יצירה אוטומטית של סודות בהלם

קבוצה Kubernetes aaS מ-Mail.ru תרגם הערה קצרה כיצד ליצור אוטומטית סודות Helm בעת עדכון. להלן טקסט של כותב המאמר - מנהל טכני של חברת Intoware המפתחת פתרונות SaaS.

מיכלים מגניבים. בהתחלה הייתי נגד מיכל (אני נבוך להודות בזה), אבל עכשיו אני תומך לחלוטין בשימוש בטכנולוגיה הזו. אם אתה קורא את זה, מקווה שניוטת בהצלחה בים של Docker, הבנת את היתרונות של Kubernetes, והפכת את חייך להרבה יותר קלים עם Helm.

עם זאת, ברור שחלק מהדברים קשים יותר ממה שהם צריכים להיות.

כיצד ליצור סודות באופן אוטומטי בעת עדכון?

סוד Kubernetes הוא משאב המכיל צמדי מפתח/ערך שבהם ברצונך להשתמש בקוד שלך. אלה יכולים להיות מחרוזות חיבור למסד נתונים, סיסמאות דואר אלקטרוני וכן הלאה. על ידי שימוש בסודות, אתה יוצר הפרדה ברורה בין קוד והגדרות, המאפשר לך להתאים אישית בקלות פריסות שונות מבלי לשנות את בסיס הקוד.

מצב שכיח הוא כאשר שני מודולים חייבים לתקשר באמצעות מפתח משותף. אף אחד מחוץ לאשכול צריך לדעת את המפתח הזה, מכיוון שהוא מיועד לתקשורת אחד לאחד בתוך האשכול.

עושה סודות

בדרך כלל, כדי ליצור סוד בהלם אתה צריך:

• תאר את הסוד בקובץ הערכים;
• להגדיר אותו מחדש במהלך הפריסה;
• עיין בו בתוך הפריסה/תרמיל;
• ... רווח!

בדרך כלל זה נראה בערך כך:

apiVersion: v1
kind: Secret
metadata:
  name: my-super-awesome-api-key
type: Opaque
stringData:
  apiKey: {{ .Values.MyApiKeySecret | quote }}

סוד Kubernetes פשוט באמצעות ערכים מ-values.yml

אבל נניח שאתה לא רוצה לציין את הסוד שלך בקובץ הערכים.

ישנן אפשרויות רבות כאשר הפריסה דורשת מפתח משותף, אשר חייב להיווצר במהלך ההתקנה.

בדוגמה של תקשורת מודול למודול לעיל, לא רצוי לשתף את הסוד מחוץ לפריסה. לכן, רצוי מאוד שלהלם יהיו מנגנונים ליצור סוד באופן אוטומטי מבלי לציין אותו ישירות.

ווים

Hooks מאפשרים לך להריץ קוד במקומות ספציפיים במהלך תהליך ההתקנה. ייתכן שיש עבודת תצורה שצריך להפעיל לאחר ההתקנה הראשונה, או אולי צריך לבצע ניקוי לפני ביצוע עדכון כלשהו.

כדי לפתור את הבעיה שלנו של הוספת מפתח שנוצר במהלך ההתקנה, ווי טרום התקנה הם אידיאליים. אבל יש מלכוד: אתה לא יכול ליצור את הסוד באופן אוטומטי פעם אחת בעדכון. הוקס יעבדו על כל עדכון.

אם יצרת את הסוד שלך וההתקנה הראשונה שלך עדיין לא התרחשה אז תפסיק לקרוא, וו ההתקנה מראש יעבוד לך מצוין.

אבל אם הסוד הוא חלק מעדכון (אולי תכונה חדשה שלא הייתה שם במהלך ההתקנה), אז חבל שאי אפשר ליצור וו טרום התקנה שעובד רק פעם אחת.

פונקציות

פונקציות ההגה מאפשרות לך להוסיף רכיבי סקריפטים שונים לתסריטי הפריסה שלך.

apiVersion: v1
kind: Secret
metadata:
  name: my-super-awesome-api-key
type: Opaque
stringData:
  apiKey: {{ uuidv4 | quote }} #Generate a new UUID and quote it

דוגמה זו מראה שהערך של סוד apiKey יהיה ה-UUID החדש שנוצר במהלך ההתקנה.

Helm כולל ספריית תכונות נרחבת באמת הממנפת את התכונות המדהימות של תבנית GO ואת ספריית התכונות של Sprig כדי ליצור פריסות מותאמות אישית.

פונקציית חיפוש

נוסף ב- Helm 3.1 פונקציית חיפוש, המאפשר לך לבקש פריסה קיימת ו:

• לבדוק את קיומם של משאבים;
• להחזיר את הערך של משאב קיים לשימוש מאוחר יותר.

באמצעות שתי היכולות הללו, נוכל ליצור סוד חד פעמי שנוצר באופן דינמי!

# 1. Запросить существование секрета и вернуть в переменной $secret
{{- $secret := (lookup "v1" "Secret" .Release.Namespace "some-awesome-secret" -}}
apiVersion: v1
kind: Secret
metadata:
  name: some-awesome-secret
type: Opaque

# 2. Если секрет существует, взять его значение как apiKey (секрет использует кодирование Base64, так что используйте ключ "data")
{{ if $secret -}}
data:
  apiKey: {{ $secret.data.apiKey }}

# 3. Если секрет не существует — создать его (в этот раз используйте "stringData", так как будет обычное значение)!
{{ else -}}
stringData:
  apiKey: {{ uuidv4 | quote }}
{{ end }}

בכל פעם שעדכון חדש מוחל על השרת, Helm יפיק ערך סודי חדש (אם אין עדיין סוד) או יעשה שימוש חוזר בערך הקיים.

מזל טוב!

מה עוד לקרוא בנושא:

1. שלוש רמות של קנה מידה אוטומטי ב-Kubernetes וכיצד להשתמש בהן ביעילות.
2. Kubernetes ברוח הפיראטיות עם תבנית ליישום.
3. הערוץ שלנו Around Kubernetes בטלגרם.

מקור: www.habr.com