DEV Community
·
在 AKS 中保护 Kubernetes Secrets：使用 Azure Key Vault 结合托管和用户分配身份
💡
原文英文，约1500词，阅读约需6分钟。
📝
内容提要
本文介绍了在Azure Kubernetes Service（AKS）中安全管理秘密的方法，包括集成Azure Key Vault和AKS、启用Secret Store CSI Driver以及使用VM Managed Identities和User Assigned Identities。通过这些方法可以提高Kubernetes Secrets的安全性。
🎯
关键要点
- 在Azure Kubernetes Service (AKS)中安全管理秘密是关键，Kubernetes Secrets默认不加密，容易受到攻击。
- 推荐使用Azure Key Vault作为外部秘密管理服务，以增强安全性。
- 第一步是在AKS中启用Secret Store CSI Driver，简化与Azure Key Vault的集成。
- VM Managed Identities是自动创建的身份，简化了对Azure Key Vault的访问管理。
- 创建Azure Key Vault并添加秘密，确保AKS集群的VM Managed Identity有权限读取秘密。
- 配置SecretProviderClass以使用VM Managed Identity，并在Kubernetes中部署应用程序。
- User Assigned Identities提供更大的控制和灵活性，可以独立于特定资源管理身份。
- 通过Azure Key Vault和Secret Store CSI Driver，可以显著提高Kubernetes Secrets的安全性。
- 使用VM Managed Identities适合需要自动身份管理的场景，而User Assigned Identities适合需要跨多个资源共享身份的情况。
- 启用Secret Store CSI Driver使集成过程更顺畅，更安全，简化秘密管理，降低凭证暴露风险。
➡️
