k3s Secret 10分クッキング

engineer unite meetup vol.2 俺の話を聞け！U35スペシャル 発表資料

Transcript

1. k3s Secret10分クッキング
2. > whoami • 名前：山根 勁(つよし。not 頸,勤...) • 年齢：35歳 • 経歴：松江高専→豊橋技科大→TPJ（たぶん11年目） • 趣味：ラジオ(radiko)、PCいじり
3. はじめに • k3s触ったことありますか？ • 簡単に立てれるk8s • ※本資料ではk8s=k3s
4. ところで • 素のk8sではSecretはほぼ平文(base64エンコード)である • gitに乗せようものなら野ざらし同然...！
5. Secretをセキュアにしよう！ • secret管理の分離 • Openbao (Hashicorp Vaultフォーク) • Secrets Store CSI Driver • Agent Injector • Secrets Operator • データストア(etcd)の暗号化 • KMS v2 API https://4sysops.com/archives/encrypt-kubernetes-secrets-at-rest/
6. イメージ図 https://docs.cyberark.com/secrets-manager-saas/latest/en/content/integrations/k8s-ocp/k8s-jwt-secrets-store-csi-driver.htm
7. レシピ • 作り方 1. K3sいれます 2. openbaoを入れます 3. Secrets Store CSI Driverを入れます 4. Openbao Provider for Secrets Store CSI Driverを入れてOpenbao を使用するように設定します 5. シークレットをopenbaoに設定しま す 6. アプリが動いてめでたしめでたし • 材料 品名 数量 Windows11が動かせる程度の適当なLinuxマシン 1つ K3s 1つ Openbao 1つ Secrets Store CSI Driver 1つ Openbao Provider for Secrets Store CSI Driver 1つ 適当なテスト用アプリケーション 1つ
8. めでたしめでたし？ • Openbaoは起動直後は封印(Sealed)状態であり、unseal操作、 status照会以外を受け付けない
9. Auto Unseal • 各種クラウドのKMS • AWS KMS • Azure KeyVault • GCP Cloud KMS • … • Openbao Transit • 卵鶏問題あり • PKCS#11 Unseal
10. PKCS#11？ • Hardware Security Moduleとの通信規格 • お値段高すぎ… • でも我々にはTPM 2.0がある！
11. TPM 2.0＋tpm2-pkcs11＋OpenBao TCTI PKCS#11 Secret via CSI Volume
12. Hyper-V VMでTPM2.0マシンを確保
13. TPM 2.0のセットアップ
14. PKCS#11 Unsealのセットアップ
15. Kubernetesへの認証設定
16. ロールを設定
17. ポリシーを設定
18. シークレットを設定
19. 完成予定地
20. シークレット抜きの構成情報を用意
22. DBのDeployment OpenBaoとの紐づ け Ingress サービス ディスカ バリ 実行ユー ザ
23. gitをもとにデプロイする
24. デプロイ前
25. デプロイ前
26. デプロイ後
27. めでたしめでたし
28. まとめ • OpenBao＋TPM 2.0で、セキュアにSecretを管理できるように なった • クラウド上ならば各種KMS一択です • 構築は10分どころではないです