第2章 Record Encryption フィルター用の HashiCorp Vault の準備

Helm デプロイメント設定の例を使用した Vault のデプロイ

1. Streams for Apache Kafka Proxy インストールアーティファクトをダウンロードして展開します。

   プロキシーは、Streams for Apache Kafka ソフトウェアダウンロードページ から入手できます。

   ファイルには、Vault をデプロイするために必要なデプロイメント設定が含まれています。

2. ルートトークンを作成し、メモしておきます。

   cat /dev/urandom | LC_ALL=C tr -dc 'a-zA-Z0-9' | fold -w 32 | head -n 1 > vault.root.token
   export VAULT_TOKEN=$(cat vault.root.token)

3. Helm を使用して Vault をインストールします。

   helm repo add hashicorp https://helm.releases.hashicorp.com
   helm install vault hashicorp/vault \
     --create-namespace --namespace=vault \
     --version <helm_version> \
     --values vault/helm-dev-values.yaml \
     --set server.dev.devRootToken=${VAULT_TOKEN} \
     --wait

   root トークンは Vault インスタンスに使用されます。

4. デプロイメントのステータスを確認します。

   oc get pods -n vault

   デプロイメント名と準備状態が表示されている出力

   NAME                      READY  STATUS   RESTARTS
   vault-0                   1/1    Running  0

   Pod ID は、作成された Pod を識別します。

   デフォルトのデプロイメントでは、単一のプロキシー Pod をインストールします。

   READY は、ready/expected 状態のレプリカ数を表示します。STATUS が Running と表示されれば、デプロイメントは成功です。

5. 新しい Vault インスタンスを指す Vault アドレス (VAULT_ADDR) 環境変数を作成します。

   export VAULT_ADDR=$(oc get route -n vault vault --template='https://{{.spec.host}}')

6. 管理者として Vault にログインし、Vault Transit シークレットエンジンを有効にします。

   vault secrets enable transit

   シークレットエンジンがすでに有効になっている場合は、エラーを無視します。

7. Vault Transit アドレスを指す環境変数を作成します。

   export VAULT_TRANSIT_URL=${VAULT_ADDR}/v1/transit

   アドレスはプロキシーデプロイメント設定で使用されます。

8. Vault ポリシーとトークンを作成します。

1. Vault インスタンスを指す Vault アドレス環境変数 (Enterprise を使用している場合は VAULT_ADDR と VAULT_NAMESPACE) を作成します。

   export VAULT_ADDR=https://<vault server>:8200
   export VAULT_NAMESPACE=<namespaces>

2. 管理者として Vault にログインし、Vault Transit シークレットエンジンを有効にします。

   vault secrets enable transit

   シークレットエンジンがすでに有効になっている場合は、エラーを無視します。

3. Vault Transit アドレスを指す環境変数を作成します。

   export VAULT_TRANSIT_URL=${VAULT_ADDR}/v1/${VAULT_NAMESPACE}/transit

   アドレスはプロキシーデプロイメント設定で使用されます。

4. Vault インスタンスを参照するようにプロキシーデプロイメント設定を更新します。

   sed -i "s/\(vaultTransitEngineUrl:\).*$/\1 ${VAULT_TRANSIT_URL}/" */proxy/proxy-config.yaml

5. Vault ポリシーとトークンを作成します。

1. Vault ポリシーを作成します。

   vault policy write amqstreams_proxy_encryption_filter_policy vault/amqstreams_proxy_encryption_filter_policy.hcl

   Streams for Apache Kafka Proxy に付属する HashiCorp ポリシー定義ファイル (.hcl) を使用して、ポリシーを Vault に書き込みます。ポリシーの名前は amqstreams_proxy_encryption_filter_policy です。

2. Vault トークンを作成します。

   vault token create \
     -display-name "amqstreams-proxy encryption filter" \
     -policy=amqstreams_proxy_encryption_filter_policy \
     -no-default-policy \
     -orphan \
     -field=token > vault.encryption.token

   このコマンドは、ポリシーを指定したトークン、および関連付けられた親トークンまたはデフォルトポリシーのないトークンを作成します。

3. トークンを含むシークレットを作成します。

   oc create secret generic proxy-encryption-vault-token \
     -n proxy \
     --from-file=encryption-vault-token.txt=vault.encryption.token \
     --dry-run=client \
     -o yaml > base/proxy/proxy-encryption-vault-token-secret.yaml

   このコマンドは、Vault トークンをシークレットに保存し、proxy namespace に YAML ファイルとしてシークレットを作成します。

   Record Encryption フィルターを使用して Streams for Apache Kafka をデプロイするときに、proxy-encryption-vault-token-secret.yaml シークレットが OpenShift クラスターに適用されます。