Erforderliche Secrets

Sicheres Verwalten von Secrets

Sie können Secrets mit zwei Hauptmethoden verwalten:

• Helm-verwaltete Secrets: Definieren Sie Secrets in der Datei systemlink-secrets.yaml. Sie verteilen Secrets als Teil der Helm-Installation an den Kubernetes-Cluster. Dieser Ansatz ist einfacher zu konfigurieren, erfordert jedoch zusätzliche Schritte, um die Secrets-Datei für die sichere Speicherung in der Versionsverwaltung zu verschlüsseln.
• Externe Secret-Verwaltung: Speichern und verwalten Sie Secrets in einem externen Secret-Management-System wie HashiCorp Vault, AWS Secrets Manager oder Azure Key Vault. Die Secrets werden mit Tools wie dem Operator für externe Secrets mit dem Kubernetes-Cluster synchronisiert. Dieser Ansatz bietet eine zentrale Verwaltung von Secrets.

Helm-verwaltete Secrets mit verschlüsselten Wertedateien

Wenn Sie Helm zur Verwaltung von Secrets verwenden, konfigurieren Sie den Parameter global.deploySecrets auf true in systemlink-values.yaml. Definieren Sie Secrets in der Datei systemlink-secrets.yaml und verteilen Sie diese während der Helm-Installation oder -Aktualisierung auf den Cluster.

Um die Datei systemlink-secrets.yaml sicher in der Versionsverwaltung zu speichern, müssen Sie sie verschlüsseln. Eine Möglichkeit ist die Verwendung des Helm Secrets Plugins mit Mozilla SOPS (Secrets OPerationS).

Das Helm Secrets Plugin integriert sich mit Mozilla SOPS, um Helm-Wertedateien zu verschlüsseln und zu entschlüsseln. SOPS unterstützt mehrere Verschlüsselungs-Backends, darunter AWS KMS, Azure Key Vault, Google Cloud KMS und PGP.

So verwenden Sie Helm Secrets:

1. Installieren Sie das Helm Secrets Plugin:

   helm plugin install https://github.com/jkroepke/helm-secrets --version <version>

2. Installieren Sie Mozilla SOPS gemäß der SOPS Installationsanweisungen.
3. Konfigurieren Sie Ihr Verschlüsselungs-Backend (AWS KMS, Azure Key Vault, GCP KMS oder PGP). Einzelheiten zur Konfiguration finden Sie in der SOPS Dokumentation.
4. Verschlüsseln Sie Ihre Datei systemlink-secrets.yaml:

   helm secrets encrypt systemlink-secrets.yaml

5. Verteilen Sie SystemLink Enterprise mit dem Befehl helm secrets upgrade anstelle des Befehls helm upgrade. Das Helm Secrets Plugin entschlüsselt die verschlüsselte Wertedatei während der Bereitstellung automatisch.

Sie können die verschlüsselte Datei systemlink-secrets.yaml sicher in der Versionsverwaltung einchecken.

Tools zur Verwaltung externer Secrets

Externe Secret-Management-Tools ermöglichen eine zentrale Speicherung und Verwaltung von Secrets außerhalb des Kubernetes-Clusters. Secrets werden mithilfe von Operatoren oder Agenten mit Kubernetes synchronisiert. Wenn Sie externe Secret-Verwaltung verwenden, setzen Sie den Parameter global.deploySecrets in systemlink-values.yaml auf false, um zu verhindern, dass Helm Secrets verteilt.

Der Operator für externe Secrets ist ein Kubernetes-Operator, der Secrets von externen Secret-Management-Systemen mit Kubernetes-Secret-Objekten synchronisiert. Der Betreiber unterstützt mehrere Backends wie HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, Google Cloud Secret Manager und andere.

So verwenden Sie den Operator für externe Secrets:

1. Installieren Sie den Operator für externe Secrets in Ihrem Kubernetes-Cluster entsprechend der Installationsanleitung.
2. Konfigurieren Sie eine SecretStore- oder ClusterSecretStore-Ressource, die die Verbindung zu Ihrem externen Secret-Management-System definiert. Einzelheiten zur Konfiguration finden Sie in der anbieterspezifischen Dokumentation.
3. Erstellen Sie für jedes SystemLink Enterprise Secret Ressourcen. Der Operator synchronisiert die Secrets von Ihrem externen System mit Kubernetes.
4. Set global.deploySecrets: false in systemLink-values.yaml.
5. Verteilen Sie SystemLink Enterprise mit Helm.

Best Practices für Sicherheit

Weitere Informationen zu Kubernetes Secrets und Sicherheit finden Sie in der Dokumentation zu Kubernetes Secrets und in den Kubernetes Best Practices für Secrets.

