k8s

kubernetes - secret 2019.10.11
쿠버네티스 배경 및 입문 2019.09.03

kubernetes - secret

2019. 10. 11. 23:58

Secret

보안유지가 필요한 자격증명 및 개인 암호화 키 같은 중요한 정보를 저장하고 분류하기 위해 제공되는 리소스

1) 특징

패스워드 같은 기밀 정보를 Base64 인코딩으로 만들 수 있다.
key=value 쌍으로 사용한다.
환경 변수로 secret 정보를 컨테이너에 전달할 수 있다.
볼륨의 파일로서 시크릿 정보를 저장할 수 있다.
메모리에 저장된다.
시크릿 크기가 너무 커지면 쿠버네티스의 apiserver나 kubelet의 메모리를 많이 차지하게되기 때문에 개별 시크릿의 최대 크기는 1MB까지 정의한다.

2) 종류

Built in 시크릿(default-token secret)
: 클러스터 내부에서 API 이용 시 사용됨
: 내부에서 사용되는 계정인 Service account를 생성하면 자동으로 secret 생성
: 만들어진 secret으로 해당 service account가 권한을 가지고 있는 API 접근 가능
사용자 정의 시크릿
: 말그대로 사용자가 정의한 시크릿
: create 명령어를 사용하여 생성할 수 있고, yaml 파일에 정의해서 생성할 수도 있음

3) Secret vs ConfigMap

민감하지 않은 일반 데이터는 configMap 리소스를 사용한다.
중요 데이터가 포함되어 있으면 Secret 리소스를 사용하는 것이 좋다.

4) Built in Secret

모든 Pod에는 자동으로 연결된 secret 볼륨이 존재한다.

$ kubectl describe pod [name]

Mounts:

      /var/run/secrets/kubernetes.io/serviceaccount from default-token-kf7wl (ro)


---------------------------

Volumes:

  default-token-kf7wl:

    Type:        Secret (a volume populated by a Secret)

    SecretName:  default-token-kf7wl

    Optional:    false

$kubectl describe secret default-token-kf7wl

Name:         default-token-kf7wl

Namespace:    default

Labels:       <none>

Annotations:  kubernetes.io/service-account.name=default

              kubernetes.io/service-account.uid=7223520f-e519-11e9-876a-025000000001


Type:  kubernetes.io/service-account-token


Data

====

ca.crt:     1025 bytes

namespace:  7 bytes

token:      eyJhbGciOiJSUzI1NiIsImtpZCI6IiJ9.eyJpc3MiOiJrdWJlcm5ldGVzL3NlcnZpY2VhY2NvdW50Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9uYW1lc3BhY2UiOiJkZWZhdWx0Iiwia3ViZXJuZXRlcy5pby9zZXJ2aWNlYWNjb3VudC9zZWNyZXQubmFtZSI6ImRlZmF1bHQtdG9rZW4ta2Y3d2wiLCJrdWJlcm5ldGVzLmlvL3NlcnZpY2VhY2NvdW50L3NlcnZpY2UtYWNjb3VudC5uYW1lIjoiZGVmYXVsdCIsImt1YmVybmV0ZXMuaW8vc2VydmljZWFjY291bnQvc2VydmljZS1hY2NvdW50LnVpZCI6IjcyMjM1MjBmLWU1MTktMTFlOS04NzZhLTAyNTAwMDAwMDAwMSIsInN1YiI6InN5c3RlbTpzZXJ2aWNlYWNjb3VudDpkZWZhdWx0OmRlZmF1bHQifQ.P4FnIdYC_JHXCM-RyboMkotOEkf2sRhRgXkyS9nUezIOddQ3lQGdsPI8ZXiIq1PPZN2KrXUMjq6B7rDJw3_A-zN2e1UwQfemPqllhrSNduy1WWwJTCsv71rjZmLrmrA5klmgW7DzizfLNgKY6hLpK7lSlA3pxIDzkdtYhG9AQ4oXPTym6LUCgPCO2DhonMVbbkQtRI2JoWvCdxS6geea-Kne4Op82lWFErv5zP0hmUhb5vyiFXGWBQYp-CZehiwAuNNg44_cyz3d6r_51oJAwcKiovxPRkqjJqiJfxG5gjDlPu6GT9Enbbh5Jo2x3hHYXwBqOV8CV0iT7ZyU_p2eEA

