24.云原生ArgoCD高级之数据加密seale sealed

最新推荐文章于 2024-04-08 11:00:08 发布
最新推荐文章于 2024-04-08 11:00:08 发布
阅读量1.2w 收藏 23
点赞数 22
分类专栏： 私有云+云原生实战 文章标签： 云原生 argocd
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45690643/article/details/135938973
版权

云原生专栏大纲

文章目录

数据加密之seale sealed

kustomize项目中secret.yaml中DB配置只是简单加密存在安全问题，两种解决方案：

  1. secret.yaml不要暴露到项目中，运维人员提前在kubesphere中创建；

secret不跟项目绑定在k8s上不好管理，使用kubesphere中的保密字典能解决这个问题

  1. 暴露出secret.yaml需加密

image.png
参考secret加密管理方案，选择使用Bitnami Sealed Secrets

Bitnami Sealed Secrets介绍

Bitnami Sealed Secrets 是一个用于加密和管理敏感信息的工具，它是基于 Kubernetes 的 Sealed Secrets 控制器。Sealed Secrets 可以安全地存储和传输敏感的密钥、密码、API 密钥等信息，确保这些信息在存储和传输过程中不会被泄露。
下面是 Bitnami Sealed Secrets 的一些主要特点和工作原理：

  1. 加密敏感信息：Bitnami Sealed Secrets 使用公钥/私钥加密方案，将敏感信息加密为 Sealed Secrets 对象。只有持有私钥的人才能解密和读取这些信息。
  2. GitOps 集成：Sealed Secrets 可以与 GitOps 工作流程集成，使敏感信息的管理更加自动化和可追踪。您可以将加密的 Sealed Secrets 对象存储在 Git 存储库中，将其作为代码的一部分进行版本控制和协作。
  3. 密钥管理：Bitnami Sealed Secrets 提供了密钥管理工具，用于生成和管理公钥/私钥对。这些密钥对用于加密和解密 Sealed Secrets 对象。
  4. 控制器和解封工具：Bitnami Sealed Secrets 包含一个 Kubernetes 控制器，用于将 Sealed Secrets 对象解密为原始的 Secret 对象。解封工具可用于在非 Kubernetes 环境中解密 Sealed Secrets 对象。

使用 Bitnami Sealed Secrets，您可以更安全地管理和传输敏感信息，同时保持操作的自动化和可追踪性。它适用于需要在 Kubernetes 环境中存储和使用敏感信息的场景，如密码、API 密钥、数据库凭据等。通过加密和密钥管理，Bitnami Sealed Secrets 提供了一种可靠的方式来保护敏感信息，并确保只有授权的人员能够访问和使用这些信息。

Bitnami Sealed Secrets工作流程

image.png
Bitnami Sealed Secrets 的工作流程如下：

  1. 生成密钥对：首先，您需要生成公钥/私钥对，用于加密和解密敏感信息。这可以通过 Bitnami Sealed Secrets 提供的密钥管理工具完成。生成的公钥将用于加密敏感信息，并将其存储为 Sealed Secrets 对象。
  2. 加密敏感信息：使用生成的公钥，您可以将敏感信息加密为 Sealed Secrets 对象。这可以通过将敏感信息转换为 Kubernetes Secret 对象，然后使用 Sealed Secrets 控制器将其加密为 Sealed Secrets 对象来实现。
  3. 存储 Sealed Secrets 对象：加密后的 Sealed Secrets 对象可以存储在 Git 存储库中，作为代码的一部分进行版本控制和协作。在存储库中，Sealed Secrets 对象将被视为不可读的密文。
  4. 部署 Sealed Secrets 控制器：在 Kubernetes 集群中部署 Sealed Secrets 控制器。该控制器将负责监视并解密存储在 Sealed Secrets 对象中的敏感信息，并将其转换为原始的 Kubernetes Secret 对象。
  5. 解密敏感信息：一旦 Sealed Secrets 控制器在集群中运行，它将自动解密 Sealed Secrets 对象，并将其转换为原始的 Secret 对象。这样，其他应用程序和服务就可以使用这些解密后的敏感信息，如密码、API 密钥等。

