チュートリアル: Azure Kubernetes Service (AKS) クラスターで Secrets Store CSI Driver 用の Azure Key Vault プロバイダーを使用する

Service Connector を使用して、Azure Kubernetes Service (AKS) クラスターで CSI ドライバーを使用して Azure Key Vault に接続する方法を説明します。 このチュートリアルでは、次のタスクを実行します。

前提条件

• アクティブなサブスクリプションが含まれる Azure アカウント。 無料でアカウントを作成できます。
• Azure CLI をインストールし、az login コマンドを使用して Azure CLI にサインインします。
• コンテナー イメージと Kubernetes リソースを管理するために、Docker と kubectl をインストールします。
• コンテナーと AKS の基本的な理解。 AKS 用のアプリケーションの準備から開始します。

Azure リソースを作成する

1. このチュートリアル用のリソース グループを作成します。

   az group create \
       --name MyResourceGroup \
       --location eastus
   

2. 次のコマンドを使用するか、チュートリアルを参照してAKS クラスターを作成します。 これは、サービス接続とポッド定義を作成し、サンプル アプリケーションをデプロイするクラスターです。

   az aks create \
       --resource-group MyResourceGroup \
       --name MyAKSCluster \
       --enable-managed-identity \
       --node-count 1
   

3. 次のコマンドでクラスターに接続します。

   az aks get-credentials \
       --resource-group MyResourceGroup \
       --name MyAKSCluster
   

4. 次のコマンドを使用するか、チュートリアルを参照して Azure Key Vault を作成します。 これは、AKS クラスターに接続され、CSI ドライバーでシークレットを同期するターゲット サービスです。

   az keyvault create \
       --resource-group MyResourceGroup \  
       --name MyKeyVault \
       --location EastUS
   

5. 次のコマンドを使用して、Key Vault にシークレットを作成します。

   az keyvault secret set \
       --vault-name MyKeyVault \
       --name ExampleSecret \
       --value MyAKSExampleSecret
   

Service Connector を使用して AKS でサービス接続を作成する (プレビュー)

Azure portalまたは Azure CLI を使用して、AKS クラスターと Azure Key Vault の間のサービス接続を作成します。

az aks connection create keyvault --enable-csi

接続をテストする

1. サンプル リポジトリをクローンします。

   git clone https://github.com/Azure-Samples/serviceconnector-aks-samples.git
   

2. Azure Key Vault 用のリポジトリの次のサンプル フォルダーに移動します。

   cd serviceconnector-aks-samples/azure-keyvault-csi-provider
   

3. プレースほるあーを azure-keyvault-csi-provider フォルダー内の secret_provider_class.yaml ファイルで置き換えます。

   • 作成して接続したキー コンテナーの名前に <AZURE_KEYVAULT_NAME> を置き換えます。 Service Connector の Azure portal から値を取得できます。
   • <AZURE_KEYVAULT_TENANTID> を キー コンテナーのテナント ID に置き換えます。 Service Connector の Azure portal から値を取得できます。
   • <AZURE_KEYVAULT_CLIENTID> を使用する azureKeyvaultSecretsProvider アドオンの ID クライアント ID に置き換えます。 Service Connector の Azure portal から値を取得できます。
   • <KEYVAULT_SECRET_NAME> を作成したキー コンテナー シークレット名に置き換えます (例: ExampleSecret)。

4. kubectl apply コマンドを使用して、Kubernetes リソースをクラスターにデプロイします。 kubectl がインストールされていない場合は、az aks install-cli コマンドを使用して、ローカルにインストールします。

   1. SecretProviderClass CRD をデプロイします。

   kubectl apply -f secret_provider_class.yaml
   

   1. pod をデプロイします。 コマンドでは、AKS クラスターの既定の名前空間に sc-demo-keyvault-csi という名前のポッドが作成されます。

   kubectl apply -f pod.yaml
   

5. kubectl でポッドを表示して、デプロイが成功したことを確認します。

   kubectl get pod/sc-demo-keyvault-csi
   

6. ポッドが起動すると、デプロイ YAML で指定されたボリューム パスにマウントされたコンテンツが使用できるようになります。 次のコマンドを使って、シークレットを検証し、テスト シークレットを表示します。

   • 次のコマンドを使用して、シークレット ストアに保持されているシークレットを表示します。

   kubectl exec sc-demo-keyvault-csi -- ls /mnt/secrets-store/
   

   • 次のコマンドを使用して、ストアにシークレットを表示します。 このコマンド例は、テスト シークレット ExampleSecret を示しています。

   kubectl exec sc-demo-keyvault-csi -- cat /mnt/secrets-store/ExampleSecret
   

リソースをクリーンアップする

このチュートリアルで作成したリソースを再利用する必要がない場合は、リソース グループを削除して作成したリソースをすべて削除してください。

az group delete \
    --resource-group MyResourceGroup

次のステップ

サービス コネクタの概念と、それを使って AKS をサービスに接続する方法について詳しくは、次の記事をご覧ください。