commit first work from 1.19 milestone

2021-05-26 10:10:10 +00:00
parent 6866260642
commit 73b3cf8784
134 changed files with 4305 additions and 2983 deletions
@@ -0,0 +1,6 @@
+---
+title: "Secretの管理"
+weight: 28
+description: Secretを使用した機密設定データの管理
+---
+
@@ -0,0 +1,183 @@
+---
+title: 設定ファイルを使用してSecretを管理する
+content_type: task
+weight: 20
+description: リソース設定ファイルを使用してSecretを作成する
+---
+
+<!-- overview -->
+
+## {{% heading "prerequisites" %}}
+
+{{< include "task-tutorial-prereqs.md" >}}
+
+<!-- steps -->
+
+## 設定ファイルを作成する
+
+あらかじめYAMLまたはJSON形式でSecretのマニフェストを作成したうえで、オブジェクトを作成することができます。
+[Secret](/docs/reference/generated/kubernetes-api/{{< param "version" >}}/#secret-v1-core)リソースには、`data`と`stringData`の2つのマップが含まれています。
+`data`フィールドは任意のデータを格納するのに使用され、base64でエンコードされます。
+`stringData`フィールドは利便性のために用意されており、Secretデータをエンコードされていない文字列として提供することができます。
+`data`と`stringData`のキーは、英数字、`-`、`_`、`.`で構成されている必要があります。
+
+たとえば、`data`フィールドを使用して2つの文字列をSecretに格納するには、次のように文字列をbase64に変換します:
+
+```shell
+echo -n 'admin' | base64
+```
+
+出力は次のようになります:
+
+```
+YWRtaW4=
+```
+
+```shell
+echo -n '1f2d1e2e67df' | base64
+```
+
+出力は次のようになります:
+
+```
+MWYyZDFlMmU2N2Rm
+```
+
+以下のようなSecret設定ファイルを記述します:
+
+```yaml
+apiVersion: v1
+kind: Secret
+metadata:
+  name: mysecret
+type: Opaque
+data:
+  username: YWRtaW4=
+  password: MWYyZDFlMmU2N2Rm
+```
+
+なお、Secretオブジェクトの名前は、有効な[DNSサブドメイン名](/ja/docs/concepts/overview/working-with-objects/names#dns-subdomain-names)である必要があります。
+
+{{< note >}}
+SecretデータのシリアライズされたJSONおよびYAMLの値は、base64文字列としてエンコードされます。
+文字列中の改行は不正で、含まれていてはなりません。
+Darwin/macOSで`base64`ユーティリティーを使用する場合、長い行を分割するために`-b`オプションを使用するのは避けるべきです。
+逆に、Linux ユーザーは、`base64` コマンドにオプション`-w 0`を追加するか、`-w`オプションが利用できない場合には、パイプライン`base64 | tr -d '\n'`を追加する*必要があります*。
+{{< /note >}}
+
+特定のシナリオでは、代わりに`stringData`フィールドを使用できます。
+このフィールドでは、base64エンコードされていない文字列を直接Secretに入れることができ、Secretの作成時や更新時には、その文字列がエンコードされます。
+
+たとえば、設定ファイルを保存するためにSecretを使用しているアプリケーションをデプロイする際に、デプロイプロセス中に設定ファイルの一部を入力したい場合などが考えられます。
+
+たとえば、次のような設定ファイルを使用しているアプリケーションの場合:
+
+```yaml
+apiUrl: "https://my.api.com/api/v1"
+username: "<user>"
+password: "<password>"
+```
+
+次のような定義でSecretに格納できます:
+
+```yaml
+apiVersion: v1
+kind: Secret
+metadata:
+  name: mysecret
+type: Opaque
+stringData:
+  config.yaml: |
+    apiUrl: "https://my.api.com/api/v1"
+    username: <user>
+    password: <password>
+```
+
+## Secretを作成する
+
+[`kubectl apply`](/docs/reference/generated/kubectl/kubectl-commands#apply)でSecretを作成します:
+
+```shell
+kubectl apply -f ./secret.yaml
