ການສ້າງອັດຕະໂນມັດຂອງຄວາມລັບໃນ Helm

ທີມງານ Kubernetes aaS ຈາກ Mail.ru ແປເປັນບັນທຶກສັ້ນ ກ່ຽວກັບວິທີການສ້າງຄວາມລັບ Helm ໂດຍອັດຕະໂນມັດເມື່ອອັບເດດ. ຕໍ່ໄປນີ້ແມ່ນຂໍ້ຄວາມຈາກຜູ້ຂຽນຂອງບົດຄວາມ - ຜູ້ອໍານວຍການດ້ານວິຊາການຂອງ Intoware, ບໍລິສັດທີ່ພັດທະນາໂຊລູຊັ່ນ SaaS.

ບັນຈຸແມ່ນເຢັນ. ໃນຕອນທໍາອິດຂ້າພະເຈົ້າໄດ້ຕ້ານການບັນຈຸ (ຂ້າພະເຈົ້າອາຍທີ່ຈະຍອມຮັບມັນ), ແຕ່ໃນປັດຈຸບັນຂ້າພະເຈົ້າສະຫນັບສະຫນູນຢ່າງເຕັມສ່ວນການນໍາໃຊ້ເຕັກໂນໂລຊີນີ້. ຖ້າເຈົ້າກຳລັງອ່ານເລື່ອງນີ້, ເຈົ້າຫວັງວ່າເຈົ້າໄດ້ປະສົບຜົນສຳເລັດໃນການເດີນທະເລຂອງ Docker, ຮັບຮູ້ຜົນປະໂຫຍດຂອງ Kubernetes, ແລະເຮັດໃຫ້ຊີວິດຂອງເຈົ້າງ່າຍຂຶ້ນຫຼາຍດ້ວຍ Helm.

ຢ່າງໃດກໍຕາມ, ບາງສິ່ງບາງຢ່າງແມ່ນຈະແຈ້ງກວ່າທີ່ເຂົາເຈົ້າຕ້ອງການ.

ວິທີການສ້າງຄວາມລັບໂດຍອັດຕະໂນມັດໃນເວລາທີ່ການປັບປຸງ?

ຄວາມລັບ Kubernetes ແມ່ນຊັບພະຍາກອນທີ່ປະກອບດ້ວຍຄູ່ຄີ / ຄ່າທີ່ທ່ານຕ້ອງການໃຊ້ໃນລະຫັດຂອງທ່ານ. ເຫຼົ່ານີ້ອາດຈະເປັນສາຍເຊື່ອມຕໍ່ຖານຂໍ້ມູນ, ລະຫັດຜ່ານອີເມວ, ແລະອື່ນໆ. ໂດຍການນໍາໃຊ້ຄວາມລັບ, ທ່ານສ້າງການແຍກທີ່ຊັດເຈນລະຫວ່າງລະຫັດແລະການຕັ້ງຄ່າ, ຊ່ວຍໃຫ້ທ່ານສາມາດປັບແຕ່ງການປັບຕົວທີ່ແຕກຕ່າງກັນໄດ້ຢ່າງງ່າຍດາຍໂດຍບໍ່ມີການປ່ຽນ codebase.

ສະຖານະການທົ່ວໄປແມ່ນເວລາທີ່ສອງໂມດູນຕ້ອງຕິດຕໍ່ສື່ສານໂດຍໃຊ້ປຸ່ມທົ່ວໄປ. ບໍ່ມີໃຜຢູ່ນອກກຸ່ມຄວນຮູ້ກະແຈນີ້, ເພາະວ່າມັນມີຈຸດປະສົງເພື່ອການສື່ສານແບບໜຶ່ງຕໍ່ໜຶ່ງພາຍໃນກຸ່ມ.

ເຮັດໃຫ້ຄວາມລັບ

ໂດຍປົກກະຕິ, ເພື່ອສ້າງຄວາມລັບໃນ Helm, ທ່ານຈໍາເປັນຕ້ອງ:

• ອະ​ທິ​ບາຍ​ຄວາມ​ລັບ​ໃນ​ໄຟລ​໌​ຄຸນ​ຄ່າ​;
• redefine ມັນໃນລະຫວ່າງການປະຕິບັດ;
• ອ້າງເຖິງມັນພາຍໃນ deployment/pod;
• ...ກຳໄລ!

