Menggunakan Secret untuk menyimpan data sensitif

Anda dapat menggunakan Secret untuk menyimpan informasi konfigurasi sensitif, seperti sandi dan kunci akses, di cluster GKE Anda. Halaman ini menjelaskan cara Config Connector menggunakan nilai Secret saat mengonfigurasi Google Cloud resource Anda.

Ringkasan

Bagian ini memberikan ringkasan tentang penggunaan Secrets dengan Config Connector.

Menggunakan Secret saat membuat resource

Anda dapat menggunakan data di dalam Secret saat membuat resource. Di Meneruskan Secret ke resource, Anda membuat Secret yang berisi sandi, lalu mereferensikan Secret untuk pengguna di database Cloud SQL.

Memperbarui Secret

Saat Anda menerapkan update ke Secret, Config Connector akan mengupdate resource saat resource tersebut merekonsiliasi status yang diinginkan berikutnya. Misalnya, jika Anda memperbarui Secret yang dirujuk sebagai sandi untuk SQLUser, Config Connector akan memperbarui sandi pengguna.

Menghapus Secret

Jika Anda menghapus Secret yang sedang digunakan oleh resource, Config Connector tidak akan menghapus referensi resource ke Secret. Misalnya, jika Anda membuat SQLUser dengan sandi yang mereferensikan Secret, lalu menghapus Secret tersebut, sandi akan tetap ada di SQLUser.

Pemecahan masalah

Jika Anda membuat resource yang mereferensikan Secret yang tidak ada, Config Connector akan membuat DependencyNotFound atau DependencyInvalid Event.

Secret dan namespace Kubernetes

Karena Kubernetes tidak mengizinkan akses ke secret di seluruh Namespace, jika Anda menggunakan nilai secret yang sama untuk resource dari Namespace yang berbeda, Anda harus menerapkan secret di setiap Namespace.

Meneruskan Secret ke resource

Di bagian ini, Anda akan membuat server Cloud SQL dan menetapkan sandi pengguna default dengan Secret.

Sebelum memulai

Untuk menyelesaikan langkah-langkah ini, Anda memerlukan hal berikut:

• Config Connector diinstal di cluster Kubernetes

• Cloud SQL Admin API diaktifkan di project Anda. Untuk memastikan bahwa API diaktifkan, jalankan perintah gcloud berikut:

  gcloud services list --filter=sqladmin.googleapis.com
  

  Jika perintah mencetak Listed 0 items., Anda perlu mengaktifkan API. Anda dapat mengaktifkan API dengan Config Connector dan Resource Manager API, atau perintah gcloud.

gcloud services enable sqladmin.googleapis.com

Membuat Cloud SQL Server

1. Salin YAML di bawah ke dalam file bernama sql-server-example.yaml. Perintah ini membuat server Cloud SQL bernama sqlserver-1 dan pengguna bernama sqluser-sample. Sandi untuk sqluser-sample ditetapkan oleh referensi resource ke secret bernama secret-1.

   apiVersion: sql.cnrm.cloud.google.com/v1beta1
   kind: SQLInstance
   metadata:
     labels:
       label-one: "sql-server-example"
     name: sqlserver-1
   spec:
     region: us-central1
     databaseVersion: MYSQL_5_7
     settings:
       tier: db-g1-small
   ---
   apiVersion: sql.cnrm.cloud.google.com/v1beta1
   kind: SQLUser
   metadata:
     name: sqluser-sample
   spec:
     instanceRef:
       name: sqlserver-1
     host: "%"
     password:
       valueFrom:
         secretKeyRef:
           name: secret-1  # Name of the Secret object to extract a value from
           key: password   # Key that identifies the value to be extracted
   

2. Salin YAML di bawah ke dalam file bernama example-secret.yaml. Edit nilai untuk password sebelum menyimpan. Deklarasi ini menyatakan secret-1, yang direferensikan di bagian sebelumnya.

   apiVersion: v1
   kind: Secret
   metadata:
     name:  secret-1
   stringData:
     password: PASSWORD
   

3. Terapkan konfigurasi ke cluster Anda.

   kubectl apply -n CC_NAMESPACE -f example-secret.yaml
   kubectl apply -n CC_NAMESPACE -f sql-server-example.yaml
   

   Ganti CC_NAMESPACE dengan namespace yang dikelola Config Connector sumber dayanya.

   Config Connector membuat instance Cloud SQL dan pengguna dengan sandi yang Anda tentukan. Proses ini dapat memerlukan waktu beberapa menit.

4. Tunggu beberapa menit, lalu pastikan instance tersedia:

   gcloud sql instances list --filter="name=sqlserver-1"

   Output harus menyertakan server dengan STATUS RUNNABLE.

5. Pastikan Anda dapat terhubung ke instance SQL:

   gcloud sql connect sqlserver-1 --user=sqluser-sample

   Anda akan diminta memasukkan sandi Anda.

Pembersihan

Jika tidak ingin menyimpan instance, hapus instance Cloud SQL, pengguna, dan secret dengan kubectl.

    kubectl delete -n CC_NAMESPACE -f sql-server-example.yaml
    kubectl delete -n CC_NAMESPACE -f example-secret.yaml

Ganti CC_NAMESPACE dengan namespace yang dikelola Config Connector sumber dayanya.

Langkah berikutnya

• Pelajari cara menentukan Referensi resource di antara resource Config Connector.

• Pelajari Kubernetes Secrets secara mendalam.