Je AKS-gehoste applicatie heeft een TLS-certificaat en een databasewachtwoord nodig. De waarden moeten bij het opstarten van de pod via een gekoppeld volume uit Azure Key Vault worden gehaald, in plaats van te worden opgeslagen in etcd. Voor bepaalde omgevingen wil je deze waarden ook beschikbaar hebben als Kubernetes Secrets voor gebruik als omgevingsvariabelen. Wat moet je configureren?

De correcte optie beschrijft het gebruik van de Azure Key Vault provider voor de Secrets Store CSI Driver, wat de aanbevolen methode is om veilig geheimen van Azure Key Vault naar AKS-pods te brengen. Dit maakt het mogelijk om geheimen als gekoppelde volumes te gebruiken en, via secretObjects, geselecteerde items te synchroniseren naar Kubernetes Secrets voor gebruik als omgevingsvariabelen. Dit voldoet aan beide vereisten: gekoppelde volumes bij opstarten en beschikbaarheid als omgevingsvariabelen. De andere opties zijn minder veilig of efficiënt: Kubernetes ConfigMaps zijn niet bedoeld voor gevoelige informatie zoals certificaten en wachtwoorden. Een aangepaste admission controller voor het vernieuwen van Secrets is complexer en minder gestandaardiseerd dan de CSI Driver. Het inbakken van geheimen in containerimages is onveilig en vereist herimplementatie bij elke wijziging, wat onpraktisch is.