2.6. シークレットを使用した機密データの Pod への提供

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   以下に例を示します。

   apiVersion: v1
   kind: Secret
   metadata:
     name: mysecret
   type: Opaque 1
   data:
     username: <username>
     password: <password>

   1

   不透明なシークレットを指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. 「シークレットの作成方法について」セクションで説明されているとおり、Pod のサービスアカウントを更新してシークレットを参照します。
   2. 「シークレットの作成方法について」で説明されているとおり、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   Secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-sa-sample
     annotations:
       kubernetes.io/service-account.name: "sa-name" 1
   type: kubernetes.io/service-account-token 2

   1

   既存のサービスアカウント名を指定します。ServiceAccount と Secret オブジェクトの両方を作成する場合は、ServiceAccount オブジェクトを最初に作成します。

   2

   サービスアカウントトークンシークレットを指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. 「シークレットの作成方法について」セクションで説明されているとおり、Pod のサービスアカウントを更新してシークレットを参照します。
   2. 「シークレットの作成方法について」で説明されているとおり、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-basic-auth
   type: kubernetes.io/basic-auth 1
   data:
   stringData: 2
     username: admin
     password: <password>

   1

   Basic 認証のシークレットを指定します。

   2

   使用する Basic 認証値を指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. 「シークレットの作成方法について」セクションで説明されているとおり、Pod のサービスアカウントを更新してシークレットを参照します。
   2. 「シークレットの作成方法について」で説明されているとおり、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-ssh-auth
   type: kubernetes.io/ssh-auth 1
   data:
     ssh-privatekey: | 2
             MIIEpQIBAAKCAQEAulqb/Y ...

   1

   SSH 認証シークレットを指定します。

   2

   SSH のキー/値のペアを、使用する SSH 認証情報として指定します。

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. 「シークレットの作成方法について」セクションで説明されているとおり、Pod のサービスアカウントを更新してシークレットを参照します。
   2. 「シークレットの作成方法について」で説明されているとおり、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. コントロールプレーンノードの YAML ファイルに Secret オブジェクトを作成します。

   Docker 設定の secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-cfg
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfig:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   シークレットが Docker 設定ファイルを使用することを指定します。

   2

   base64 でエンコードされた Docker 設定ファイルの出力

   Docker 設定の JSON secret オブジェクトの例

   apiVersion: v1
   kind: Secret
   metadata:
     name: secret-docker-json
     namespace: my-project
   type: kubernetes.io/dockerconfig 1
   data:
     .dockerconfigjson:bm5ubm5ubm5ubm5ubm5ubm5ubm5ubmdnZ2dnZ2dnZ2dnZ2dnZ2dnZ2cgYXV0aCBrZXlzCg== 2

   1

   シークレットが Docker 設定の JSON ファイルを使用することを指定します。

   2

   base64 でエンコードされた Docker 設定 JSON ファイルの出力

2. 以下のコマンドを使用して Secret オブジェクトを作成します。

   $ oc create -f <filename>.yaml

3. Pod でシークレットを使用するには、以下を実行します。

   1. 「シークレットの作成方法について」セクションで説明されているとおり、Pod のサービスアカウントを更新してシークレットを参照します。
   2. 「シークレットの作成方法について」で説明されているとおり、シークレットを環境変数またはファイル (secret ボリュームを使用) として使用する Pod を作成します。

手順

1. Workloads Secrets に移動します。

2. Create From YAML をクリックします。

   1. 仕様に合わせて YAML を手動で編集するか、ファイルを YAML エディターにドラッグアンドドロップします。以下に例を示します。

      apiVersion: v1
      kind: Secret
      metadata:
        name: example
        namespace: <namespace>
      type: Opaque 1
      data:
        username: <base64 encoded username>
        password: <base64 encoded password>
      stringData: 2
        hostname: myapp.mydomain.com

      1

      この例では、不透明なシークレットを指定します。ただし、サービスアカウントトークンシークレット、基本認証シークレット、SSH 認証シークレット、Docker 設定を使用するシークレットなど、他のシークレットタイプが表示される場合があります。

      2

      stringData マップのエントリーが base64 に変換され、このエントリーは自動的に data マップに移動します。このフィールドは書き込み専用です。この値は data フィールドでのみ返されます。

3. Create をクリックします。

4. Add Secret to workload をクリックします。

   1. ドロップダウンメニューから、追加するワークロードを選択します。
   2. Save をクリックします。

1. サービスの Pod 仕様を編集します。

2. シークレットに使用する名前に service.beta.openshift.io/serving-cert-secret-name アノテーションを追加します。

   kind: Service
   apiVersion: v1
   metadata:
     name: my-service
     annotations:
         service.beta.openshift.io/serving-cert-secret-name: my-cert 1
   spec:
     selector:
       app: MyApp
     ports:
     - protocol: TCP
       port: 80
       targetPort: 9376

   証明書およびキーは PEM 形式であり、それぞれ tls.crt および tls.key に保存されます。

3. サービスを作成します。

   $ oc create -f <file-name>.yaml

4. シークレットを表示して、作成されていることを確認します。

   1. すべてのシークレットのリストを表示します。

      $ oc get secrets

      出力例

      NAME                     TYPE                                  DATA      AGE
      my-cert                  kubernetes.io/tls                     2         9m

   2. シークレットの詳細を表示します。

      $ oc describe secret my-cert

      出力例

      Name:         my-cert
      Namespace:    openshift-console
      Labels:       <none>
      Annotations:  service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
                    service.beta.openshift.io/originating-service-name: my-service
                    service.beta.openshift.io/originating-service-uid: 640f0ec3-afc2-4380-bf31-a8c784846a11
                    service.beta.openshift.io/expiry: 2023-03-08T23:22:40Z
      
      Type:  kubernetes.io/tls
      
      Data
      ====
      tls.key:  1679 bytes
      tls.crt:  2595 bytes

5. このシークレットを使用して Pod 仕様を編集します。

   apiVersion: v1
   kind: Pod
   metadata:
     name: my-service-pod
   spec:
     securityContext:
       runAsNonRoot: true
       seccompProfile:
         type: RuntimeDefault
     containers:
     - name: mypod
       image: redis
       volumeMounts:
       - name: my-container
         mountPath: "/etc/my-path"
       securityContext:
         allowPrivilegeEscalation: false
         capabilities:
           drop: [ALL]
     volumes:
     - name: my-volume
       secret:
         secretName: my-cert
         items:
         - key: username
           path: my-group/my-username
           mode: 511

   これが利用可能な場合、Pod が実行されます。この証明書は内部サービス DNS 名、<service.name>.<service.namespace>.svc に適しています。

   証明書/キーのペアは有効期限に近づくと自動的に置換されます。シークレットの service.beta.openshift.io/expiry アノテーションで RFC3339 形式の有効期限の日付を確認します。

   注記

   ほとんどの場合、サービス DNS 名 <service.name>.<service.namespace>.svc は外部にルーティング可能ではありません。<service.name>.<service.namespace>.svc の主な使用方法として、クラスターまたはサービス間の通信用として、re-encrypt ルートで使用されます。