Azure Kubernetes Service (AKS) の Azure Key Vault Secrets Store CSI Driver に Azure ID プロバイダーを接続する

1. Azure portal で、ご使用の AKS クラスター リソースに移動します。

2. サービス メニューの [設定] で、[ Service Connector>Create を選択します。

3. [接続の作成] ページで、[基本] タブ内の以下の設定を構成します。

   • [Kubernetes 名前空間]: [既定] を選択します。
   • サービスの種類: [Key Vault] を選択してチェックボックスを選択して Azure Key Vault CSI プロバイダーを有効にします。
   • 接続名: 接続の名前を入力します。
   • サブスクリプション: キー コンテナーを含むサブスクリプションを選択します。
   • キー コンテナー: 作成したキー コンテナーを選択します。
   • クライアントの種類: [None] を選択します。

4. [確認と作成] を選択した後、[作成] を選択して接続を作成します。

• az aks connection create keyvault コマンドを使用してキー コンテナーへの接続を作成します。

  az aks connection create keyvault \
      --connection <connection-name> \
      --resource-group <resource-group-of-cluster> \
      --name <cluster-name> \
      --target-resource-group <resource-group-of-key-vault> \
      --vault <key-vault-name> \
      --enable-csi \
      --client-type none
  

マネージド ID を構成する

1. az aks show コマンドと、アドオンによって作成されたユーザー割り当てマネージド ID を使用して、キー コンテナーにアクセスしてください。 ID の clientIdも取得する必要があります。これは、 SecretProviderClassを作成するときに後の手順で使用します。

   export RESOURCE_GROUP=<resource-group>
   export CLUSTER_NAME=<cluster-name>
   export KEYVAULT_NAME=<key-vault-name>
   
   export IDENTITY_OBJECT_ID=$(az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query addonProfiles.azureKeyvaultSecretsProvider.identity.objectId -o tsv)
   export USER_ASSIGNED_CLIENT_ID=$(az aks show --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --query addonProfiles.azureKeyvaultSecretsProvider.identity.clientId -o tsv)
   

   または、新しいマネージド ID を作成し、仮想マシン (VM) スケール セットまたは可用性セット内の各 VM インスタンスに割り当てることができます。

   export USER_ASSIGNED_IDENTITY_NAME=<identity-name>
   
   az identity create --resource-group $RESOURCE_GROUP --name $USER_ASSIGNED_IDENTITY_NAME
   
   export IDENTITY_RESOURCE_ID=$(az identity show --resource-group $RESOURCE_GROUP --name $USER_ASSIGNED_IDENTITY_NAME --query id -o tsv)
   export IDENTITY_OBJECT_ID=$(az identity show --resource-group $RESOURCE_GROUP --name $USER_ASSIGNED_IDENTITY_NAME --query principalId -o tsv)
   export USER_ASSIGNED_CLIENT_ID=$(az identity show --resource-group $RESOURCE_GROUP --name $USER_ASSIGNED_IDENTITY_NAME --query clientId -o tsv)
   

   VM スケール セット ベースのクラスターの場合は、VM スケール セットに ID を割り当てます。

   az vmss identity assign --resource-group <node-resource-group> --name <agent-pool-vmss> --identities $IDENTITY_RESOURCE_ID
   

   可用性セット ベースのクラスターの場合は、可用性セット内の各 VM インスタンスに ID を割り当てます。

   az vm identity assign --resource-group <node-resource-group> --name <agent-pool-vm> --identities $IDENTITY_RESOURCE_ID
   

2. az role assignment create コマンドを使用して、アイデンティティにキーコンテナーのシークレット、アクセス キー、証明書へのアクセス権を付与するためのロール割り当てを作成します。

