Ihre AKS-gehostete Anwendung benötigt ein TLS-Zertifikat und ein Datenbankpasswort. Die Werte müssen beim Start des Pods über ein gemountetes Volume aus Azure Key Vault bezogen werden, anstatt in etcd gespeichert zu werden. Für ausgewählte Umgebungen möchten Sie diese Werte auch als Kubernetes Secrets für die Verwendung als Umgebungsvariablen verfügbar machen. Was sollten Sie konfigurieren?

Die Aktivierung des Azure Key Vault-Providers für den Secrets Store CSI Driver ist die empfohlene Methode. Sie ermöglicht das direkte Mounten von Key Vault-Geheimnissen als Dateisystem in Pods, ohne dass die Geheimnisse in etcd gespeichert werden. Die SecretProviderClass definiert, welche Key Vault-Objekte abgerufen werden sollen. Die secretObjects-Konfiguration innerhalb der SecretProviderClass synchronisiert ausgewählte Geheimnisse zusätzlich als Kubernetes Secrets, was deren Nutzung als Umgebungsvariablen ermöglicht. Das Speichern in einer Kubernetes ConfigMap ist unsicher für sensible Daten. Das Erstellen von Kubernetes Secrets mit einem benutzerdefinierten Admission Controller ist komplex und nicht die idiomatische Lösung für die Integration mit Key Vault. Das Einbacken in das Container-Image ist unflexibel und erfordert bei jeder Änderung einen Neu-Deploy.