ໂດຍປົກກະຕິມັນເບິ່ງຄືວ່າ:

apiVersion: v1
kind: Secret
metadata:
  name: my-super-awesome-api-key
type: Opaque
stringData:
  apiKey: {{ .Values.MyApiKeySecret | quote }}

ຄວາມລັບ Kubernetes ງ່າຍໆໂດຍໃຊ້ຄ່າຈາກ values.yml

ແຕ່ໃຫ້ເວົ້າວ່າທ່ານບໍ່ຕ້ອງການທີ່ຈະລະບຸຄວາມລັບຂອງທ່ານໃນໄຟລ໌ຄ່າ.

ມີຫຼາຍທາງເລືອກໃນເວລາທີ່ການຕິດຕັ້ງຕ້ອງການກະແຈທີ່ໃຊ້ຮ່ວມກັນ, ເຊິ່ງຈະຕ້ອງຖືກສ້າງໃນລະຫວ່າງການຕິດຕັ້ງ.

ໃນຕົວຢ່າງການສື່ສານແບບໂມດູນຕໍ່ໂມດູນຂ້າງເທິງ, ມັນບໍ່ສົມຄວນທີ່ຈະແບ່ງປັນຄວາມລັບພາຍນອກຂອງການຕິດຕັ້ງ. ດັ່ງນັ້ນ, ມັນເປັນຄວາມປາຖະຫນາສູງທີ່ Helm ມີກົນໄກທີ່ຈະສ້າງຄວາມລັບໂດຍອັດຕະໂນມັດໂດຍບໍ່ຈໍາເປັນຕ້ອງລະບຸມັນໂດຍກົງ.

Hooks

Hooks ຊ່ວຍໃຫ້ທ່ານສາມາດແລ່ນລະຫັດຢູ່ໃນສະຖານທີ່ສະເພາະໃນລະຫວ່າງຂະບວນການຕິດຕັ້ງ. ອາດຈະມີວຽກການຕັ້ງຄ່າທີ່ຕ້ອງດໍາເນີນການຫຼັງຈາກການຕິດຕັ້ງຄັ້ງທໍາອິດ, ຫຼືບາງທີອາດຕ້ອງເຮັດຄວາມສະອາດກ່ອນທີ່ຈະດໍາເນີນການປັບປຸງໃດໆ.

ເພື່ອແກ້ໄຂບັນຫາຂອງພວກເຮົາໃນການເພີ່ມກະແຈທີ່ສ້າງຂຶ້ນໃນລະຫວ່າງການຕິດຕັ້ງ, hooks ການຕິດຕັ້ງກ່ອນແມ່ນເຫມາະສົມ. ແຕ່ມີການຈັບໄດ້: ທ່ານບໍ່ສາມາດສ້າງຄວາມລັບໂດຍອັດຕະໂນມັດເມື່ອມີການອັບເດດ. Hooks ຈະເຮັດວຽກຢູ່ໃນທຸກການປັບປຸງ.

ຖ້າທ່ານໄດ້ສ້າງຄວາມລັບຂອງທ່ານແລະການຕິດຕັ້ງທໍາອິດຂອງທ່ານຍັງບໍ່ທັນເກີດຂຶ້ນເທື່ອຫຼັງຈາກນັ້ນຢຸດການອ່ານ, ການຕິດຕັ້ງ hook ລ່ວງຫນ້າຈະເຮັດວຽກດີສໍາລັບທ່ານ.

ແຕ່ຖ້າຄວາມລັບເປັນສ່ວນຫນຶ່ງຂອງການປັບປຸງ (ບາງທີຄຸນສົມບັດໃຫມ່ທີ່ບໍ່ມີຢູ່ໃນລະຫວ່າງການຕິດຕັ້ງ), ມັນເປັນເລື່ອງທີ່ຫນ້າອັບອາຍທີ່ທ່ານບໍ່ສາມາດສ້າງ hook ການຕິດຕັ້ງກ່ອນທີ່ເຮັດວຽກພຽງແຕ່ຄັ້ງດຽວ.

