Secrets requis

Gestion sécurisée des secrets

Vous pouvez gérer les secrets en utilisant deux approches principales :

• Helm-Managed Secrets: Définissez des secrets dans le fichier systemlink-secrets.yaml. Vous déployez des secrets sur le cluster Kubernetes dans le cadre de l'installation Helm. Cette approche est plus simple à configurer mais nécessite des étapes supplémentaires pour crypter le fichier des secrets pour un stockage sécurisé dans le contrôle de version.
• Gestion des secrets externes : stockez et gérez les secrets dans un système de gestion des secrets externe tel que HashiCorp Vault, AWS Secrets Manager ou Azure Key Vault. Les secrets sont synchronisés au cluster Kubernetes en utilisant des outils tels que l'opérateur de secrets externes. Cette approche permet une gestion centralisée des secrets.

Secrets gérés par Helm avec fichiers de valeurs chiffrées

Lorsque vous utilisez Helm pour gérer des secrets, configurez le paramètre global.deploySecrets à vrai dans systemlink-values.yaml. Définissez les secrets dans le fichier systemlink-secrets.yaml et déployez-les sur le cluster pendant l'installation ou la mise à niveau Helm.

Pour stocker en toute sécurité le fichier systemlink-secrets.yaml dans le contrôle de version, vous devez le crypter. Une approche consiste à utiliser le plug-in Helm Secrets avec Mozilla SOPS (Secrets OPerationS).

Le plug-in Helm Secrets s’intègre à Mozilla SOPS pour crypter et décrypter les fichiers de valeurs Helm. SOPS prend en charge plusieurs backends de cryptage, y compris AWS KMS, Azure Key Vault, Google Cloud KMS et PGP.

Pour utiliser Helm Secrets :

1. Installez le plug-in Helm Secrets :

   helm plugin install https://github.com/jkroepke/helm-secrets --version <version>

2. Installez Mozilla SOPS en suivant les instructions d'installation SOPS.
3. Configurez votre backend de cryptage (AWS KMS, Azure Key Vault, GCP KMS ou PGP). Reportez-vous à la documentation SOPS pour plus de détails sur la configuration.
4. Cryptez votre fichier systemlink-secrets.yaml :

   helm secrets encrypt systemlink-secrets.yaml

5. Déployez SystemLink Enterprise en utilisant mise-à-niveau de helm secrets plutôt que des commandes mise-à-niveau de helm. Le plug-in Helm Secrets décrypte automatiquement le fichier de valeurs chiffrées pendant le déploiement.

Vous pouvez valider le fichier systemlink-secrets.yaml chiffré en toute sécurité dans le contrôle de version.

Outils de gestion de secrets externes

Les outils de gestion de secrets externes fournissent un stockage et une gestion centralisés des secrets en dehors du cluster Kubernetes. Les secrets sont synchronisés avec Kubernetes en utilisant des opérateurs ou des agents. Lorsque vous utilisez la gestion de secrets externes, définissez le paramètre global.deploySecrets à faux dans systemlink-values.yaml pour empêcher Helm de déployer des secrets.

L'opérateur de secrets externes est un opérateur Kubernetes qui synchronise les secrets des systèmes de gestion de secrets externes avec les objets Kubernetes Secret. L'opérateur supporte plusieurs backends, notamment HashiCorp Vault, AWS Secrets Manager, Azure Key Vault, Google Cloud Secret Manager, etc.

Pour utiliser l'opérateur de secrets externes :

1. Installez External Secrets Operator dans votre cluster Kubernetes en suivant le guide d'installation.
2. Configurez une ressource SecretStore ou ClusterSecretStore qui définit la connexion à votre système de gestion de secrets externe. Reportez-vous à la documentation spécifique au gestionnaire pour plus de détails sur la configuration.
3. Créez des ressources ExternalSecret pour chaque SystemLink Enterprise secret. L'opérateur synchronisera les secrets de votre système externe avec Kubernetes.
4. Définissez global.deploySecrets: false dans systemlink-values.yaml.
5. Déployez SystemLink Enterprise en utilisant Helm.

Meilleures pratiques de sécurité

Pour en savoir plus sur les secrets et la sécurité Kubernetes, reportez-vous à la documentation Kubernetes Secrets et aux Kubernetes Good Practices for Secrets.

