例

KeeperシークレットマネージャーのKubernetes Injector連携向けの完全な実行可能な例

Kubernetes Injector向けの完全な実行可能な例です。各例は、インジェクターのインストールとKSM認証Secret (keeper-credentials) の作成が、そのページの手順どおり完了していることを前提としています。

以下のレコード名およびフィールド名 (例: database-credentials、tls-cert、Production/Databases) は説明用です。Keeperシークレットマネージャーアプリケーションと共有しているフォルダ内に一致するレコードを作成するか、注釈を自分のレコードを指すように変更してください。

クイックチェック: Podへのシークレット注入

インジェクターが動作していることを確認する最も早い方法は、レコードをファイルに取得して読み取ることです。以下の .yaml 構成ファイルは、この機能の使用例です。

apiVersion: v1
kind: Pod
metadata:
  name: hello-secrets
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/secret: "demo-secret"
spec:
  containers:
    - name: app
      image: busybox:1.36
      command: ["sh", "-c", "cat /keeper/secrets/demo-secret.json && sleep 3600"]

kubectl logs hello-secrets         # prints the record JSON
kubectl get pod hello-secrets -o jsonpath='{.spec.containers[*].name}'   # includes keeper-secrets-sidecar

ファイルとしてのデータベース認証情報

デフォルトモードでは、レコードは /keeper/secrets/ にJSONとして書き込まれ、アプリケーションがそこから読み取ります。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: web
spec:
  replicas: 1
  selector: { matchLabels: { app: web } }
  template:
    metadata:
      labels: { app: web }
      annotations:
        keeper.security/inject: "true"
        keeper.security/ksm-config: "keeper-credentials"
        keeper.security/secret: "database-credentials"
    spec:
      containers:
        - name: web
          image: my-app:latest   # reads /keeper/secrets/database-credentials.json

.env ファイルのレンダリング

config ブロックで出力 format を選択します。ここでは、レコードをアプリケーションが読み込める .env ファイルとしてレンダリングします。

metadata:
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/config: |
      secrets:
        - record: database-credentials
          path: /keeper/secrets/db.env
          format: env

kubectl exec deploy/web -c app -- cat /keeper/secrets/db.env
# LOGIN=app_user
# PASSWORD=...

テンプレートによる接続文字列の生成

Goテンプレート (Sprig 関数付き) でレコードフィールドを任意の形式に変換できます。ここではPostgres URLの例です。

metadata:
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/config: |
      secrets:
        - record: database-credentials
          path: /keeper/secrets/db-url.txt
          template: |
            postgresql://{{ .login }}:{{ .password }}@{{ .host }}:5432/app

環境変数として注入

環境変数しか読み取れないレガシーアプリケーション向けです。フィールド名は大文字のキーになり、プレフィックスを付けて起動時に1回取得します (環境変数は再起動なしでは変更できません)。

apiVersion: v1
kind: Pod
metadata:
  name: legacy-app
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/inject-env-vars: "true"
    keeper.security/env-prefix: "APP_"
    keeper.security/secret: "database-credentials"
    keeper.security/init-only: "true"
spec:
  containers:
    - name: app
      image: legacy-app:latest   # sees APP_LOGIN, APP_PASSWORD, ...

環境変数はPod仕様に保存されます (kubectl get pod -o yaml で表示され、etcd に永続化されます)。機密値にはファイル注入を推奨します。

Deployment向けKubernetes Secretの作成

ワークロードがネイティブ Secret (secretKeyRef、envFrom、または Secret ボリューム) を必要とする場合、インジェクターにレコードから Secret を作成させます。

apiVersion: v1
kind: Pod
metadata:
  name: app-with-secret
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/inject-as-k8s-secret: "true"
    keeper.security/k8s-secret-name: "app-secrets"
    keeper.security/secret: "database-credentials"
spec:
  containers:
    - name: app
      image: my-app:latest
      env:
        - name: DB_PASSWORD
          valueFrom:
            secretKeyRef:
              name: app-secrets
              key: password

kubectl get secret app-secrets -o jsonpath='{.data}' | jq 'keys'   # ["login","password",...]

NGINX向けTLS証明書とキー

Keeperレコードに添付されたファイルを、アプリケーションがマウントするパスにダウンロードします。

apiVersion: v1
kind: Pod
metadata:
  name: tls-nginx
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/file-cert: "tls-cert:server.crt:/keeper/secrets/tls/tls.crt"
    keeper.security/file-key: "tls-cert:server.key:/keeper/secrets/tls/tls.key"
spec:
  containers:
    - name: nginx
      image: nginx:alpine
      volumeMounts:
        - name: keeper-secrets
          mountPath: /etc/nginx/tls
          subPath: tls

フォルダ内のすべてのシークレットを注入

Keeperフォルダ内のすべてのレコードを取得し、出力パス配下にレコードごとに1ファイルとして保存します。

metadata:
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/folder: "Production/Databases"
    keeper.security/folder-path: "/keeper/secrets/db"

keeper.security/folder-uid を使用して、UIDでフォルダを参照することもできます。

Keeper Notationによる単一フィールドの抽出

Keeper Notationを使用して、1つのフィールドだけを指定パスに書き込みます。Notationは、シークレットごとの keeper.security/secret-<name> 注釈で解析されます (プレーンな keeper.security/secret 注釈は、値を常にレコードタイトルとして扱います)。

metadata:
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/secret-token: "keeper://API-Keys-UID/field/password:/keeper/secrets/token.txt"

自動ローテーション

サイドカーモードでは、エージェントが一定間隔で再取得し、ファイルをその場で上書きします。Podの再起動は不要です。ファイルを再読み取りするアプリケーションは、新しい値を自動的に取得します。

metadata:
  annotations:
    keeper.security/inject: "true"
    keeper.security/ksm-config: "keeper-credentials"
    keeper.security/secret: "database-credentials"
    keeper.security/refresh-interval: "1m"

# rotate the value in Keeper, then watch it update in place:
kubectl exec deploy/web -c app -- sh -c 'while :; do cat /keeper/secrets/database-credentials.json; sleep 10; done'

その他の例とGitHubソース

インジェクターのGitHubリポジトリには、実行可能な例の完全なカタログ (Webデモ、データベース、ローテーションダッシュボード、耐障害性、クラウド認証など) があります。

• Github Source を表示