Atividade 09 - Vault

Para instalar o vault, crie um arquivo values.yaml com o seguinte conteúdo:

server:
  dev: 
    enabled: true
  ingress:
    enabled: true
    annotations:
      cert-manager.io/cluster-issuer: letsencrypt
    hosts:
    - host: vault.<IP_DO_INGRESS>.nuvem.unicamp.br
    tls:
    - secretName: vault-tls
      hosts:
      - vault.<IP_DO_INGRESS>.nuvem.unicamp.br

Instale o vault

helm install vault vault \
  --repo https://helm.releases.hashicorp.com \
  --namespace vault --create-namespace \
  --values values.yaml

Para ver o token inicial criado execute

kubectl -n vault logs vault-0

Verifique que o token criado foi “root”

Acesse http://vault.<IP_DO_INGRESS>.nuvem.unicamp.br e entre com o token

Crie um secret-engine chamado curso do tipo kv-v2

Crie um secret chamado senha dentro desse secret-engine, com os campos username=root e password=batata

Em Access -> Authentication Methods, clique em Enable new method, escolha Kubernetes, mantenha como Path kubernetes, e clique em Enable method

Em Kubernetes host coloque https://kubernetes.default.svc.cluster.local, e clique em Save

Clique em View method e em seguida em Create role

Preencha com os campos

Name = kubernetes-role
Bound service account name = default
Bound service account namespace = *

Expanda tokens e em Generated Token's Policies coloque kubernetes

Volte ao menu principal e clique em Policies e depois Create ACL policy

Coloque nome kubernetes e como policy

path "curso/*" {
   capabilities = ["read"]
}

Instale o operator

Crie o arquivo vso-values.yaml com o seguinte conteudo:

defaultVaultConnection:
  enabled: true
  address: http://vault.vault.svc.cluster.local:8200
defaultAuthMethod:
  enabled: true
  namespace: ""
  allowedNamespaces: ['*']
  method: kubernetes
  mount: kubernetes
  kubernetes:
    role: "kubernetes-role"
    serviceAccount: default
    tokenAudiences: []

helm install vault-secrets-operator vault-secrets-operator --repo https://helm.releases.hashicorp.com -n vault-secrets-operator-system --create-namespace --values vso-values.yaml

Crie um arquivo secret-vso.yaml com o seguinte conteudo:

apiVersion: secrets.hashicorp.com/v1beta1
kind: VaultStaticSecret
metadata:
  name: vault-password
spec:
  type: kv-v2
  # Mount path of the secrets backend
  mount: curso
  # Path to the secret
  path: senha

  # Where to store the secrets, end user will create the secret
  destination:
    create: true
    name: password

  # Restart these pods when secrets rotated
  # rolloutRestartTargets:
  # - kind: Deployment
  #   name: php
  # - kind: Deployment
  #   name: webserver

Aplique o yaml para criar o recurso

kubectl apply -f secret-vso.yaml

Verifique se a senha foi obtida do vault com sucesso

kubectl describe vaultstaticsecrets vault-password

Verifique se o secret foi criado com sucesso

kubectl get secrets password -o json | jq '.data | map_values(@base64d)'

Certificado TLS

Crie um registro no vault, no path certificados/meu-dominio, contendo o certificado (cert) e a chave (key).

Para fins didáticos, utilize o seguinte certificado:

cert:

key:

Crie um arquivo secret-vso-tls.yaml com o seguinte conteudo:

apiVersion: secrets.hashicorp.com/v1beta1
kind: VaultStaticSecret
metadata:
  name: vault-tls
spec:
  type: kv-v2
  # Mount path of the secrets backend
  mount: curso
  # Path to the secret
  path: certificados/meu-dominio

  # Where to store the secrets, end user will create the secret
  destination:
    create: true
    name: certificado-tls
    type: kubernetes.io/tls
    transformation:
      excludeRaw: true
      excludes:
        - cert
        - key
      templates:
        tls.key:
          text: '{{- printf "%s" (get .Secrets "key") -}}'
        tls.crt:
          text: '{{- printf "%s" (get .Secrets "cert") -}}'

Aplique o yaml para criar o recurso

kubectl apply -f secret-vso-tls.yaml

Verifique se o secret foi criado com sucesso

kubectl get secrets certificado-tls -o json | jq '.data | map_values(@base64d)'

Configuração via linha de comando

Caso deseje, é possível fazer a configuração do vault diretamente via linha de comando, acessando por:

kubectl -n vault exec -ti vault-0 -- /bin/sh

E executando os seguintes comandos

vault auth enable -path kubernetes kubernetes
vault write auth/kubernetes/config kubernetes_host="https://kubernetes.default.svc.cluster.local"
vault policy write kubernetes - <<EOF
path "curso/*" {
  capabilities = ["read"]
}
EOF
vault write auth/kubernetes/role/kubernetes-role bound_service_account_names=default bound_service_account_namespaces='*' policies=kubernetes ttl=24h
vault secrets enable -path=curso kv-v2
vault kv put curso/meu-secret chave1=valor1 chave2=valor2

Projeto

Altere o projeto para que ele use senhas vindas do vault