通过这个工作流程，Bitnami Sealed Secrets 提供了一种安全的方式来管理和使用敏感信息。敏感信息在存储和传输过程中都是加密的，只有在运行 Sealed Secrets 控制器的 Kubernetes 集群中才能被解密和使用。这样可以保护敏感信息免受未经授权的访问和泄露。同时，使用 GitOps 工作流程，可以将加密的 Sealed Secrets 对象与代码一起进行版本控制和协作，提高开发团队的效率和安全性。

安装sealed-secrets和kubeseal

选择版本：https://github.com/bitnami-labs/sealed-secrets/releases 下载如下文件
image.png

安装sealed-secrets-controller

介绍两种部署方式：
方式1：选择版本：https://github.com/bitnami-labs/sealed-secrets/releases

kubectl apply -f https://github.com/bitnami-labs/sealed-secrets/releases/download/v0.25.0/controller.yaml

# 修改文件中镜像地址
# 将image: docker.io/bitnami/sealed-secrets-controller:0.25.0
# 修改为ghcr.io/bitnami-labs/sealed-secrets-controller:0.25.0
# 参考https://github.com/bitnami-labs/sealed-secrets/pkgs/container/sealed-secrets-controller

安装后再kubesphere系统组件中会出现如下信息：
image.png
并生成保密字典信息：
image.png
方式2：在kubesphere中通过应用仓库部署
image.png
image.png
image.png

安装kubeseal

# -0 kubeseal将下载文件保存问当前目录下kubeseal
wget https://github.com/bitnami-labs/sealed-secrets/releases/download/v0.25.0/kubeseal-linux-amd64 -0 kubeseal

mv kubeseal /usr/local/bin/kubeseal
# 验证
kubeseal --version

Kubeseal 是一个用于创建和管理 Sealed Secrets 的工具，它是 Bitnami Sealed Secrets 的一部分。Kubeseal 通过与 Kubernetes API 交互，可以生成 Sealed Secrets 对象并将其加密为密文，以便安全地存储和传输敏感信息。
下面是 Kubeseal 的一些主要特点和用法：

  1. 生成 Sealed Secrets 对象：使用 Kubeseal，您可以从现有的 Kubernetes Secret 对象生成 Sealed Secrets 对象。这可以通过运行命令行工具来完成，工具会将 Secret 对象的内容加密并生成相应的 Sealed Secrets 对象。
  2. 加密敏感信息：Kubeseal 使用 Sealed Secrets 控制器的公钥来加密敏感信息。在生成 Sealed Secrets 对象时，Kubeseal 会自动获取集群中的 Sealed Secrets 控制器的公钥，并使用该公钥对敏感信息进行加密。
  3. 密钥管理：Kubeseal 可以与密钥管理工具集成，用于生成和管理 Sealed Secrets 控制器所需的公钥/私钥对。这些密钥对用于加密和解密 Sealed Secrets 对象。
  4. GitOps 集成：Kubeseal 可以与 GitOps 工作流程集成，使生成的 Sealed Secrets 对象可以与代码一起进行版本控制和协作。您可以将生成的 Sealed Secrets 对象存储在 Git 存储库中，确保敏感信息的安全性和可追踪性。

使用 Kubeseal，您可以更方便地创建和管理 Sealed Secrets 对象，将敏感信息加密为密文，并确保只有在运行 Sealed Secrets 控制器的 Kubernetes 集群中才能解密和使用这些信息。它简化了 Sealed Secrets 的生成过程，并提供了与密钥管理和 GitOps 的集成，使敏感信息的管理更加自动化和可靠。

通过kubeseal将sealed-secrets公钥拿出来

可以通过kubesphere查看保密字典或者通过k8s命令查看拷贝出来，手动操作可能会出错，推荐使用kubeseal将公钥拿出来

# 备份公钥
kubeseal --fetch-cert > public-cert.pem

将公钥拷贝到argocd-in-action测试项目argocd-in-action下

通过kubeseal加密secrets

https://github.com/ppsite/argocd-in-action

  1. secret.yaml如下：
apiVersion: v1
kind: Secret
metadata:
  name: db-connection
  namespace: flask-demo
type: Opaque
data:
  DB_NAME: ZGVtbw==
  DB_USERNAME: cm9vdA==
  DB_PASSWORD: cGFzc3dvcmQ=
  DB_HOST: MTI3LjAuMC4x
  DB_PORT: OTUyNw==

