Installer l’ASCP pour Amazon EKS - AWS Secrets Manager
PrérequisInstallation et configuration de l’ASCPVérifier les installationsDépannageRessources supplémentaires

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Installer l’ASCP pour Amazon EKS

Cette section explique comment installer le fournisseur de AWS secrets et de configuration pour Amazon EKS. Avec ASCP, vous pouvez monter des secrets à partir de Secrets Manager et des paramètres AWS Systems Manager sous forme de fichiers dans Amazon EKS Pods.

Prérequis

  • Un cluster Amazon EKS

    • Version 1.24 ou ultérieure pour l’identité du pod

    • Version 1.17 ou ultérieure pour IRSA

  • Le AWS CLI installé et configuré

  • kubectl installé et configuré pour votre cluster Amazon EKS

  • Helm (version 3.0 ou ultérieure)

Installation et configuration de l’ASCP

L'ASCP est disponible GitHub dans le référentiel secrets-store-csi-provider-aws. Le référentiel contient également des exemples de fichiers YAML pour créer et monter un secret.

Pendant l’installation, vous pouvez configurer l’ASCP pour utiliser un point de terminaison FIPS. Pour obtenir la liste des points de terminaison , consultez AWS Secrets Manager points de terminaison.

Installer l’ASCP à l’aide de Helm

  1. Pour vous assurer que le référentiel pointe vers les derniers graphiques, utilisez helm repo update..

  2. Installez le chart. Voici un exemple de helm install commande :

    helm install -n kube-system secrets-provider-aws aws-secrets-manager/secrets-store-csi-driver-provider-aws

    1. Pour utiliser un point de terminaison FIPS, ajoutez l’indicateur suivant : --set useFipsEndpoint=true

    2. Pour configurer la limitation, ajoutez l’indicateur suivant : --set-json 'k8sThrottlingParams={"qps": "number of queries per second", "burst": "number of queries per second"}'

    3. Si le pilote CSI Secrets Store est déjà installé sur votre cluster, ajoutez l'indicateur suivant :--set secrets-store-csi-driver.install=false. Cela ignorera l'installation du pilote CSI Secrets Store en tant que dépendance.

Installer en utilisant le code YAML dans le référentiel

  • Utilisez les commandes suivantes.

    helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver
kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Vérifier les installations

Pour vérifier les installations de votre cluster EKS, du pilote Secrets Store CSI et du plug-in ASCP, procédez comme suit :

  1. Vérifiez le cluster EKS :

    eksctl get cluster --name clusterName

    Cette commande doit renvoyer des informations sur votre cluster.

  2. Vérifiez l’installation du pilote Secrets Store CSI :

    kubectl get pods -n kube-system -l app=secrets-store-csi-driver

    Vous devriez voir des pods s’exécuter avec des noms comme csi-secrets-store-secrets-store-csi-driver-xxx.

  3. Vérifier l’installation du plug-in ASCP :

    YAML installation
    $ kubectl get pods -n kube-system -l app=csi-secrets-store-provider-aws

    Exemple de sortie :

    NAME                                     READY   STATUS    RESTARTS   AGE
csi-secrets-store-provider-aws-12345      1/1     Running   0          2m
    Helm installation
    $  kubectl get pods -n kube-system -l app=secrets-store-csi-driver-provider-aws

    Exemple de sortie :

    NAME                                              READY   STATUS    RESTARTS   AGE
secrets-provider-aws-secrets-store-csi-driver-provider-67890       1/1     Running   0          2m

    Vous devriez voir des pods dans l’état Running.

Après exécution de ces commandes, si tout est correctement configuré, vous devriez voir tous les composants fonctionner sans aucune erreur. Si vous rencontrez des problèmes, vous devrez peut-être les résoudre en vérifiant les journaux des pods spécifiques qui rencontrent des problèmes.

Dépannage

  1. Pour vérifier les journaux du fournisseur ASCP, exécutez :

    kubectl logs -n kube-system -l app=csi-secrets-store-provider-aws

  2. Vérifiez l'état de tous les pods de l'espace de kube-system noms :

    kubectl -n kube-system get pods
    kubectl -n kube-system logs pod/PODID

    Tous les pods liés au pilote CSI et à l’ASCP doivent être dans l’état « En cours d’exécution ».

  3. Vérifiez la version du pilote CSI :

    kubectl get csidriver secrets-store.csi.k8s.io -o yaml

    Cette commande doit renvoyer des informations sur le pilote CSI installé.

Ressources supplémentaires

Pour plus d’informations sur l’utilisation d’ASCP avec Amazon EKS, consultez les ressources suivantes :