Instalar o ASCP para Amazon EKS - AWS Secrets Manager
Pré-requisitosInstalar e configurar o ASCPVerificar as instalaçõesSolução de problemasRecursos adicionais

Instalar o ASCP para Amazon EKS

Esta seção explica como instalar o AWS Secrets and Configuration Provider para Amazon EKS. Com o ASCP, é possível montar segredos do Secrets Manager e parâmetros do AWS Systems Manager como arquivos nos pods do Amazon EKS.

Pré-requisitos

  • Um cluster do Amazon EKS

    • Versão 1.24 ou posterior da Identidade de Pods

    • Versão 1.17 ou posterior do IRSA

  • A AWS CLI está instalada e configurada

  • kubectl instalado e configurado para o cluster do Amazon EKS

  • Helm (versão 3.0 ou superior)

Instalar e configurar o ASCP

O ASCP está disponível no GitHub no repositório secrets-store-csi-driver-provider-aws. O repositório também contém arquivos YAML de exemplo para criar e montar um segredo.

Durante a instalação, é possível configurar o ASCP para usar um endpoint do FIPS. Para obter uma lista de endpoints do , consulte AWS Secrets ManagerEndpoints do .

Para instalar o ASCP usando o Helm

  1. Para garantir que o repositório esteja apontando para os gráficos mais recentes, use helm repo update.

  2. Instale o chart. Veja a seguir um exemplo do comando helm install:

    helm install -n kube-system secrets-provider-aws aws-secrets-manager/secrets-store-csi-driver-provider-aws

    1. Para usar um endpoint do FIPS, adicione o sinalizador a seguir: --set useFipsEndpoint=true

    2. Para configurar o controle de utilização, adicione o sinalizador a seguir: --set-json 'k8sThrottlingParams={"qps": "number of queries per second", "burst": "number of queries per second"}'

    3. Se o driver CSI do Secrets Store já estiver instalado em seu cluster, adicione o sinalizador a seguir: --set secrets-store-csi-driver.install=false. Isso ignorará a instalação do driver CSI do Secrets Store como uma dependência.

Para instalar usando o YAML no repositório

  • Use os seguintes comandos.

    helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver
kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Verificar as instalações

Para verificar as instalações do cluster do EKS, do driver CSI do Secrets Store e do plug-in do ASCP, siga estas etapas:

  1. Verifique o cluster do EKS:

    eksctl get cluster --name clusterName

    Este comando deve retornar informações sobre o cluster.

  2. Verifique a instalação do driver CSI do Secrets Store:

    kubectl get pods -n kube-system -l app=secrets-store-csi-driver

    É necessário ver pods em execução com nomes como csi-secrets-store-secrets-store-csi-driver-xxx.

  3. Verifique a instalação do plug-in do ASCP:

    YAML installation
    $ kubectl get pods -n kube-system -l app=csi-secrets-store-provider-aws

    Resultado do exemplo:

    NAME                                     READY   STATUS    RESTARTS   AGE
csi-secrets-store-provider-aws-12345      1/1     Running   0          2m
    Helm installation
    $  kubectl get pods -n kube-system -l app=secrets-store-csi-driver-provider-aws

    Resultado do exemplo:

    NAME                                              READY   STATUS    RESTARTS   AGE
secrets-provider-aws-secrets-store-csi-driver-provider-67890       1/1     Running   0          2m

    É necessário ver pods no estado Running.

Depois de executar esses comandos, se tudo estiver configurado corretamente, será necessário ver todos os componentes funcionando sem erros. Se você encontrar algum problema, talvez seja necessário solucionar verificando os logs dos pods específicos que estão com problemas.

Solução de problemas

  1. Para verificar os logs do provedor do ASCP, execute:

    kubectl logs -n kube-system -l app=csi-secrets-store-provider-aws

  2. Verifique o status de todos os pods no namespace kube-system.

    kubectl -n kube-system get pods
    kubectl -n kube-system logs pod/PODID

    Todos os pods relacionados ao driver CSI e ao ASCP devem estar no estado “Running”.

  3. Verifique a versão do driver CSI:

    kubectl get csidriver secrets-store.csi.k8s.io -o yaml

    Este comando deve retornar informações sobre o driver CSI instalado.

Recursos adicionais

Para obter mais informações sobre o uso do ASCP com o Amazon EKS, consulte os seguintes recursos: