6.20. Secrets Store Container Storage Interface Driver Operator

シークレットをセキュアに保存および管理するには、プロバイダープラグインを使用して、Secrets Store CSI Driver Operator を設定し、Azure Key Vault などの外部シークレット管理システムからシークレットをマウントします。アプリケーションはシークレットを使用できますが、Pod の終了後にシークレットがシステム上に残ることはありません。

シークレットオブジェクトは Base64 エンコーディングで保存されます。etcd は、これらのシークレットの保存時に暗号化しますが、シークレットの取得時に、シークレットが復号化されてユーザーに表示されます。クラスターでロールベースのアクセス制御が適切に設定されていない場合、API または etcd へのアクセス権を持つユーザーは誰でもシークレットを取得または変更できます。さらに、namespace で Pod を作成する権限を持つ人は誰でも、そのアクセス権を使用して、その namespace 内の任意のシークレットを読み取ることができます。

Secrets Store CSI Driver Operator (secrets-store.csi.k8s.io) を使用すると、OpenShift Container Platform で、エンタープライズグレードの外部シークレットストアに保存されている複数のシークレット、キー、証明書をボリュームとして Pod にマウントできます。Secrets Store CSI Driver Operator は、gRPC を使用してプロバイダーと通信し、指定された外部シークレットストアからマウントコンテンツを取得します。ボリュームがアタッチされると、その中のデータがコンテナーのファイルシステムにマウントされます。シークレットストアボリュームはインラインでマウントされます。

CSI インラインボリュームの詳細は、「CSI インラインのエフェメラルボリューム」を参照してください。

CSI ドライバーを使用する場合、永続ストレージおよび CSI ボリュームの設定を理解しておくことが推奨されます。詳細は、「永続ストレージについて」および「CSI ボリュームの設定」を参照してください。