+```
+
+出力は次のようになります:
+
+```
+secret/mysecret created
+```
+
+## Secretを確認する
+
+`stringData`フィールドは、書き込み専用の便利なフィールドです。Secretを取得する際には決して出力されません。たとえば、次のようなコマンドを実行した場合:
+
+```shell
+kubectl get secret mysecret -o yaml
+```
+
+出力は次のようになります:
+
+```yaml
+apiVersion: v1
+kind: Secret
+metadata:
+  creationTimestamp: 2018-11-15T20:40:59Z
+  name: mysecret
+  namespace: default
+  resourceVersion: "7225"
+  uid: c280ad2e-e916-11e8-98f2-025000000001
+type: Opaque
+data:
+  config.yaml: YXBpVXJsOiAiaHR0cHM6Ly9teS5hcGkuY29tL2FwaS92MSIKdXNlcm5hbWU6IHt7dXNlcm5hbWV9fQpwYXNzd29yZDoge3twYXNzd29yZH19
+```
+
+`kubectl get`と`kubectl describe`コマンドはデフォルトではSecretの内容を表示しません。
+これは、Secretが不用意に他人にさらされたり、ターミナルログに保存されたりしないようにするためです。
+エンコードされたデータの実際の内容を確認するには、[Secretのデコード](/ja/docs/tasks/configmap-secret/managing-secret-using-kubectl/#decoding-secret)を参照してください。
+
+`username`などのフィールドが`data`と`stringData`の両方に指定されている場合は、`stringData`の値が使われます。
+たとえば、以下のようなSecretの定義の場合:
+
+```yaml
+apiVersion: v1
+kind: Secret
+metadata:
+  name: mysecret
+type: Opaque
+data:
+  username: YWRtaW4=
+stringData:
+  username: administrator
+```
+
+結果は以下の通りです:
+
+```yaml
+apiVersion: v1
+kind: Secret
+metadata:
+  creationTimestamp: 2018-11-15T20:46:46Z
+  name: mysecret
+  namespace: default
+  resourceVersion: "7579"
+  uid: 91460ecb-e917-11e8-98f2-025000000001
+type: Opaque
+data:
+  username: YWRtaW5pc3RyYXRvcg==
+```
+
+`YWRtaW5pc3RyYXRvcg==`をデコードすると`administrator`となります。
+
+## クリーンアップ
+
+作成したSecretを削除するには次のコマンドを実行します:
+
+```shell
+kubectl delete secret mysecret
+```
+
+## {{% heading "whatsnext" %}}
+
+- [Secretのコンセプト](/ja/docs/concepts/configuration/secret/)を読む
+- [kubectlを使用してSecretを管理する](/ja/docs/tasks/configmap-secret/managing-secret-using-kubectl/)方法を知る
+- [kustomizeを使用してSecretを管理する](/docs/tasks/configmap-secret/managing-secret-using-kustomize/)方法を知る
@@ -0,0 +1,146 @@
+---
+title: kubectlを使用してSecretを管理する
+content_type: task
+weight: 10
+description: kubectlコマンドラインを使用してSecretを作成する
+---
+
+<!-- overview -->
+
+## {{% heading "prerequisites" %}}
+
+{{< include "task-tutorial-prereqs.md" >}}
+
+<!-- steps -->
+
+## Secretを作成する
+
+`Secret`はデータベースにアクセスするためにPodが必要とするユーザー資格情報を含めることができます。
+たとえば、データベース接続文字列はユーザー名とパスワードで構成されます。
+ユーザー名はローカルマシンの`./username.txt`に、パスワードは`./password.txt`に保存します。
+
+```shell
+echo -n 'admin' > ./username.txt
+echo -n '1f2d1e2e67df' > ./password.txt
+```
+
+上記の2つのコマンドの`-n`フラグは、生成されたファイルにテキスト末尾の余分な改行文字が含まれないようにします。
+`kubectl`がファイルを読み取り、内容をbase64文字列にエンコードすると、余分な改行文字もエンコードされるため、これは重要です。