=> secret volume을 통해 제공되는 3가지 항목은 kubenetes API 서버와 안전하게 통신하기 위해 필요하다.

=> 즉 https 통신을 하기 위함

key	설명
ca-crt	certificate-authority , 인증서

5) 사용자 정의 시크릿

mac이나 linux에서 다음과 같은 명령어로 문자열을 base64로 인코딩 할 수 있다.
base64로 인코딩하는 이유는 ssl인증서나 binary 데이터의 지원을 위해 사용된다.

$ echo password | base64

cGFzc3dvcmQK

5.1) 시크릿 생성 - 명령어

$ echo -n ‘sa’ > ./username.txt
$ kubectl create secret generic h2-user-name --from-file=./username.txt

5.2) 시크릿 생성 - yaml 파일

apiVersion: v1
kind: Secret
metadata:
name: mysqlsecret
type: Opaque
data:
MYSQL_USER: cm9vdAo=
MYSQL_PASSWORD: cm9vdAo=in:/sbin:/bin

$ kubectl describe secret mysqlsecret

Name:         mysqlsecret
Namespace:    default
Labels:
Annotations:
Type:         Opaque

Data
====
MYSQL_PASSWORD:  5 bytes
MYSQL_USER:      5 bytes

Opaque 및 타입에 대해 알아보기

https://github.com/kubernetes/kubernetes/blob/7693a1d5fe2a35b6e2e205f03ae9b3eddcdabc6b/pkg/apis/core/types.go#L4394-L4478

5.3) 시크릿 적용

<simple-database-secret.yaml>

apiVersion: v1
kind: Secret
metadata:
name: mysqlsecret
type: Opaque
data:
MYSQL_USER: cm9vdAo=
MYSQL_PASSWORD: cm9vdAo=in:/sbin:/bin

apiVersion: v1
kind: ConfigMap
metadata:
name: database-config
data:
MH_ADDR: "192.168.137.100"
MYSQL_PORT: "3306"
MYSQL_DATABASE: "sample"

---

apiVersion: apps/v1
kind: Deployment
metadata:
name: health-check-app
labels:
   app: healthcheck-test
spec:
replicas: 1
selector:
   matchLabels:
     app: healthcheck-test
template:
   metadata:
     labels:
       app: healthcheck-test
   spec:
     containers:
       - name: health-check-app
         image: chulm/health-check-app:latest
         envFrom:
           - configMapRef:
               name: database-config
         env:
           - name: MYSQL_USER
             valueFrom:
               secretKeyRef:
                 name: mysqlsecret
                 key: MYSQL_USER
           - name: MYSQL_PASSWORD
             valueFrom:
               secretKeyRef:
                 name: mysqlsecret
                 key: MYSQL_PASSWORD
         ports:
           - containerPort: 8080

5.4) 환경변수 조회

$ kubectl exec health-check-app-86758956dd-lqb2t -- env | sort

....

KUBERNETES_PORT_443_TCP_PORT=443
KUBERNETES_PORT_443_TCP_PROTO=tcp
KUBERNETES_SERVICE_PORT=443
KUBERNETES_SERVICE_PORT_HTTPS=443
LANG=C.UTF-8
MH_ADDR=192.168.137.100
MYSQL_DATABASE=sample
MYSQL_PASSWORD=root
MYSQL_PORT=3306
MYSQL_USER=root

참조: https://kubernetes.io/docs/concepts/configuration/secret/