OpenShift 文档正在迁移，很快将只能在 docs.redhat.com（所有 Red Hat 产品文档的所在地）访问。立即体验 新的文档体验。
  1. 文档
    2. history bug_report picture_as_pdf
×

Secrets Store CSI驱动程序

概述

Kubernetes密钥使用Base64编码存储。etcd为这些密钥提供静态加密，但是当检索密钥时，它们会被解密并呈现给用户。如果在集群上未正确配置基于角色的访问控制，则任何具有API或etcd访问权限的用户都可以检索或修改密钥。此外，任何有权在命名空间中创建Pod的用户都可以使用该访问权限来读取该命名空间中的任何密钥。

要安全地存储和管理密钥，您可以配置OpenShift Container Platform Secrets Store容器存储接口(CSI)驱动程序操作符，以使用提供程序插件从外部密钥管理系统（例如Azure Key Vault）挂载密钥。然后，应用程序可以使用密钥，但是应用程序Pod销毁后，密钥不会持久存在于系统中。

Secrets Store CSI驱动程序操作符 (secrets-store.csi.k8s.io) 使OpenShift Container Platform能够将存储在企业级外部密钥存储中的多个密钥、键和证书作为卷挂载到Pod中。Secrets Store CSI驱动程序操作符使用gRPC与提供程序通信，以从指定的外部密钥存储中获取挂载内容。挂载卷后，其中的数据将挂载到容器的文件系统中。密钥存储卷是内联挂载的。

有关CSI内联卷的更多信息，请参见CSI内联临时卷。

Secrets Store CSI驱动程序操作符仅为技术预览功能。技术预览功能不受Red Hat生产服务级别协议(SLA)的支持，并且功能可能不完整。Red Hat不建议在生产环境中使用它们。这些功能提供对即将推出的产品功能的早期访问，使用户能够在开发过程中测试功能并提供反馈。

有关Red Hat技术预览功能支持范围的更多信息，请参见技术预览功能支持范围。

使用CSI驱动程序时，建议您熟悉持久性存储和配置CSI卷。

Secrets Store提供程序

以下Secrets Store提供程序可用于Secrets Store CSI驱动程序操作符。

  • AWS Secrets Manager

  • AWS Systems Manager参数存储

  • Azure Key Vault

  • Google Secret Manager

  • HashiCorp Vault

关于CSI

存储供应商传统上将存储驱动程序作为Kubernetes的一部分提供。通过实施容器存储接口(CSI)，第三方提供商可以使用标准接口交付存储插件，而无需更改核心Kubernetes代码。

CSI操作符为OpenShift Container Platform用户提供了使用树内卷插件无法实现的存储选项，例如卷快照。

安装Secrets Store CSI驱动程序

先决条件

  • 访问OpenShift Container Platform Web控制台。

  • 对集群的管理员访问权限。

步骤

要安装Secrets Store CSI驱动程序

  1. 安装Secrets Store CSI驱动程序操作符

    1. 登录到Web控制台。

    2. 点击**操作符** → **OperatorHub**。

    3. 在筛选框中键入“Secrets Store CSI”以查找Secrets Store CSI驱动程序操作符。

    4. 点击**Secrets Store CSI驱动程序操作符**按钮。

    5. 在**Secrets Store CSI驱动程序操作符**页面上，点击**安装**。

    6. 在**安装操作符**页面上，确保：

      • 已选择**集群上的所有命名空间（默认）**。

      • **已安装命名空间**设置为**openshift-cluster-csi-drivers**。

    7. 点击**安装**。

      安装完成后，Secrets Store CSI驱动程序操作符将列在Web控制台的**已安装操作符**部分。

  2. 为驱动程序(secrets-store.csi.k8s.io)创建ClusterCSIDriver实例。

    1. 点击**管理** → **CustomResourceDefinitions** → **ClusterCSIDriver**。

    2. 在**实例**选项卡上，点击**创建ClusterCSIDriver**。

      使用以下YAML文件

      apiVersion: operator.openshift.io/v1
kind: ClusterCSIDriver
metadata:
    name: secrets-store.csi.k8s.io
spec:
  managementState: Managed

    3. 点击**创建**。

后续步骤

卸载Secrets Store CSI驱动程序操作符

先决条件

  • 访问OpenShift Container Platform Web控制台。

  • 对集群的管理员访问权限。

步骤

要卸载Secrets Store CSI驱动程序操作符

  1. 停止使用secrets-store.csi.k8s.io提供程序的所有应用程序Pod。

  2. 删除您选择的密钥存储的任何第三方提供程序插件。

  3. 删除容器存储接口 (CSI) 驱动程序和相关清单

    1. 点击**管理** → **CustomResourceDefinitions** → **ClusterCSIDriver**。

    2. 在**实例**选项卡上，针对**secrets-store.csi.k8s.io**，点击最左侧的下拉菜单，然后点击**删除 ClusterCSIDriver**。

    3. 出现提示时，点击**删除**。

  4. 验证 CSI 驱动程序 Pod 是否已停止运行。

  5. 卸载 Secrets Store CSI 驱动程序操作符

    在卸载操作符之前，必须先删除 CSI 驱动程序。

    1. 点击**操作符** → **已安装的操作符**。

    2. 在**已安装的操作符**页面上，滚动或在**按名称搜索**框中输入“Secrets Store CSI”以查找操作符，然后点击它。

    3. 在**已安装的操作符** > **操作符详情**页面的右上方，点击**操作** → **卸载操作符**。

    4. 在**卸载操作符**窗口中出现提示时，点击**卸载**按钮以从命名空间中删除操作符。操作符在集群上部署的任何应用程序都需要手动清理。

      卸载后，Secrets Store CSI 驱动程序操作符将不再列在 Web 控制台的**已安装的操作符**部分中。

其他资源