 1. kubernetesによる認証メソッドを有効化する UI > Access -> Authentication Method -> Enable New Method -> kubernetes -> configure ここで設定するhostは control-planeのAPIserver Address もしくは、 vault-0の環境変数に設定されている $KUBERNETES_PORT_443_TCP_ADDR を入力する
22. 実際の使用例 2. 新しいkv-2のオブジェクトを作る UI> Secrets Engine -> Enable New Engine -> kv
23. 実際の使用例 2. 新しいkv-2のオブジェクトを作る UI> Secrets Engine -> Enable New Engine -> kv
24. 実際の使用例 2. 新しいkv-2のオブジェクトを作る UI> Secrets Engine -> Enable New Engine -> kv -> Secrets -> Create Secrets
25. 実際の使用例 3. ポリシーを作成する UI > ACL Policies -> Create ACL Policy さっき作ったオブジェクトに対して読み取りのみできるポリシーを設定。。。
26. 実際の使用例 3. ポリシーを作成する UI > ACL Policies -> Create ACL Policy さっき作ったオブジェクトに対して読み取りのみできるポリシーを設定。。。
27. 実際の使用例 4. ロールを作成する UI > Access -> Authentication Method -> vault-secrets-operator-example -> Create New Role 適当なロールを作る…
28. 実際の使用例 4. ロールを作成する UI > Access -> Authentication Method -> vault-secrets-operator-example -> Create New Role 適当なロールを作る…
29. 実際の使用例 4. kubernetes側でVaultのAuthとSecretのマウントを設定する a. vault secrets operator をdeployする(初回のみ) b. static-auth用のmanifestを適用する c. mount設定用のmanifestを適用する いい感じにvalues.ymalを変更してね
30. 実際の使用例 4. kubernetes側でVaultのAuthとSecretのマウントを設定する a. vault secrets operator をdeployする(初回のみ) b. static-auth用のmanifestを適用する c. mount設定用のmanifestを適用する
31. 実際の使用例 4. kubernetes側でVaultのAuthとSecretのマウントを設定する a. vault secrets operator をdeployする(初回のみ) b. static-auth用のmanifestを適用する c. mount設定用のmanifestを適用する
32. 確認... name: yuma-satake birth-day: 1067212800 role: don
33. 確認... name: yuma-satake birth-day: 1067212800 role: don ミスったエポック秒だわ
34. secretsの更新 UI > Secrets Engine -> matsuriba-secrets -> config/satake -> Create new version birth-dayを更新する…
35. secretsの更新 UI > Secrets Engine -> matsuriba-secrets -> config/satake -> Create new version birth-dayを更新する…
36. 確認... name: yuma-satake birth-day: 2003/10/27 role: don ちゃんと治ってそう
37. まとめ 静的なシークレットについて焦点を当てて話したが、 DBと連携し動的に鍵を保存することも可能であり、前述のとおり沢山機能 がある。 皆さんもVaultを触ってみてください！