Installieren Sie ASCP für Amazon EKS

In diesem Abschnitt wird erklärt, wie Sie den AWS Secrets and Configuration Provider für Amazon EKS installieren. Mit ASCP können Sie Geheimnisse aus Secrets Manager und Parameter aus AWS Systems Manager Dateien in Amazon EKS Pods bereitstellen.

Voraussetzungen

• Ein Amazon EKS-Cluster

  • Version 1.24 oder höher für Pod Identity

  • Version 1.17 oder höher für IRSA

• Die AWS CLI installierte und konfigurierte

• kubectl wurde für Ihren Amazon EKS-Cluster installiert und konfiguriert

• Helm (Version 3.0 oder höher)

Installieren und konfigurieren Sie den ASCP

Das ASCP ist GitHub im secrets-store-csi-provider-aws-Repository verfügbar. Das Repo enthält auch YAML-Beispieldateien zum Erstellen und Mounten eines Secrets.

Während der Installation können Sie das ASCP so konfigurieren, dass es einen FIPS-Endpunkt verwendet. Eine Liste der Endpunkte finden Sie unter AWS Secrets Manager Endpunkte.

Um den ASCP mit Helm zu installieren

1. Um sicherzustellen, dass das Repo auf die neuesten Charts verweist, verwenden Sie helm repo update.

2. Fügen Sie das Secrets Store CSI-Treiberdiagramm hinzu.

   helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts

3. Installieren Sie das Diagramm. Um die Drosselung zu konfigurieren, fügen Sie das folgende Flag hinzu: --set-json 'k8sThrottlingParams={"qps": "number of queries per second", "burst": "number of queries per second"}'

   helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver

4. Fügen Sie das ASCP-Diagramm hinzu.

   helm repo add aws-secrets-manager https://aws.github.io/secrets-store-csi-driver-provider-aws

5. Installieren Sie das Diagramm. Um einen FIPS-Endpunkt zu verwenden, fügen Sie das folgende Flag hinzu: --set useFipsEndpoint=true

   helm install -n kube-system secrets-provider-aws aws-secrets-manager/secrets-store-csi-driver-provider-aws

Zur Installation mithilfe von YAML im Repo

• Verwenden Sie die folgenden Befehle.

  helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
  helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver
  kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Überprüfen Sie die Installationen

Gehen Sie folgendermaßen vor, um die Installationen Ihres EKS-Clusters, des Secrets Store CSI-Treibers und des ASCP-Plug-ins zu überprüfen:

1. Überprüfen Sie den EKS-Cluster:

   eksctl get cluster --name clusterName

   Dieser Befehl sollte Informationen über Ihren Cluster zurückgeben.

2. Überprüfen Sie die Installation des Secrets Store CSI-Treibers:

   kubectl get pods -n kube-system -l app=secrets-store-csi-driver

   Sie sollten Pods mit Namen wie laufen sehencsi-secrets-store-secrets-store-csi-driver-xxx.

3. Überprüfen Sie die Installation des ASCP-Plug-ins:

   YAML installation

   $ kubectl get pods -n kube-system -l app=csi-secrets-store-provider-aws

   Beispielausgabe:

   NAME                                     READY   STATUS    RESTARTS   AGE
   csi-secrets-store-provider-aws-12345      1/1     Running   0          2m

   Helm installation

   $ kubectl get pods -n kube-system -l app=secrets-store-csi-driver-provider-aws

   Beispielausgabe:

   NAME                                              READY   STATUS    RESTARTS   AGE
   secrets-provider-aws-secrets-store-csi-driver-provider-67890       1/1     Running   0          2m

   Sie sollten Pods im Running Status sehen.

Wenn nach dem Ausführen dieser Befehle alles korrekt eingerichtet ist, sollten Sie sehen, dass alle Komponenten fehlerfrei ausgeführt werden. Wenn Sie auf Probleme stoßen, müssen Sie diese möglicherweise beheben, indem Sie die Protokolle der jeweiligen Pods überprüfen, bei denen Probleme auftreten.

Fehlerbehebung

1. Führen Sie folgenden Befehl aus, um die Protokolle des ASCP-Anbieters zu überprüfen:

   kubectl logs -n kube-system -l app=csi-secrets-store-provider-aws

2. Überprüfen Sie den Status aller Pods im kube-system Namespace:

   kubectl -n kube-system get pods

   kubectl -n kube-system logs pod/PODID

   Alle Pods, die sich auf den CSI-Treiber und ASCP beziehen, sollten sich im Status „Running“ befinden.

3. Überprüfen Sie die Version des CSI-Treibers:

   kubectl get csidriver secrets-store.csi.k8s.io -o yaml

   Dieser Befehl sollte Informationen über den installierten CSI-Treiber zurückgeben.

Weitere Ressourcen

Weitere Informationen zur Verwendung von ASCP mit Amazon EKS finden Sie in den folgenden Ressourcen:

• Verwenden von Pod Identity mit Amazon EKS

• Verwendung von AWS Secrets und Configuration Provider

• AWS Secrets Store CSI-Treiber aktiviert GitHub