   重要

   • --enable-rbac-authorizationでkey vaultを設定し、keyまたはcertの種類を使用している場合は、Key Vault Certificate User ロールを割り当てます。
   • キー コンテナーが --enable-rbac-authorization で設定されていて、secret のタイプを使用している場合は、Key Vault Secrets User 役割を割り当てます。
   • キー コンテナーが --enable-rbac-authorization で設定されていない場合は、az keyvault set-policy コマンドを --key-permissions get、--certificate-permissions get、または --secret-permissions get パラメーターと共に使用して、キー、証明書、またはシークレットへのアクセスを許可するキー コンテナー ポリシーを作成できます。 次に例を示します。

   az keyvault set-policy --name $KEYVAULT_NAME --key-permissions get --secret-permissions get --object-id $IDENTITY_OBJECT_ID
   

   export KEYVAULT_SCOPE=$(az keyvault show --name $KEYVAULT_NAME --query id -o tsv)
   
   # Example commands for a key vault with Azure RBAC enabled using `key` and `secret` types
   az role assignment create --role "Key Vault Certificate User" --assignee-object-id $IDENTITY_OBJECT_ID --assignee-principal-type ServicePrincipal --scope $KEYVAULT_SCOPE
   az role assignment create --role "Key Vault Secrets User" --assignee-object-id $IDENTITY_OBJECT_ID --assignee-principal-type ServicePrincipal --scope $KEYVAULT_SCOPE
   

3. ID クライアント ID を使用して SecretProviderClass を作成します。 キー コンテナーから取得するオブジェクトには、必ず独自の値を使用してください。

   次のパラメーターは、ユーザー割り当てマネージド ID アクセスを構成します。

   • usePodIdentity: マネージド ID を使用する場合は "false" に設定されます。
   • useVMManagedIdentity: マネージド ID モードを有効にするには、 "true" に設定します。
   • userAssignedIdentityID: ユーザー割り当てマネージド ID のクライアント ID に設定します。
   • tenantId: キー コンテナーを含むテナント ID に設定します。

   export KEYVAULT_TENANT_ID=$(az keyvault show --name $KEYVAULT_NAME --query properties.tenantId -o tsv)
   
   cat <<EOF > secretproviderclass.yaml
   # This is a SecretProviderClass example using user-assigned identity to access your key vault
   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: azure-kvname-user-msi
   spec:
     provider: azure
     parameters:
       usePodIdentity: "false"
       useVMManagedIdentity: "true"          # Set to true for using managed identity
       userAssignedIdentityID: ${USER_ASSIGNED_CLIENT_ID} # Set the client ID of the user-assigned managed identity to use
       keyvaultName: ${KEYVAULT_NAME}         # Set to the name of your key vault
       cloudName: ""                         # [OPTIONAL for Azure] if not provided, the Azure environment defaults to AzurePublicCloud
       objects:  |
         array:
           - |
             objectName: secret1
             objectType: secret              # object types: secret, key, or cert
             objectVersion: ""               # [OPTIONAL] object versions, default to latest if empty
           - |
             objectName: key1
             objectType: key
             objectVersion: ""
       tenantId: ${KEYVAULT_TENANT_ID}       # The tenant ID of the key vault
   EOF
   

   注記

   objectAlias の代わりに objectName を使う場合は、必ず YAML スクリプトを更新してください。

   注記

   SecretProviderClass が正しく機能するには、objects セクションで参照する前に、必ず Azure Key Vault にシークレット、キー、または証明書を設定します。

4. SecretProviderClass コマンドを使用して kubectl apply をクラスターに適用します。

   kubectl apply -f secretproviderclass.yaml
   

5. 次のコマンドを使用して、 pod.yaml という名前のポッド マニフェストを作成します。

   cat <<EOF > pod.yaml
   # This is a sample pod definition for using SecretProviderClass and the user-assigned identity to access your key vault
   kind: Pod
   apiVersion: v1
   metadata:
     name: busybox-secrets-store-inline-user-msi
   spec:
     containers:
       - name: busybox
         image: registry.k8s.io/e2e-test-images/busybox:1.29-4
         command:
           - "/bin/sleep"
           - "10000"
         volumeMounts:
         - name: secrets-store01-inline
           mountPath: "/mnt/secrets-store"
           readOnly: true
     volumes:
       - name: secrets-store01-inline
         csi:
           driver: secrets-store.csi.k8s.io
           readOnly: true
           volumeAttributes:
             secretProviderClass: "azure-kvname-user-msi"
   EOF
   

