Вашему приложению, размещенному в AKS, требуется TLS-сертификат и пароль к базе данных. Значения должны быть получены из Azure Key Vault при запуске пода через смонтированный том, а не храниться в etcd. Для некоторых сред вы также хотите, чтобы эти значения были доступны в виде Kubernetes Secrets для использования в качестве переменных среды. Что вы должны настроить?

Правильный ответ — это рекомендуемый и безопасный способ управления секретами в AKS. Провайдер Azure Key Vault для Secrets Store CSI Driver позволяет подам безопасно получать доступ к секретам из Key Vault через смонтированный том, не сохраняя их в etcd. Использование SecretProviderClass определяет, какие секреты из Key Vault должны быть доступны. Опция secretObjects позволяет синхронизировать выбранные секреты как Kubernetes Secrets, что удобно для использования в качестве переменных среды. Сохранение сертификата и пароля в Kubernetes ConfigMap (неправильный вариант) небезопасно, так как ConfigMap не предназначен для хранения конфиденциальных данных. Создание Kubernetes Secrets с пользовательским контроллером допуска (неправильный вариант) добавляет ненужную сложность и не является встроенным решением для интеграции с Key Vault. Встраивание сертификата и пароля в образ контейнера (неправильный вариант) крайне небезопасно, требует пересборки и переразвертывания образа при каждом изменении секрета и нарушает принцип разделения ответственности.