Как использовать Secret для безопасного хранения данных в Kubernetes

В Kubernetes Secrets представляют собой специальный объект, предназначенный для хранения небольших объемов конфиденциальных данных, таких как:

• Пароли
• Токены доступа
• Сертификаты

Secrets хранятся в зашифрованном виде в Kubernetes и защищены от утечек данных. Это означает, что секреты не видны в чистом виде в конфигурациях, и доступ к ним возможен только авторизованным процессам. При использовании Secrets ваша конфиденциальная информация будет доступна только приложению, для которого она предназначена, благодаря интеграции с настройками Kubernetes.

1. Создание Secret

Secrets можно создавать разными способами: вручную через YAML-файлы, используя kubectl, либо автоматически через Helm-чарты или другие CI/CD инструменты. В данном примере мы создадим простой Secret, содержащий пароль для базы данных.

Пример 1: Создание Secret с помощью kubectl

Выполните следующую команду, чтобы создать Secret с названием db-password и паролем mypassword:

kubectl create secret generic db-password --from-literal=password=mypassword

2. Использование Secret в приложениях Kubernetes

Созданный Secret можно подключить к вашему приложению в Kubernetes несколькими способами.

Пример 2: Подключение Secret через переменные окружения

Наиболее распространенный способ подключения Secret — это использование его значений в переменных окружения приложения. Ниже показано, как это сделать в конфигурации Pod’а.

apiVersion: v1

kind: Pod

metadata:

  name: my-app

spec:

  containers:

    - name: app-container

      image: my-app-image

      env:

        - name: DB_PASSWORD

          valueFrom:

            secretKeyRef:

              name: db-password

              key: password

Здесь переменная DB_PASSWORD будет содержать значение, которое мы задали в Secret db-password.

Пример 3: Использование Secret как volume

Вы также можете смонтировать Secret как volume, чтобы приложение могло считывать его данные из файла:

apiVersion: v1

kind: Pod

metadata:

  name: my-app

spec:

  containers:

    - name: app-container

      image: my-app-image

      volumeMounts:

        - name: secret-volume

          mountPath: "/etc/secret"

          readOnly: true

  volumes:

    - name: secret-volume

      secret:

        secretName: db-password

При этом содержимое Secret будет доступно приложению в каталоге /etc/secret.

3. Защита и рекомендации по безопасности при работе с Secret

Secrets в Kubernetes по умолчанию хранятся в базах данных и кодируются с использованием base64, что не является надежной защитой. Поэтому важно обеспечить дополнительную безопасность при работе с Secret.

Совет 1: Используйте Encryption at Rest
Кластер Kubernetes можно настроить на использование шифрования данных при хранении (encryption at rest) для всех Secret. Для этого в Kubernetes можно настроить конфигурацию шифрования, которая обеспечивает дополнительную защиту данных в etcd.

Совет 2: Ограничьте доступ к Secret
Настройте права доступа в Kubernetes так, чтобы к Secret имели доступ только необходимые приложения и службы. Это можно сделать с помощью Role-based Access Control (RBAC).

Совет 3: Избегайте хранения Secret в репозиториях
Убедитесь, что ваши Secrets не хранятся в репозиториях с исходным кодом и избегайте их внесения в конфигурационные файлы, хранящиеся в репозиториях. Для управления секретами на уровне кода используйте специальные инструменты, такие как HashiCorp Vault, которые совместимы с Kubernetes.

Эта статья покрыла основные моменты работы с Secret в Kubernetes, включая создание, использование и обеспечение их безопасности. Надеемся, что теперь у вас есть базовое представление о том, как управлять чувствительными данными в Kubernetes и какие практики помогут сделать ваши кластеры более защищенными.