Exemples de format de secret

Cette section fournit des exemples de génération et de visualisation de secrets dans Kubernetes. Les secrets sont stockés au format base64 dans le cluster.

Génération de clés de chiffrement :

Utilisez OpenSSL ou des outils similaires pour générer des clés aléatoires sûres cryptographiquement.

• Clés AES-256 (32 octets) :

  openssl rand -base64 32

  Exemple de sortie :

  h8F3mK9pL2nQ7vR4tY6uE1wX5zA8bC0dD2fG4hJ6k=

• Clés AES-128 (16 octets) :

  openssl rand -base64 16
  

  Exemple de sortie :

  mK9pL2nQ7vR4tY6u

• Clés AEAD (32 octets) :

  openssl rand -base64 32
  

  Exemple de sortie :

  p2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT5vW8=

• Clés de signature SHA-256 (32-64 octets) :

  openssl rand -base64 48
  

  Exemple de sortie :

  G4hJ6kL7mN9qR2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT4uV5wX8yA9b

• Clés API whitelistées (42 octets) :

  openssl rand -base64 42
  

  Exemple de sortie :

  kL7mN9qR2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT4uV5w=

• MongoDB Replica Set Key :

  Les clés du jeu de réplicas MongoDB sont utilisées pour authentifier les pods dans le cluster de base de données. Reportez-vous à la documentation MongoDB pour obtenir des instructions de génération de clés.

• RabbitMQ Erlang Cookie:

  openssl rand -hex 32
  

  Exemple de sortie :

  a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2

• Clés RSA pour Salt Master :

  Utilisées pour la communication Salt Master avec les minions. Doivent être au format PKCS1.

  # Generate RSA private key (4096-bit)
  openssl genrsa 4096
  # Generate RSA public key from private key
  openssl rsa -in private_key.pem -pubout -outform PEM
  

  Exemple de clé privée :

  -----BEGIN RSA PRIVATE KEY-----
  MIIJKAIBAAKCAgEA1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKL
  ...
  -----END RSA PRIVATE KEY-----
  

  Exemple de clé publique :

  -----BEGIN PUBLIC KEY-----
  MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA1234567890abcdefgh
  ...
  -----END PUBLIC KEY-----

• Format de chaîne de connexion MongoDB :

  Reportez-vous à Configuring MongoDB for SystemLink Enterprise pour obtenir des exemples et des formats de chaînes de connexion.

• Format de chaîne de connexion PostgreSQL :

  Reportez-vous à PostgreSQL pour obtenir des exemples de chaînes de connexion et des détails de configuration.

• Affichage des secrets dans Kubernetes :

  Utilisez kubectl pour afficher les secrets déployés sur le cluster. Les données secrètes sont encodées en base64 :

  # View a secret in YAML format
  kubectl get secret webserver-session -n systemlink -o yaml
  

  Exemple de sortie :

  apiVersion: v1
  kind: Secret
  metadata:
    name: webserver-apikey
    namespace: systemlink
  type: Opaque
  data:
    encryptionKey: aDhGM21LOXBMMm5RN3ZSNHRZNnVFMXdYNXpBOGJDMGQ=
    signatureKey: RDJmRzRoSjZrN21MOHBOOXFSMnNUNHVWNXdYOHlBOWI=
  

  Décodage d'une valeur secrète :

  kubectl get secret webserver-session -n systemlink -o jsonpath='{.data.encryptionKey}' | base64 -d

• Création manuelle de secrets :

  Si vous n'utilisez pas de secrets gérés par Helm, créez des secrets directement avec kubectl :

  # Create a secret with multiple fields
  kubectl create secret generic oidc-secret \
    --from-literal=clientId='my-client-id' \
    --from-literal=clientSecret='my-client-secret' \
    --from-literal=jwks='' \
    -n systemlink

Secrets Image Pull

Le dépôt de conteneurs NI qui héberge SystemLink Enterprise est privé et requiert un accès par authentification. Les informations d'identification à SystemLink Enterprise doivent vous avoir été communiquées. Configurez les secrets d'extraction d'image pour SystemLink Enterprise à l'aide du tableau global.imagePullSecrets dans systemlink-values.yaml et systemlink-admin-values.yaml. Les secrets Image Pull doivent être conformes au format kubernetes.io/dockerconfigjson.

Secrets d'authentification

Clés API sur liste d’autorisation

Hachages de clés API sur liste d’autorisation

Clés de cryptage