6. kubectl apply コマンドを使用してポッドをクラスターに適用します。

   kubectl apply -f pod.yaml
   

マネージド ID を使用してKey Vaultシークレットを検証する

ポッドの起動後、 /mnt/secrets-store にマウントされたコンテンツを使用できます。 次のコマンドを使って、シークレットを検証し、テスト シークレットを表示します。

1. 次のコマンドを使用して、シークレット ストアに保持されているシークレットを表示します。

   kubectl exec busybox-secrets-store-inline-user-msi -- ls /mnt/secrets-store/
   

2. 次のコマンドを使用して、ストアにシークレットを表示します。 このコマンド例は、テスト シークレット secret1 を示しています。

   kubectl exec busybox-secrets-store-inline-user-msi -- cat /mnt/secrets-store/secret1
   

前提条件

• Terraform 1.6 以降。
• Azure CLI、インストール、サインインします。 最新バージョンをインストールします。
• kubectl は、az aks get-credentials コマンドを使用してクラスターに接続されています。

マネージド ID を構成する

検証済みの Terraform サンプルでは、リソース グループ、Secrets Store CSI Driver 用の Azure Key Vault プロバイダーが有効になっている AKS クラスター、Azure Key Vault、ExampleSecret、およびアドオンのマネージド ID に対してキー コンテナー上の Key Vault Secrets User ロールを付与するロール割り当てが作成されます。 Azure Kubernetes Service (AKS) クラスター内のシークレット ストア CSI ドライバーのAzure Key Vault プロバイダーを使用するからサンプルを既にデプロイしている場合は、その作業ディレクトリを再利用し、変数の設定に進みます。

1. main.tf ファイルを作成し、次のテスト済みのサンプル構成をコピーします。 Azure Terraform GitHub リポジトリでは、サンプルが保持されます。

   terraform {
     required_version = ">= 1.5.0"
   
     required_providers {
       azurerm = {
         source  = "hashicorp/azurerm"
         version = "~> 3.116"
       }
       random = {
         source  = "hashicorp/random"
         version = "~> 3.6"
       }
     }
   }
   
   provider "azurerm" {
     features {
       resource_group {
         prevent_deletion_if_contains_resources = false
       }
     }
   }
   
   data "azurerm_client_config" "current" {}
   
   resource "random_string" "suffix" {
     length  = 6
     upper   = false
     special = false
   }
   
   locals {
     location            = "eastus"
     resource_group_name = "rg-aks-kv-csi-demo-${random_string.suffix.result}"
     aks_name            = "aks-kv-csi-demo"
     key_vault_name      = "kvcsidemo${random_string.suffix.result}"
     secret_name         = "ExampleSecret"
   }
   
   resource "azurerm_resource_group" "this" {
     name     = local.resource_group_name
     location = local.location
   }
   
   resource "azurerm_log_analytics_workspace" "this" {
     name                = "law-aks-kv-csi-demo"
     location            = azurerm_resource_group.this.location
     resource_group_name = azurerm_resource_group.this.name
     sku                 = "PerGB2018"
     retention_in_days   = 30
   }
   
   resource "azurerm_kubernetes_cluster" "this" {
     name                      = local.aks_name
     location                  = azurerm_resource_group.this.location
     resource_group_name       = azurerm_resource_group.this.name
     dns_prefix                = "akskvcsidemo"
     kubernetes_version        = null
     oidc_issuer_enabled       = true
     workload_identity_enabled = true
   
     default_node_pool {
       name       = "system"
       node_count = 1
       vm_size    = "Standard_D2s_v3"
   
       upgrade_settings {
         drain_timeout_in_minutes      = 0
         max_surge                     = "10%"
         node_soak_duration_in_minutes = 0
       }
     }
   