ຟັງຊັນ

ຟັງຊັນ Helm ຊ່ວຍໃຫ້ທ່ານສາມາດເພີ່ມອົງປະກອບ scripting ຕ່າງໆໃສ່ສະຄຣິບທີ່ໃຊ້ໄດ້.

apiVersion: v1
kind: Secret
metadata:
  name: my-super-awesome-api-key
type: Opaque
stringData:
  apiKey: {{ uuidv4 | quote }} #Generate a new UUID and quote it

ຕົວຢ່າງນີ້ສະແດງໃຫ້ເຫັນວ່າມູນຄ່າຂອງຄວາມລັບ apiKey ຈະເປັນ UUID ໃຫມ່ທີ່ສ້າງຂຶ້ນໃນລະຫວ່າງການຕິດຕັ້ງ.

Helm ປະກອບມີຫ້ອງສະຫມຸດຄຸນນະສົມບັດທີ່ກວ້າງຂວາງແທ້ໆທີ່ນໍາໃຊ້ຄຸນສົມບັດຂອງແມ່ແບບ GO ທີ່ຫນ້າອັດສະຈັນແລະຫ້ອງສະຫມຸດຄຸນນະສົມບັດຂອງ Sprig ເພື່ອສ້າງການນໍາໃຊ້ທີ່ກໍາຫນົດເອງ.

ຟັງຊັນການຊອກຫາ

ເພີ່ມໃນ Helm 3.1 ຟັງຊັນການຊອກຫາ, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານຮ້ອງຂໍໃຫ້ມີການນໍາໃຊ້ທີ່ມີຢູ່ແລ້ວແລະ:

• ກວດສອບການມີຢູ່ຂອງຊັບພະຍາກອນ;
• ສົ່ງຄືນຄ່າຂອງຊັບພະຍາກອນທີ່ມີຢູ່ແລ້ວເພື່ອໃຊ້ໃນພາຍຫຼັງ.

ໂດຍໃຊ້ຄວາມສາມາດທັງສອງຢ່າງນີ້, ພວກເຮົາສາມາດສ້າງຄວາມລັບແບບເຄື່ອນໄຫວແບບເຄື່ອນໄຫວຄັ້ງດຽວໄດ້!

# 1. Запросить существование секрета и вернуть в переменной $secret
{{- $secret := (lookup "v1" "Secret" .Release.Namespace "some-awesome-secret" -}}
apiVersion: v1
kind: Secret
metadata:
  name: some-awesome-secret
type: Opaque

# 2. Если секрет существует, взять его значение как apiKey (секрет использует кодирование Base64, так что используйте ключ "data")
{{ if $secret -}}
data:
  apiKey: {{ $secret.data.apiKey }}

# 3. Если секрет не существует — создать его (в этот раз используйте "stringData", так как будет обычное значение)!
{{ else -}}
stringData:
  apiKey: {{ uuidv4 | quote }}
{{ end }}

ທຸກຄັ້ງທີ່ອັບເດດໃໝ່ຖືກນຳໃຊ້ກັບເຊີບເວີ, Helm ຈະສ້າງຄ່າລັບໃໝ່ (ຖ້າບໍ່ມີຄວາມລັບເທື່ອ) ຫຼືນຳໃຊ້ຄ່າທີ່ມີຢູ່ແລ້ວຄືນໃໝ່.

ໂຊກດີ!

ມີຫຍັງອີກແດ່ທີ່ຈະອ່ານກ່ຽວກັບຫົວຂໍ້:

1. ສາມລະດັບການຂະຫຍາຍອັດຕະໂນມັດໃນ Kubernetes ແລະວິທີການນໍາໃຊ້ພວກມັນຢ່າງມີປະສິດທິພາບ.
2. Kubernetes ໃນຈິດໃຈຂອງການລະເມີດລິຂະສິດກັບແມ່ແບບການປະຕິບັດ.
3. ຊ່ອງຂອງພວກເຮົາປະມານ Kubernetes ໃນ Telegram.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com