DB明文内容如下：
image.png

  1. 加密secret.yaml
kubeseal --format=yaml --cert ./public-cert.pem < secret.yaml > secret-sealed.yaml

这个命令使用了 kubeseal 工具，它是一个用于密钥管理和加密 Kubernetes Secrets 的工具。让我们逐步解释这个命令的每个部分：

  • kubeseal: 这是执行密钥管理和加密操作的命令。
  • –format=yaml: 这个选项指定输出的格式为 YAML。它告诉 kubeseal 命令将密封（sealed）的 Secret 输出为 YAML 格式。
  • –cert .public-cert.pem: 这个选项指定了用于密封操作的公钥证书文件。./public-cert.pem 是公钥证书的文件路径。密封操作使用公钥来加密 Secrets。
  • < secret.yaml: 这个符号 < 表示将 secret.yaml 文件作为输入传递给 kubeseal 命令。secret.yaml 是包含要密封的 Secret 数据的文件。

  • secret-sealed.yaml: 这个符号 > 表示将 kubeseal 命令的输出重定向到 secret-sealed.yaml 文件中。secret-sealed.yaml 是生成的密封（sealed）的 Secret 数据的输出文件。

综合来说，这个命令的作用是将 secret.yaml 文件中的 Secret 数据进行加密，并将加密后的结果保存到 secret-sealed.yaml 文件中。加密操作使用了 kubeseal 命令所指定的公钥证书文件（.public-cert.pem）。密封（sealed）的 Secret 数据可以安全地存储或传输，只有拥有相应私钥的人才能解密并访问其中的数据。这样可以确保在 Kubernetes 集群中管理敏感信息时的安全性。

替换kustomize下secret为加密secret

  1. 查看secret-sealed.yaml文件，发现DB配置已经加密：
---
apiVersion: bitnami.com/v1alpha1
kind: SealedSecret
metadata:
  creationTimestamp: null
  name: db-connection
  namespace: flask-demo
spec:
  encryptedData:
    DB_HOST: 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
    DB_NAME: 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
    DB_PASSWORD: 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
    DB_PORT: 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
    DB_USERNAME: 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
  template:
    metadata:
      creationTimestamp: null
      name: db-connection
      namespace: flask-demo
    type: Opaque
  1. 替换argocd-in-action测试项目kustomize下的secret.yaml为secret-sealed.yaml

image.png

创建argocd应用测试

image.png
发现SealedSecret创建失败，点击进入查看具体原因，提示资源已经存在
image.png
修改secret-sealed.yaml下db-connection名称，删除flask-demo名称空间，重新同步：
image.png
提示没有秘钥可以解密，查看sealed-secrets-controlled日志：

 Error updating flask-demo/db-connection-secret-sealed, giving up: no key could decrypt secret (DB_HOST, DB_NAME, DB_PASSWORD, DB_PORT, DB_USERNAME)

 E0122 09:10:20.514766       1 controller.go:277] no key could decrypt secret (DB_HOST, DB_NAME, DB_PASSWORD, DB_PORT, DB_USERNAME)

 Event(v1.ObjectReference{Kind:"SealedSecret", Namespace:"flask-demo", Name:"db-connection-secret-sealed", UID:"b6e760eb-8260-4e90-b2ac-56d439f59216", APIVersion:"bitnami.com/v1alpha1", ResourceVersion:"11922787", FieldPath:""}): type: 'Warning' reason: 'ErrUnsealFailed' Failed to unseal: no key could decrypt secret (DB_HOST, DB_NAME, DB_PASSWORD, DB_PORT, DB_USERNAME)

备份公钥私钥容灾处理

  1. 备份私钥
kubectl get secret -n kube-system -l sealedsecrets.bitnami.com/sealed-secrets-key -o yaml > private.key
  • kubectl: Kubernetes 命令行工具，用于与 Kubernetes 集群进行交互。
  • get secret: 获取 Kubernetes 集群中的 Secret 资源。
  • -n kube-system: 指定命令在 kube-system 命名空间中执行，即获取 kube-system 命名空间下的 Secret。
  • -l sealedsecrets.bitnami.com/sealed-secrets-key: 使用标签选择器，只返回具有指定标签的 Secret。这里的标签是 sealedsecrets.bitnami.com/sealed-secrets-key。
  • -o yaml: 指定输出格式为 YAML。将获取的 Secret 资源以 YAML 格式打印到标准输出。