     identity {
       type = "SystemAssigned"
     }
   
     key_vault_secrets_provider {
       secret_rotation_enabled = false
     }
   
     oms_agent {
       log_analytics_workspace_id = azurerm_log_analytics_workspace.this.id
     }
   
     network_profile {
       network_plugin    = "azure"
       load_balancer_sku = "standard"
     }
   
     tags = {
       scenario = "aks-keyvault-csi"
     }
   }
   
   resource "azurerm_key_vault" "this" {
     name                          = local.key_vault_name
     location                      = azurerm_resource_group.this.location
     resource_group_name           = azurerm_resource_group.this.name
     tenant_id                     = data.azurerm_client_config.current.tenant_id
     sku_name                      = "standard"
     purge_protection_enabled      = false
     soft_delete_retention_days    = 7
     enable_rbac_authorization     = true
     public_network_access_enabled = true
   }
   
   resource "azurerm_role_assignment" "current_user_kv_admin" {
     scope                = azurerm_key_vault.this.id
     role_definition_name = "Key Vault Administrator"
     principal_id         = data.azurerm_client_config.current.object_id
   }
   
   resource "azurerm_key_vault_secret" "example" {
     name         = local.secret_name
     value        = "HelloFromKeyVault"
     key_vault_id = azurerm_key_vault.this.id
   
     depends_on = [
       azurerm_role_assignment.current_user_kv_admin
     ]
   }
   
   resource "azurerm_role_assignment" "aks_csi_secrets_user" {
     scope                = azurerm_key_vault.this.id
     role_definition_name = "Key Vault Secrets User"
     # This is the managed identity automatically created by the AKS Key Vault CSI addon.
     principal_id = azurerm_kubernetes_cluster.this.key_vault_secrets_provider[0].secret_identity[0].object_id
   }
   
   output "resource_group_name" {
     value = azurerm_resource_group.this.name
   }
   
   output "aks_cluster_name" {
     value = azurerm_kubernetes_cluster.this.name
   }
   
   output "key_vault_name" {
     value = azurerm_key_vault.this.name
   }
   
   output "key_vault_secret_name" {
     value = azurerm_key_vault_secret.example.name
   }
   
   output "tenant_id" {
     value = data.azurerm_client_config.current.tenant_id
   }
   
   output "aks_csi_client_id" {
     value = azurerm_kubernetes_cluster.this.key_vault_secrets_provider[0].secret_identity[0].client_id
   }
   
   output "aks_csi_object_id" {
     value = azurerm_kubernetes_cluster.this.key_vault_secrets_provider[0].secret_identity[0].object_id
   }
   

2. 構成を初期化、検証、適用します。

   terraform init
   terraform fmt
   terraform validate
   terraform plan
   terraform apply
   

3. Terraform 出力の残りのコマンドで使用される変数を設定します。

   export RESOURCE_GROUP=$(terraform output -raw resource_group_name)
   export CLUSTER_NAME=$(terraform output -raw aks_cluster_name)
   export KEYVAULT_NAME=$(terraform output -raw key_vault_name)
   export KEYVAULT_SECRET_NAME=$(terraform output -raw key_vault_secret_name)
   export USER_ASSIGNED_CLIENT_ID=$(terraform output -raw aks_csi_client_id)
   export IDENTITY_OBJECT_ID=$(terraform output -raw aks_csi_object_id)
   export KEYVAULT_TENANT_ID=$(terraform output -raw tenant_id)
   

   注記

   このサンプルでは、Key Vault で Key Vault Secrets User に $IDENTITY_OBJECT_ID ロールを付与するロール割り当てが既に作成されています。 この ID とキー コンテナーに対しては、Azure CLI タブの az role assignment create 手順を繰り返さないでください。サンプルで既に実行済みです。