+
+`kubectl create secret`コマンドはこれらのファイルをSecretにパッケージ化し、APIサーバー上にオブジェクトを作成します。
+
+```shell
+kubectl create secret generic db-user-pass \
+  --from-file=./username.txt \
+  --from-file=./password.txt
+```
+
+出力は次のようになります:
+
+```
+secret/db-user-pass created
+```
+
+ファイル名がデフォルトのキー名になります。オプションで`--from-file=[key=]source`を使用してキー名を設定できます。たとえば:
+
+```shell
+kubectl create secret generic db-user-pass \
+  --from-file=username=./username.txt \
+  --from-file=password=./password.txt
+```
+
+`--from-file`に指定したファイルに含まれるパスワードの特殊文字をエスケープする必要はありません。
+
+また、`--from-literal=<key>=<value>`タグを使用してSecretデータを提供することもできます。
+このタグは、複数のキーと値のペアを提供するために複数回指定することができます。
+`$`、`\`、`*`、`=`、`!`などの特殊文字は[シェル](https://en.wikipedia.org/wiki/Shell_(computing))によって解釈されるため、エスケープを必要とすることに注意してください。
+ほとんどのシェルでは、パスワードをエスケープする最も簡単な方法は、シングルクォート(`'`)で囲むことです。
+たとえば、実際のパスワードが`S!B\*d$zDsb=`の場合、次のようにコマンドを実行します:
+
+```shell
+kubectl create secret generic dev-db-secret \
+  --from-literal=username=devuser \
+  --from-literal=password='S!B\*d$zDsb='
+```
+
+## Secretを検証する
+
+Secretが作成されたことを確認できます:
+
+```shell
+kubectl get secrets
+```
+
+出力は次のようになります:
+
+```
+NAME                  TYPE                                  DATA      AGE
+db-user-pass          Opaque                                2         51s
+```
+
+`Secret`の説明を参照できます:
+
+```shell
+kubectl describe secrets/db-user-pass
+```
+
+出力は次のようになります:
+
+```
+Name:            db-user-pass
+Namespace:       default
+Labels:          <none>
+Annotations:     <none>
+
+Type:            Opaque
+
+Data
+====
+password:    12 bytes
+username:    5 bytes
+```
+
+`kubectl get`と`kubectl describe`コマンドはデフォルトでは`Secret`の内容を表示しません。
+これは、`Secret`が不用意に他人にさらされたり、ターミナルログに保存されたりしないようにするためです。
+
+## Secretをデコードする  {#decoding-secret}
+
+先ほど作成したSecretの内容を見るには、以下のコマンドを実行します:
+
+```shell
+kubectl get secret db-user-pass -o jsonpath='{.data}'
+```
+
+出力は次のようになります:
+
+```json
+{"password":"MWYyZDFlMmU2N2Rm","username":"YWRtaW4="}
+```
+
+`password`のデータをデコードします:
+
+```shell
+echo 'MWYyZDFlMmU2N2Rm' | base64 --decode
+```
+
+出力は次のようになります:
+
+```
+1f2d1e2e67df
+```
+
+## クリーンアップ
+
+作成したSecretを削除するには次のコマンドを実行します:
+
+```shell
+kubectl delete secret db-user-pass
+```
+
+<!-- discussion -->
+
+## {{% heading "whatsnext" %}}
+
+- [Secretのコンセプト](/ja/docs/concepts/configuration/secret/)を読む
+- [設定ファイルを使用してSecretを管理する](/ja/docs/tasks/configmap-secret/managing-secret-using-config-file/)方法を知る
+- [kustomizeを使用してSecretを管理する](/docs/tasks/configmap-secret/managing-secret-using-kustomize/)方法を知る