AWS Secrets and Configuration Provider のコード例

ASCP の認証とアクセスコントロールの例

例: Amazon EKS Pod Identity サービス (pods.eks.amazonaws.com) がロールを引き受け、セッションにタグを付けることを許可する IAM ポリシー:

JSON

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": {
        "Service": "pods.eks.amazonaws.com"
      },
      "Action": [
        "sts:AssumeRole",
        "sts:TagSession"
      ]
    }
  ]
}

SecretProviderClass

ASCP を使用して Amazon EKS にマウントするパラメータを YAML で記述します。例については「SecretProviderClass の使用」を参照してください。

SecretProviderClass YAML 構造

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
   name: name
spec:
  provider: aws
  parameters:
    region:
    failoverRegion:
    pathTranslation:
    usePodIdentity:
    preferredAddressType:
    objects:

パラメータフィールドには、以下のマウントリクエストの詳細が含まれます。

Amazon EKS ポッドにパラメータをマウントするための基本的な SecretProviderClass 設定を作成します。

Pod Identity

同じ Amazon EKS クラスターのパラメータを使用する SecretProviderClass:

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-parameter-store
spec:
  provider: aws
  parameters:
    objects: |
      - objectName: "MyParameter"
        objectType: "ssmparameter"
    usePodIdentity: "true"

IRSA

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: deployment-aws-parameter
spec:
  provider: aws
  parameters:
    objects: |
        - objectName: "MyParameter"
          objectType: "ssmparameter"

SecretProviderClass の使用

これらの例を使用して、さまざまなシナリオの SecretProviderClass 設定を作成します。

例: 名前または ARN でパラメータをマウントする

この例では、3 つの異なるタイプのパラメータをマウントする方法を示します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-parameters
spec:
  provider: aws
  parameters:
    objects: |
      - objectName: "arn:aws:ssm:us-east-2:777788889999:parameter:MyParameter2-d4e5f6"
      - objectName: "MyParameter3"
        objectType: "ssmparameter"
      - objectName: "MyParameter4"
        objectType: "ssmparameter"
        objectVersionLabel: "AWSCURRENT"

例: パラメータからキーと値のペアをマウントする

この例では、JSON 形式のパラメータから特定のキーと値のペアをマウントする方法を示します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-parameters
spec:
  provider: aws
  parameters:
    objects: |
      - objectName: "arn:aws:ssm:us-east-2:777788889999:parameter:MyParameter-a1b2c3"
        jmesPath: 
            - path: username
              objectAlias: dbusername
            - path: password
              objectAlias: dbpassword

例: フェイルオーバー設定の例

これらの例では、パラメータのフェイルオーバーを設定する方法を示します。

マルチリージョンパラメータのフェイルオーバー

この例では、複数のリージョンにレプリケートされたパラメータの自動フェイルオーバーを設定する方法を示します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-parameters
spec:
  provider: aws
  parameters:
    region: us-east-1
    failoverRegion: us-east-2
    objects: |
      - objectName: "MyParameter"

別のパラメータにフェイルオーバーする

この例では、(レプリカではない) 別のパラメータへのフェイルオーバーを設定する方法を示します。

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
  name: aws-parameters
spec:
  provider: aws
  parameters:
    region: us-east-1
    failoverRegion: us-east-2
    objects: |
      - objectName: "arn:aws:ssm:us-east-1:777788889999:parameter:MyParameter-a1b2c3"
        objectAlias: "MyMountedParameter"
        failoverObject: 
          - objectName: "arn:aws:ssm:us-east-2:777788889999:parameter:MyFailoverParameter-d4e5f6"

その他のリソース

Amazon EKS での ASCP の使用に関する詳細については、次のリソースを参照してください。