必須のシークレット

シークレットを安全に管理する

シークレットは、2つの主要なアプローチを使用して管理できます。

• Helm管理シークレット: systemlink-secrets.yamlファイルでシークレットを定義します。Helmインストールの一部としてKubernetesクラスタにシークレットをデプロイします。この方法は構成が簡単ですが、バージョン管理で安全なストレージのためにシークレットファイルを暗号化する追加の手順が必要です。
• 外部シークレット管理: HashiCorp Vault、AWS Secrets Manager、またはAzure Key Vaultなどの外部シークレット管理システムにシークレットを保存および管理します。シークレットは、外部シークレットオペレータなどのツールを使用してKubernetesクラスタに同期されます。このアプローチは、一元化されたシークレット管理を提供します。

Helm管理シークレット (暗号化された値ファイル)

Helmを使用してシークレットを管理する場合は、systemlink-values.yamlのglobal.deploySecretsパラメータをtrueに設定します。systemlink-secrets.yamlファイルでシークレットを定義し、Helmのインストールまたはアップグレード中にクラスタにデプロイします。

systemlink-secrets.yamlファイルをバージョン管理に安全に保存するには、ファイルを暗号化する必要があります。1つの方法は、Mozilla SOPS (Secrets OPerationS) でHelmシークレットプラグインを使用することです。

Helm Secretsプラグインは、Mozilla SOPSと統合して、Helm値ファイルを暗号化および復号化します。SOPSは、AWS KMS、Azure Key Vault、Google Cloud KMS、PGPなどの複数の暗号化バックエンドをサポートしています。

Helmシークレットを使用するには:

1. Helm Secretsプラグインをインストールする:

   helm plugin install https://github.com/jkroepke/helm-secrets --version <version>

2. SOPSのインストール手順に従ってMozilla SOPSをインストールします。
3. 暗号化バックエンド (AWS KMS、Azure Key Vault、GCP KMS、またはPGP) を構成します。構成の詳細については、SOPSのドキュメントを参照してください。
4. systemlink-secrets.yamlファイルを暗号化します。

   helm secrets encrypt systemlink-secrets.yaml

5. SystemLink Enterpriseは、helm upgradeコマンドの代わりにhelm secrets upgradeを使用してデプロイします。Helm Secretsプラグインは、デプロイ中に暗号化された値ファイルを自動的に復号化します。

暗号化されたsystemlink-secrets.yamlファイルは、バージョン管理に安全にコミットできます。

外部シークレット管理ツール

外部シークレット管理ツールは、Kubernetesクラスタ外のシークレットを一元的に保存および管理します。シークレットは、オペレータまたはエージェントを使用してKubernetesに同期されます。外部シークレット管理を使用する場合、systemlink-values.yamlでglobal.deploySecretsパラメータをfalseに設定して、Helmがシークレットをデプロイしないようにします。

外部シークレットオペレータは、外部シークレット管理システムからのシークレットをKubernetesシークレットオブジェクトに同期するKubernetesオペレータです。オペレータは、HashiCorp Vault、AWS Secrets Manager、Azure Key Vault、Google Cloud Secret Managerなどの複数のバックエンドをサポートしています。

外部シークレットオペレータを使用するには:

1. インストールガイドに従って、外部シークレットオペレータをKubernetesクラスタにインストールします。
2. 外部シークレット管理システムへの接続を定義するSecretStoreリソースまたはClusterSecretStoreリソースを構成します。構成の詳細については、各プロバイダのドキュメントを参照してください。
3. 各SystemLink Enterpriseシークレットに対してExternalSecretリソースを作成します。オペレータは、外部システムからのシークレットをKubernetesに同期します。
4. systemlink-values.yamlでglobal.deploySecrets: falseを設定します。
5. Helmを使用してSystemLink Enterpriseをデプロイします。

セキュリティのベストプラクティス

Kubernetesのシークレットとセキュリティの詳細については、「Kubernetesシークレット」のドキュメントおよび「Kubernetesシークレットのベストプラクティス」を参照してください。

シークレット形式の例

このセクションでは、Kubernetesでシークレットを生成したり、シークレットを表示したりするサンプルを提供します。シークレットは、Base64でエンコードされた形式でクラスタに保存されます。

暗号化キーを生成する:

OpenSSLまたは同様のツールを使用して、暗号で保護されたランダムキーを生成します。

• AES-256キー (32バイト):

  openssl rand -base64 32

  出力例:

  h8F3mK9pL2nQ7vR4tY6uE1wX5zA8bC0dD2fG4hJ6k=

• AES-128キー (16バイト):

  openssl rand -base64 16
  

  出力例:

  mK9pL2nQ7vR4tY6u

• AEADキー (32バイト):

  openssl rand -base64 32
  

  出力例:

  p2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT5vW8=

• SHA-256署名キー (32～64バイト):

  openssl rand -base64 48
  

  出力例:

  G4hJ6kL7mN9qR2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT4uV5wX8yA9b

• ホワイトリストに登録されたAPIキー (42バイト):

  openssl rand -base64 42
  

  出力例:

  kL7mN9qR2sT4uV5wX8yA9bC0dD2fG4hJ6kL7mN9qR2sT4uV5w=

• MongoDBレプリカセットキー:

  MongoDBレプリカセットキーは、データベースクラスタ内のポッドの認証に使用されます。キー生成の手順については、MongoDBのドキュメントを参照してください。

• RabbitMQ Erlang Cookie

  openssl rand -hex 32
  

  出力例:

  a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2c3d4e5f6a1b2

• Salt Master用RSAキー:

  ミニオンとのSalt Master通信に使用されます。PKCS1形式である必要があります。

  # Generate RSA private key (4096-bit)
  openssl genrsa 4096
  # Generate RSA public key from private key
  openssl rsa -in private_key.pem -pubout -outform PEM
  

  プライベートキーの例:

  -----BEGIN RSA PRIVATE KEY-----
  MIIJKAIBAAKCAgEA1234567890abcdefghijklmnopqrstuvwxyzABCDEFGHIJKL
  ...
  -----END RSA PRIVATE KEY-----
  

  パブリックキーの例:

  -----BEGIN PUBLIC KEY-----
  MIICIjANBgkqhkiG9w0BAQEFAAOCAg8AMIICCgKCAgEA1234567890abcdefgh
  ...
  -----END PUBLIC KEY-----

• MongoDB接続文字列形式:

  接続文字列のサンプルおよび形式については、「SystemLink Enterprise用にMongoDBを構成する」を参照してください。

• PostgreSQL接続文字列形式:

  接続文字列のサンプルと構成の詳細については、「PostgreSQL」を参照してください。

• Kubernetesでシークレットを表示する:

  クラスタにデプロイされたシークレットを表示するには、kubectlを使用します。シークレットデータはbase64でエンコードされています。

  # View a secret in YAML format
  kubectl get secret webserver-session -n systemlink -o yaml
  

  出力例:

  apiVersion: v1
  kind: Secret
  metadata:
    name: webserver-apikey
    namespace: systemlink
  type: Opaque
  data:
    encryptionKey: aDhGM21LOXBMMm5RN3ZSNHRZNnVFMXdYNXpBOGJDMGQ=
    signatureKey: RDJmRzRoSjZrN21MOHBOOXFSMnNUNHVWNXdYOHlBOWI=
  

  シークレット値をデコードする:

  kubectl get secret webserver-session -n systemlink -o jsonpath='{.data.encryptionKey}' | base64 -d

• シークレットを手動で作成する:

  Helm管理シークレットを使用しない場合は、kubectlで直接シークレットを作成します。

  # Create a secret with multiple fields
  kubectl create secret generic oidc-secret \
    --from-literal=clientId='my-client-id' \
    --from-literal=clientSecret='my-client-secret' \
    --from-literal=jwks='' \
    -n systemlink

イメージプルシークレット

SystemLink EnterpriseをホストするNIコンテナリポジトリは非公開で、アクセスするには認証が必要です。SystemLink Enterpriseにアクセスするための資格情報は事前にNIからお知らせします。systemlink-values.yamlおよびsystemlink-admin-values.yamlのglobal.imagePullSecrets配列を使用してSystemLink Enterpriseの画像プルシークレットを構成します。イメージプルシークレットは、kubernetes.io/dockerconfigjson形式に準拠している必要があります。

認証シークレット

ホワイトリストに登録されたAPIキー

ホワイトリストに登録されたAPI キーハッシュ

暗号化キー