4. Terraform 出力の ID クライアント ID とシークレット名を使用して、 SecretProviderClass を作成します。

   次のパラメーターは、ユーザー割り当てマネージド ID アクセスを構成します。

   • usePodIdentity: マネージド ID を使用する場合は "false" に設定されます。
   • useVMManagedIdentity: マネージド ID モードを有効にするには、 "true" に設定します。
   • userAssignedIdentityID: ユーザー割り当てマネージド ID のクライアント ID に設定します。
   • tenantId: キー コンテナーを含むテナント ID に設定します。

   cat <<EOF > secretproviderclass.yaml
   # This is a SecretProviderClass example using the add-on's managed identity, created by the Terraform sample, to access your key vault
   apiVersion: secrets-store.csi.x-k8s.io/v1
   kind: SecretProviderClass
   metadata:
     name: azure-kvname-user-msi
   spec:
     provider: azure
     parameters:
       usePodIdentity: "false"
       useVMManagedIdentity: "true"          # Set to true for using managed identity
       userAssignedIdentityID: ${USER_ASSIGNED_CLIENT_ID} # Set to the client ID of the user-assigned managed identity to use
       keyvaultName: ${KEYVAULT_NAME}         # Set to the name of your key vault
       cloudName: ""                         # [OPTIONAL for Azure] if not provided, the Azure environment defaults to AzurePublicCloud
       objects:  |
         array:
           - |
             objectName: ${KEYVAULT_SECRET_NAME}
             objectType: secret              # object types: secret, key, or cert
             objectVersion: ""               # [OPTIONAL] object versions, default to latest if empty
       tenantId: ${KEYVAULT_TENANT_ID}       # The tenant ID of the key vault
   EOF
   

   注記

   このサンプルでは、 secret 型オブジェクトのみが作成されます。 keyまたはcertの種類のカバレッジについては、「証明書とキーの取得」を参照してください。

5. kubectl apply コマンドを使用して、クラスターにSecretProviderClassを適用します。

   kubectl apply -f secretproviderclass.yaml
   

6. 次のコマンドを使用して、 pod.yaml という名前のポッド マニフェストを作成します。

   cat <<EOF > pod.yaml
   # This is a sample pod definition for using SecretProviderClass and the user-assigned identity to access your key vault
   kind: Pod
   apiVersion: v1
   metadata:
     name: busybox-secrets-store-inline-user-msi
   spec:
     containers:
       - name: busybox
         image: registry.k8s.io/e2e-test-images/busybox:1.29-4
         command:
           - "/bin/sleep"
           - "10000"
         volumeMounts:
         - name: secrets-store01-inline
           mountPath: "/mnt/secrets-store"
           readOnly: true
     volumes:
       - name: secrets-store01-inline
         csi:
           driver: secrets-store.csi.k8s.io
           readOnly: true
           volumeAttributes:
             secretProviderClass: "azure-kvname-user-msi"
   EOF
   

7. kubectl apply コマンドを使用して、ポッドをクラスターに適用します。

   kubectl apply -f pod.yaml
   

マネージド ID を使用してKey Vaultシークレットを検証する

ポッドの起動後、 /mnt/secrets-store にマウントされたコンテンツを使用できます。 次のコマンドを使用して、シークレットを検証します。

1. 次のコマンドを使用して、シークレット ストアに保持されているシークレットを表示します。

   kubectl exec busybox-secrets-store-inline-user-msi -- ls /mnt/secrets-store/
   

2. 次のコマンドを使用して、ストアにシークレットを表示します。 $KEYVAULT_SECRET_NAME はサンプルの ExampleSecret として解決されます。

   kubectl exec busybox-secrets-store-inline-user-msi -- cat /mnt/secrets-store/$KEYVAULT_SECRET_NAME
   

Terraform リソースをクリーンアップする

この記事を完了するためだけにサンプルをデプロイし、他のリソースが必要ない場合は、構成の適用に使用したのと同じ作業ディレクトリからリソースを削除します。

KUBE_CONTEXT=$(kubectl config current-context)
kubectl config delete-context $KUBE_CONTEXT
terraform destroy