  • private.key: 将标准输出的内容重定向到 private.key 文件中。这将把 YAML 输出保存到名为 private.key 的文件中。

因此，该命令的作用是获取位于 kube-system 命名空间下，具有标签 sealedsecrets.bitnami.com/sealed-secrets-key 的 Secret 资源，并将其以 YAML 格式保存到名为 private.key 的文件中。这个文件可能包含密钥或其他敏感信息，用于后续操作或配置。

  1. 模拟灾难：卸载sealed-secrets-controller
kubectl delete -f https://github.com/bitnami-labs/sealed-secrets/releases/download/v0.25.0/controller.yaml

上述操作不会删除secrets

  1. 恢复
# 先导入私钥
kubetl apply -f private.key
# 重建sealed-secrets-controller
kubectl apply -f https://github.com/bitnami-labs/sealed-secrets/releases/download/v0.25.0/controller.yaml
野心与梦
关注
专栏目录
K8S Secret管理之SealedSecrets
Blue summer的博客
05-20 922
我们通常将应用程序使用的密码、API密钥保存在K8S Secret中，然后应用去引用。对于这些敏感信息，安全性是至关重要的，而传统的存储方式可能会导致密钥在存储、传输或使用过程中受到威胁，例如在git中明文存储密码或在配置文件中以明文形式存放密码。
项目启动报错java.lang.SecurityException: sealing violation: package oracle.jdbc is sealed
qq_39194975的博客
03-07 3959
新导入的项目，启动时报了oracle.jdbc is sealed，去搜索了一波，都说是maven仓库的jar重复冲突了，于是把maven仓库干掉，拿来别人能使用的maven仓库，但是依然没有解决这个报错，索性这个报错并不是maven仓库的问题 Caused by: java.lang.SecurityException: sealing violation: package oracle...
sealed-secrets
03-10
密封的秘密
Argo CD使用
最新发布
weixin_43539320的博客
04-08 999
通过kubectl的方式安装，测试环境使用。
sealed-secrets, 一种Kubernetes控制器和一种加密密钥.zip
10-09
sealed-secrets, 一种Kubernetes控制器和一种加密密钥 用于Kubernetes的"密封的机密" 我能在git中管理所有的K8s配置，除了秘密。"解决方案： 将秘密加密到一个SealedSecret中，这对存储- 甚至是一个存储库来说是安全的。 在目标集群中运行的控制器只能解密 Se
C# 多线程调用静态方法或者静态实例中的同一个方法-方法内部的变量是线程安全的...
weixin_33933118的博客
12-14 5871
 C#  多线程调用静态方法或者静态实例中的同一个方法-方法内部的变量是线程安全的       using System;using System.Threading;using System.Threading.Tasks;using System.Diagnostics;using System.Reflection; namespace MulThreadTest{ class...
一种新的惯性约束聚变用靶在线监测技术
02-10
为了实现惯性约束聚变(ICF)用靶的高精度定位,需要对靶的位姿进行监测。传统的视觉监测方法对照明、靶姿态等非常敏感,常需要人工参与判别。将尺度恒定特征变换(SIFT)算法引入到ICF靶监测领域,实现一种基于SIFT特征...
论文研究 - 勘误表“在临床干预程序中评估悬浮个人辐射防护系统与传统围裙和防护罩的对比” [放射学开放期刊3（2013）143-151]
05-31
Seale IV，C。Shaw，B。Angela，D。Marichal和C. Rees，“临床中对悬浮个人辐射防护系统与常规围裙和防护罩的评估介入手术”，《开放放射学杂志》，第3期，第143-151页。http://dx.doi.org/10.4236/ojrad.2013.33024...
Đất nền Đồng Nai-crx插件
04-05
商业领域：- 土地地面项目（Bien Hoa Land，Giang Dien的土地，Vien，Long Duc Land，Tam Phuoc Land，Land Seale Phuoc Tan，Long Thanh Land，Nhon Trach Land，固定电话土地，永恒的土地......）形成与发展史NAM...
sealed-secrets-web:Web界面，用于Bitnami的Sealed Secrets
05-12