Beispiele für Secret-Formate

In diesem Abschnitt finden Sie Beispiele zum Erzeugen und Anzeigen von Secrets in Kubernetes. Secrets werden im base64-kodierten Format im Cluster gespeichert.

Verschlüsselungsschlüssel erzeugen:

Verwenden Sie OpenSSL oder ähnliche Tools, um kryptographisch sichere Zufallsschlüssel zu erzeugen.

• AES-256-Schlüssel (32 Byte):

  openssl rand -base64 32

  Beispielausgabe:

  h8F3mK9pL2nQ7vR4tY6uE1wX5zA8bC0dD2fG4hJ6k=

• AES-128-Schlüssel (16 Byte):

  openssl rand -base64 16
  

  Beispielausgabe:

  mK9pL2nQ7vR4tY6u

• AEAD-Schlüssel (32 Byte):

  openssl rand -base64 32
  

  Beispielausgabe:

  p2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT5vW8=

• SHA-256 Signaturschlüssel (32-64 Byte):

  openssl rand -base64 48
  

  Beispielausgabe:

  G4hJ6kL7mN9qR2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT4uV5wX8yA9b

• Zulässige API-Schlüssel (42 Byte):

  openssl rand -base64 42
  

  Beispielausgabe:

  kL7mN9qR2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT4uV5w=

• MongoDB-replica-set-key:

  MongoDB-Replikat-Set-Schlüssel werden zur Authentifizierung von Pods im Datenbank-Cluster verwendet. Hinweise zur Schlüsselerzeugung finden Sie in der MongoDB-Dokumentation.

• RabbitMQ Erlang Cookie:

  openssl rand -hex 32
  

  Beispielausgabe:

  a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2

• RSA-Schlüssel für Salt Master:

  Wird für Salt-Master-Kommunikation mit Minions verwendet. Muss im PKCS1-Format vorliegen.

  # Generate RSA private key (4096-bit)
  openssl genrsa 4096
  # Generate RSA public key from private key
  openssl rsa -in private_key.pem -pubout -outform PEM
  

  Beispiel für privaten Schlüssel:

  -----BEGIN RSA PRIVATE KEY-----
  MIIJKAIBAAKCAgEA1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKL
  ...
  -----END RSA PRIVATE KEY-----
  

  Beispiel für öffentlichen Schlüssel:

  -----BEGIN PUBLIC KEY-----
  MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA1234567890abcdefgh
  ...
  -----END PUBLIC KEY-----

• MongoDB-Verbindungs-String-Format:

  Beispiele und Formate für Verbindungs-Strings finden Sie unter Konfiguration von MongoDB für SystemLink Enterprise.

• PostgreSQL-Verbindungs-String-Format:

  Beispiele für Verbindungs-Strings und Konfigurationsdetails finden Sie unter PostgreSQL.

• Anzeigen von Secrets in Kubernetes:

  Verwenden Sie kubectl, um die im Cluster übertragenen Secrets anzuzeigen. Secret-Daten sind base64-kodiert:

  # View a secret in YAML format
  kubectl get secret webserver-session -n systemlink -o yaml
  

  Beispielausgabe:

  apiVersion: v1
  kind: Secret
  metadata:
    name: webserver-apikey
    namespace: systemlink
  type: Opaque
  data:
    encryptionKey: aDhGM21LOXBMMm5RN3ZSNHRZNnVFMXdYNXpBOGJDMGQ=
    signatureKey: RDJmRzRoSjZrN21MOHBOOXFSMnNUNHVWNXdYOHlBOWI=
  

  Secret-Wert dekodieren:

  kubectl get secret webserver-session -n systemlink -o jsonpath='{.data.encryptionKey}' | base64 -d

• Manuelles Erstellen von Secrets:

  Wenn Sie keine Helm-verwalteten Secrets verwenden, erstellen Sie Secrets direkt mit kubectl:

  # Create a secret with multiple fields
  kubectl create secret generic oidc-secret \
    --from-literal=clientId='my-client-id' \
    --from-literal=clientSecret='my-client-secret' \
    --from-literal=jwks='' \
    -n systemlink

Image-Pull-Secrets

Das NI-Container-Repository, das SystemLink Enterprise hostet, ist privat und erfordert einen authentifizierten Zugriff. Sie haben Zugangsdaten für den Zugang zu SystemLink Enterprise erhalten. Konfigurieren Sie Image-Pull-Secrets für SystemLink Enterprise mit dem Array global.imagePullSecrets in systemlink-values.yaml und systemlink-admin-values.yaml. Die Image-Pull-Secrets müssen dem Format kubernetes.io/dockerconfigjson entsprechen.

Authentifizierungs-Secrets

Zulässige API-Schlüssel

Zulässige API-Key-Hashes

Encryption-Schlüssel