SecretProviderClass

Sie verwenden YAML, um zu beschreiben, welche Secrets mithilfe von ASCP in Amazon EKS bereitgestellt werden sollen. Beispiele finden Sie unter Beispiel: Secrets nach Namen oder ARN mounten.

apiVersion: secrets-store.csi.x-k8s.io/v1
kind: SecretProviderClass
metadata:
   name: <NAME>
spec:
  provider: aws
  parameters:
    region:
    failoverRegion:
    pathTranslation:
    objects:

Das Feld parameters enthält die Details der Mounting-Anfrage:

Region

(Optional) Der Name des AWS-Region Geheimnisses. Wenn Sie dieses Feld nicht verwenden, sucht der ASCP die Region aus der Anmerkung auf dem Knoten. Diese Suche steigert den Overhead von Mounting-Anfragen. Daher wird empfohlen, die Region für Cluster mit einer großen Anzahl von Pods anzugeben.

Wenn Sie auch failoverRegion angeben, versucht der ASCP, das Secret aus beiden Regionen abzurufen. Wenn eine Region einen 4xx-Fehler zurückgibt, z. B. aufgrund eines Authentifizierungsproblems, mountet der ASCP keines der Secrets. Wenn das Secret erfolgreich von region abgerufen wurde, mountet der ASCP diesen Secret-Wert. Wenn das Secret nicht erfolgreich von region abgerufen wurde, aber efolgreich von failoverRegion abgerufen werden konnte, mountet der ASCP diesen Secret-Wert.

failoverRegion

(Optional) Wenn Sie dieses Feld angeben, versucht der ASCP, das Secret aus den Regionen abzurufen, die in region und diesem Feld definiert sind. Wenn eine Region einen 4xx-Fehler zurückgibt, z. B. aufgrund eines Authentifizierungsproblems, mountet der ASCP keines der Secrets. Wenn das Secret erfolgreich von region abgerufen wurde, mountet der ASCP diesen Secret-Wert. Wenn das Secret nicht erfolgreich von region abgerufen wurde, aber efolgreich von failoverRegion abgerufen werden konnte, mountet der ASCP diesen Secret-Wert. Ein Beispiel für die Nutzung dieses Felds finden Sie unter Definieren einer Failover-Region für ein multiregionales Secret.

pathTranslation (Pfadangabe)

(Optional) Ein einzelnes Ersetzungszeichen, das verwendet werden soll, wenn der Dateiname in Amazon EKS das Pfadtrennzeichen enthält, z. B. Schrägstrich (/) unter Linux. ASCP kann keine gemountete Datei erstellen, die ein Pfadtrennzeichen enthält. Stattdessen ersetzt ASCP das Pfadtrennzeichen durch ein anderes Zeichen. Wenn Sie dieses Feld nicht verwenden, ist das Ersatzzeichen ein Unterstrich (_), d. h. My/Path/Secret wird als My_Path_Secret gemountet.

Um die Zeichenersetzung zu verhindern, geben Sie die Zeichenfolge False ein.

objects (Objekte)

Eine Zeichenfolge, die eine YAML-Deklaration der bereitzustellenden Secrets enthält. Wir empfehlen, eine mehrzeilige YAML-Zeichenfolge oder ein Pipe-Zeichen (|) zu verwenden.

objectName (Objektname)

Der Name oder vollständige ARN des Secrets. Wenn Sie den ARN verwenden, können Sie objectType weglassen. Dieses Feld wird der Dateiname des Secrets im Amazon-EKS-Pod, es sei denn, Sie geben objectAlias an. Wenn Sie einen ARN verwenden, muss die Region im ARN mit dem Feld region übereinstimmen. Wenn Sie eine failoverRegion angeben, stellt dieses Feld den primären objectName dar.

objectType

Erforderlich, wenn Sie keinen Secrets Manager ARN für objectName verwenden. Kann secretsmanager oder ssmparameter sein.

objectAlias (Objektalias)

(Optional) Der Dateiname des Secrets im Amazon-EKS-Pod. Wenn Sie dieses Feld nicht angeben, wird objectName als Dateiname angezeigt.

objectVersion (Objektversion)

(Optional) Die Versions-ID des Secrets. Nicht empfohlen, da Sie jedes Mal, wenn Sie das Secret aktualisieren, die Versions-ID aktualisieren müssen. Standardmäßig wird die neueste Version verwendet. Wenn Sie eine failoverRegion angeben, stellt dieses Feld den primären objectVersion dar.

objectVersionLabel

(Optional) Der Alias für die Version. Die Standardversion ist die neueste Version AWSCURRENT. Weitere Informationen finden Sie unter Geheime Versionen. Wenn Sie eine failoverRegion angeben, stellt dieses Feld den primären objectVersionLabel dar.

jmesPath (jmes-Pfad)

(Optional) Eine Zuordnung der Schlüssel im Secret zu den Dateien, die in Amazon EKS bereitgestellt werden sollen. Um dieses Feld zu verwenden, muss Ihr Secret-Wert im JSON-Format vorliegen. Wenn Sie dieses Feld verwenden, müssen Sie die Unterfelder path und objectAlias angeben.

path (Pfad)

Ein Schlüssel aus einem Schlüssel/Wert-Paar im JSON des Secret-Werts. Wenn das Feld einen Bindestrich enthält, verwenden Sie einfache Anführungszeichen als Escape-Zeichen. Beispiel: path: '"hyphenated-path"'

objectAlias

Der Dateiname, der im Amazon-EKS-Pod bereitgestellt werden soll. Wenn das Feld einen Bindestrich enthält, verwenden Sie einfache Anführungszeichen als Escape-Zeichen. Beispiel: objectAlias: '"hyphenated-alias"'

failoverObject

(Optional) Wenn Sie dieses Feld angeben, versucht der ASCP, sowohl das im primären objectName angegebene Secret als auch das im failoverObject-objectName-Unterfeld angegebene Secret abzurufen. Wenn eines von beiden einen 4xx-Fehler zurückgibt, z. B. aufgrund eines Authentifizierungsproblems, mountet der ASCP keines der Secrets. Wenn das Secret erfolgreich vom primären objectName abgerufen wurde, mountet der ASCP diesen Secret-Wert. Wenn das Secret nicht erfolgreich vom primären objectName abgerufen wurde, aber efolgreich vom Failover-objectName abgerufen werden konnte, mountet der ASCP diesen Secret-Wert. Wenn Sie dieses Feld angeben, müssen Sie auch das Feld objectAlias angeben. Ein Beispiel für die Nutzung dieses Felds finden Sie unter Ein Failover-Secret zum Mounten auswählen.

In der Regel verwenden Sie dieses Feld, wenn es sich bei dem Failover-Secret nicht um ein Replikat handelt. Ein Beispiel dazu, wie Sie ein Replikat angeben, finden Sie unter Definieren einer Failover-Region für ein multiregionales Secret.

objectName (Objektname)

Der Name oder vollständige ARN des Failover-Secrets. Wenn Sie einen ARN verwenden, muss die Region im ARN mit dem Feld failoverRegion übereinstimmen.

objectVersion (Objektversion)

(Optional) Die Versions-ID des Secrets. Muss mit der primären objectVersion übereinstimmen. Nicht empfohlen, da Sie jedes Mal, wenn Sie das Secret aktualisieren, die Versions-ID aktualisieren müssen. Standardmäßig wird die neueste Version verwendet.

objectVersionLabel

(Optional) Der Alias für die Version. Die Standardversion ist die neueste Version AWSCURRENT. Weitere Informationen finden Sie unter Geheime Versionen.