Bitnami的的Web界面。 Sealed Secrets Web是Bitnami的的Web界面。 Web界面使您可以编码，解密密钥的data字段中的密钥，加载现有的“密封的秘密”并创建“密封的秘密”。 它在使用命令行工具来加密您的秘密。 Web界面应安装到您的Kubernetes集群，因此您的开发人员不需要通过kubectl访问您的集群。 编码： Base64以秘密方式对data字段中的每个密钥进行编码。 解码： Base64秘密解密data字段中的每个密钥。 机密：返回所有名称空间中所有密封机密的列表。 单击“密封的机密”，将加载解密的Kubernetes机密。 密封：加密Kubernetes机密并创建密封的机密。 安装 可以通过我们的Helm图表安装sealed-secrets-web ： helm repo add ricoberger https://ricoberg
bitnami-sealed-secrets:kubernetes秘密管理工具-Bitnami
04-01
比塔南密闭的秘密 kubernetes秘密管理工具-Bitnami Bitnami密封的秘密 安装 helm repo add sealed-secrets https://bitnami-labs.github.io/sealed-secrets 用法 # Create a json/yaml-encoded Secret somehow: # (note use of `--dry-run` - this is just a local file!) $ echo -n bar | kubectl create secret generic mysecret --dry-run=client --from-file=foo=/dev/stdin -o json >mysecret.json # This is the important bit: # (note default for
kubernetes-加密 Secrets
qq_22648091的博客
03-29 504
默认 Secrets 对象的值是 base64 编码的内容，这个可以反编码得到原文的，不能起到加密重要密文的作用。解决方法是使用开源的 Sealed Secrets。
OpenShift 4 - 在 GitOps 中使用 SealedSecret 保护敏感数据
多恩斯基的博客
10-09 500
在 Kubernetes 或 OpenShift 环境中通常使用 Secret 类型对象保存用户和密码等敏感信息。虽然 Secret 会使用 Base64 对明文数据进行加密保存，但是这还不够安全。尤其是在基于 GitOps 的自动化部署过程中，保存这些敏感数据的 Secret 就放在可能任何人都可以访问的 Git Repository 中，因此就需要保护在 GitOps 过程中使用的 Secret 敏感数据。
Kubernetes 通过 Sealed Secrets 实现加密部署
engchina的专栏
01-29 748
Kubernetes 通过 Sealed Secrets 实现加密部署
C#sealed关键字
浮生若梦 为欢几何
10-09 9542
sealed关键字用法概括
Kubernetes 中的 Secret加密存储
丰耳的博客
01-03 1290
为安全方便的将K8S的secret进行git版本，需要引入对secret进行加密的工具：Sealed-Secrets
【GitOps系列】如何解决 GitOps 的秘钥存储问题？
Kason_iWiki
08-14 522
在实际的业务场景下，出于安全需要，Git 仓库往往会包含下面这些机密信息。镜像拉取凭据的 Secret 对象，它可以为集群提供拉取镜像的权限。外部数据库连接信息。外部中间件如 MQ 连接信息。第三方服务的 API KEY，例如云厂商和短信服务商。在 GitOps 工作流中，这些机密信息都会通过 Kubernetes 对象存放在 Git 仓库，在大部分情况下它们是 Configmap 或 Secret 对象。
GitOps 工具 Argo CD 实战教程
因上努力，果上随缘。但行好事，莫问前程。
08-18 2341
Argo CD 是一个为 Kubernetes 而生的，遵循声明式 GitOps 理念的持续部署工具。Argo CD 可在 Git 存储库更改时自动同步和部署应用程序。Argo CD 遵循 GitOps 模式，使用 Git 仓库作为定义所需应用程序状态的真实来源，Argo CD 支持多种 Kubernetes 清单：kustomizeArgo CD 可在指定的目标环境中自动部署所需的应用程序状态，应用程序部署可以在 Git 提交时跟踪对分支、标签的更新，或固定到清单的指定版本。......
命名空间system中不存在data_如何在 Git 中存储 Kubernetes Secrets 资源
weixin_39990410的博客
11-24 211
前面我们和大家提到过 GitOps 的实践，我们知道 GitOps 是提倡通过 Git 来管理所有的配置，通过声明式代码来对环境配置和基础设施进行版本管理。在 Kubernetes 中我们知道可以使用资源清单文件来管理集群中的一资源对象，但是讲 Kubernetes 的 Secrets 数据存储在 Git 仓库中还是非常不妥的，毕竟也是非常不安全的。Kubernetes Secrets ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值