Instalación de ASCP para Amazon EKS

En esta sección se explica cómo instalar el proveedor de AWS secretos y configuración para Amazon EKS. Con ASCP, puede montar los secretos de Secrets Manager y los parámetros desde AWS Systems Manager archivos en Amazon EKS Pods.

Requisitos previos

• Un clúster de Amazon EKS

  • Versión 1.24 o posterior para Pod Identity

  • Versión 1.17 o posterior para IRSA

• El AWS CLI instalado y configurado

• kubectl instalado y configurado para su clúster de Amazon EKS

• Helm (versión 3.0 o posterior)

Instale y configure el ASCP

El ASCP está disponible GitHub en el repositorio secrets-store-csi-provider-aws. El repositorio también contiene archivos YAML de ejemplo para crear y montar un secreto.

Durante la instalación, puede configurar el ASCP para que utilice un punto de conexión FIPS. Para obtener una lista de puntos de enlace , consulte AWS Secrets Manager puntos finales.

Instalar el ASCP mediante Helm

1. Para asegurarse de que el repositorio apunta a los gráficos más recientes, utilice helm repo update.

2. Agregue el gráfico de controladores CSI de Secrets Store.

   helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts

3. Instale el gráfico. Para configurar la limitación, agregue el siguiente indicador: --set-json 'k8sThrottlingParams={"qps": "number of queries per second", "burst": "number of queries per second"}'.

   helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver

4. Agregue el gráfico del ASCP.

   helm repo add aws-secrets-manager https://aws.github.io/secrets-store-csi-driver-provider-aws

5. Instale el gráfico. Para utilizar un punto de conexión FIPS, agregue el siguiente indicador: --set useFipsEndpoint=true.

   helm install -n kube-system secrets-provider-aws aws-secrets-manager/secrets-store-csi-driver-provider-aws

Instalarlo mediante el YAML del repositorio

• Use los siguientes comandos.

  helm repo add secrets-store-csi-driver https://kubernetes-sigs.github.io/secrets-store-csi-driver/charts
  helm install -n kube-system csi-secrets-store secrets-store-csi-driver/secrets-store-csi-driver
  kubectl apply -f https://raw.githubusercontent.com/aws/secrets-store-csi-driver-provider-aws/main/deployment/aws-provider-installer.yaml

Verifica las instalaciones

Para verificar las instalaciones del clúster EKS, el controlador CSI de Secrets Store y el complemento ASCP, siga estos pasos:

1. Compruebe el clúster de EKS:

   eksctl get cluster --name clusterName

   Este comando debería devolver información sobre el clúster.

2. Compruebe la instalación del controlador CSI de Secrets Store:

   kubectl get pods -n kube-system -l app=secrets-store-csi-driver

   Deberías ver Pods ejecutándose con nombres comocsi-secrets-store-secrets-store-csi-driver-xxx.

3. Verifica la instalación del complemento ASCP:

   YAML installation

   $ kubectl get pods -n kube-system -l app=csi-secrets-store-provider-aws

   Ejemplo de salida:

   NAME                                     READY   STATUS    RESTARTS   AGE
   csi-secrets-store-provider-aws-12345      1/1     Running   0          2m

   Helm installation

   $  kubectl get pods -n kube-system -l app=secrets-store-csi-driver-provider-aws

   Ejemplo de salida:

   NAME                                              READY   STATUS    RESTARTS   AGE
   secrets-provider-aws-secrets-store-csi-driver-provider-67890       1/1     Running   0          2m

   Deberías ver Pods en el Running estado.

Después de ejecutar estos comandos, si todo está configurado correctamente, debería ver que todos los componentes se ejecutan sin errores. Si tienes algún problema, es posible que tengas que comprobarlo consultando los registros de los pods específicos que están teniendo problemas.

Solución de problemas

1. Para comprobar los registros del proveedor de ASCP, ejecuta:

   kubectl logs -n kube-system -l app=csi-secrets-store-provider-aws

2. Compruebe el estado de todos los pods del kube-system espacio de nombres:

   kubectl -n kube-system get pods

   kubectl -n kube-system logs pod/PODID

   Todos los pods relacionados con el controlador CSI y el ASCP deben estar en estado «En ejecución».

3. Compruebe la versión del controlador CSI:

   kubectl get csidriver secrets-store.csi.k8s.io -o yaml

   Este comando debería devolver información sobre el controlador CSI instalado.

Recursos adicionales

Para obtener más información sobre el uso de ASCP con Amazon EKS, consulte los siguientes recursos:

• Uso de Pod Identity con Amazon EKS

• Uso del proveedor de AWS secretos y configuración

• AWS Secrets Store CSI está activado GitHub