AKS üzerinde barındırılan uygulamanızın bir TLS sertifikasına ve bir veritabanı parolasına ihtiyacı var. Değerler, etcd'de depolanmak yerine pod başlatma sırasında bağlı bir birim aracılığıyla Azure Key Vault'tan alınmalıdır. Belirli ortamlar için, bu değerlerin ortam değişkenleri olarak kullanılmak üzere Kubernetes Secret'ları olarak da mevcut olmasını istiyorsunuz. Ne yapılandırmalısınız?

Doğru seçenek, hassas verileri Azure Key Vault'tan güvenli bir şekilde almak ve bunları Kubernetes pod'larına bağlamak için en iyi uygulamayı açıklar. Secrets Store CSI Driver, Key Vault'taki sırları doğrudan pod'lara bir birim olarak bağlamanıza olanak tanır, böylece sırların etcd'de depolanmasını veya uygulama koduna gömülmesini önler. SecretProviderClass nesnesi, hangi Key Vault sırlarının alınacağını ve nasıl eşleneceğini tanımlar. secretObjects özelliği, bu sırların belirli ortamlar için Kubernetes Secret'ları olarak da senkronize edilmesini sağlar, bu da onları ortam değişkenleri olarak kullanma esnekliği sunar. Diğer seçenekler güvenli veya pratik değildir: ConfigMap'ler hassas veriler için tasarlanmamıştır ve Base64 kodlu olsalar bile güvenli değildir. Özel bir admission controller kullanmak karmaşıklığı artırır ve CSI Driver'ın sağladığı yerleşik entegrasyon ve güvenlik avantajlarından yoksundur. Sertifikayı ve parolayı container image'ine dahil etmek, hassas verileri image'e gömer ve sır rotasyonu gerektiğinde image'in yeniden oluşturulmasını ve yeniden dağıtılmasını gerektirir, bu da verimsiz ve güvenli değildir.