Интеграция с хранилищем HashiCorp Vault

Параметры использования HashiCorp Vault в конфигурационном файле values.yaml настраиваются следующим образом:

• Если в блоке vault параметр enabled имеет значение false, интеграция с хранилищем не используется.
• Если в блоке vault параметр enabled имеет значение true, интеграция с хранилищем задействована, и для решения приоритетными становятся значения переменных в блоке параметров vault.

В блоке параметров vault содержатся следующие разделы:

• secret – используется для указания секретов и учетных идентификационных данных.
• certificate – предназначен для указания сертификатов и ключей к сертификатам.

В разделе secret приводятся пути к файлам, где содержатся секреты для следующих параметров:

• Секреты прокси-серверов для запросов во внешнюю информационную среду.
• Учетные данные для базы данных PostgreSQL.
• Учетные данные для s3-совместимого файлового хранилища для хранения файлов, которые формируются в результате работы решения.
• Учетные данные для системы управления базами данных ClickHouse.

Секреты указываются в следующем формате key:value

где:

• <key> - имя переменной окружения;
• <value> - полный путь до секрета в хранилище секретов, после которого через знак @ указывается имя ключа секрета, создаваемого в хранилище.

Например: POSTGRES_USER: kv/secret/kcs/psql@POSTGRES_USER

В разделе vault.certificate для получения сертификатов в значении полей необходимо указать следующее:

• Для получения CA-сертификата параметру ca указывается значение true. При этом путь доступа к сертификату формируется на основе стандартного пути обращения cert/ca на основе имени в инфраструктуре открытых ключей (англ. Public Key Infrastructure, PKI). Если СА-сертификат не является корневым, с помощью параметра caList необходимо указать в виде списка все сертификаты, включая корневой сертификат. Например,

  cert-ca:

  ca: true

  tls.crt: pki_kcs/cert/ca

  caList:

  - pki/cert/ca

• Для генерирования сертификатов и ключей нужно указать путь из имени PKI со стандартным путем обращения issue и именем созданной роли. В сертификат автоматически добавятся общее имя (cn) и все возможные альтернативные имена (altname). При необходимости, значения cn, altname и ipsans можно указать вручную как показано ниже для внешней базы данных:

  cert-pguser:

  cn: pguser

  altname: pguser,pguser.psql,pguser.psql.svc,pguser.psql.svc.cluster.local,localhost

  ipsans: 0.0.0.0,127.0.0.1

• Для определения времени жизни сертификатов необходимо указать значение параметра ttl. По умолчанию установлено значение 8760 часов.

  Значение параметра не может быть больше значения, установленного в PKI HashiCorp Vault.

В разделе certificate также приводятся пути к файлам, где содержатся следующие сертификаты и ключи:

• СА-сертификат и сертификат клиента для внешней базы данных PostgreSQL.
• Сертификаты, необходимые для работы компонентов решения:
  • СА-сертификат и ключ к СА-сертификату для обеспечения работы контроллера доступа.
  • Сертификат и ключ к сертификату для функционирования модуля лицензирования Kaspersky Container Security.
  • Сертификат и ключ к сертификату для работы модуля основной бизнес-логики решения.
  • Сертификат и ключ к сертификату для платформы удаленного вызова процедур (GRPC).
  • Сертификат и ключ к сертификату для функционирования сканер-сервера.
  • Сертификат и ключ к сертификату для API сканер-сервера.
  • Сертификат и ключ к сертификату для работы файл-сервера обновлений для закрытых контуров.
  • Сертификат и ключ к сертификату для s3-совместимого файлового хранилища.
  • Сертификат и ключ к сертификату для брокера событий.
  • Сертификат и ключ к сертификату для брокера агентов.
  • Сертификат и ключ к сертификату для системы управления базами данных ClickHouse.

Для работы Kaspersky Container Security с внешним хранилищем HashiCorp Vault в конфигурационном файле values.yaml необходимо указать значения следующих конфигурационных параметров:

• enabled – флаг включения интеграции с хранилищем. Значение переменной vault.enabled = true указывает на то, что интеграция с HashiCorp Vault осуществлена, значения переменных окружения получаются из хранилища. По умолчанию указано значение false.
• mountPath – путь монтирования секретов из хранилища Vault в под. По умолчанию указано значение /vault/secrets.
• role – роль, под которой будет осуществляться аутентификация в хранилище.

  При создании роли в Vault требуется указать для нее все имеющиеся значения из раздела serviceAccount в файле values.yaml.

• agentInitFirst – переменная для определения очереди инициализации init-контейнера. Значение переменной true указывает на то, что под сначала выполняет инициализацию init-контейнера Vault. Это значение необходимо задать, когда другим контейнерам инициализации нужны для работы предварительно загруженные секреты. Если установлено значение false, порядок инициализации контейнеров определяется случайным образом. По умолчанию указано значение true.
• agentPrePopulate – переменная включения init-контейнера для предварительного заполнения общей памяти секретами перед запуском контейнеров. По умолчанию указано значение true.
• agentPrePopulateOnly – переменная, которая указывает, будет ли init-контейнер единственным внедренным в под контейнером. Если задано значение true, sidecar-контейнер не добавляется при выполнении пода. По умолчанию установлено значение false.
• preserveSecretCase – переменная сохранения регистра в именах секретов при создании файлов секретов. По умолчанию установлено значение true.
• agentInjectPerms – переменная, определяющая права доступа к монтируемому файлу с секретами из хранилища. По умолчанию указано значение 0440 (владелец и группа имеют право на чтение).
• annotations – инструкции по конфигурации правильной работы sidecar-контейнера. Вы можете добавить инструкции в блок vault для использования всеми компонентами Helm Chart или указать их в разделе Architecture отдельно для каждого компонента, например:

  kcs-middleware:

  enabled: true

  appType: deployment

  annotations:

  vault.hashicorp.com/agent-limits-cpu: 200m