Плагин секретов Kubernetes не работает без полезных логов - PullRequest
Новая
       20

Плагин секретов Kubernetes не работает без полезных логов

1 голос
/ 10 июня 2019

Я развернул drone.io с помощью рулевой диаграммы. Сборки работают нормально. Для моих секретов я следовал за этими документами: https://readme.drone.io/extend/secrets/kubernetes/install/

Итак, я создал секрет для хранения общего секретного ключа между плагином и сервером беспилотников (извините за разборчивые пометки): 

apiVersion: v1
kind: Secret
type: Opaque
metadata:
  name: drone-kubernetes
data:
  server: {{ server.stdout | b64encode }}
  cert: {{ cert.stdout | b64encode }}
  token: {{ token.stdout | b64encode }}
  secret: {{ secret.stdout | b64encode }}

Развертывание для секретных плагинов kubernetes: 

apiVersion: extensions/v1beta1
kind: Deployment
metadata:
  labels:
    app: drone
    component: secrets
    release: drone
  name: drone-drone-secrets
spec:
  selector:
    matchLabels:
      app: drone
      component: secrets
      release: drone
  template:
    metadata:
      labels:
        app: drone
        component: secrets
        release: drone
    spec:
      containers:
      - env:
        - name: SECRET_KEY
          valueFrom:
            secretKeyRef:
              key: secret
              name: drone-kubernetes
        image: docker.io/drone/kubernetes-secrets:linux-arm64
        imagePullPolicy: IfNotPresent
        name: secrets
        ports:
        - containerPort: 3000
          name: secretapi
          protocol: TCP
        volumeMounts:
        - mountPath: /etc/kubernetes/config
          name: kube
      volumes:
      - name: kube
        hostPath:
          path: /etc/kubernetes/admin.conf
          type: File

И сервис для этого развертывания: 

apiVersion: v1
kind: Service
metadata:
  labels:
    app: drone
    component: secrets
    release: drone
  name: drone-secrets
spec:
  ports:
  - name: secretapi
    port: 3000
    protocol: TCP
  selector:
    app: drone
    component: secrets
    release: drone
  type: ClusterIP

Я исправил развертывание сервера дронов, чтобы установить переменные DRONE_SECRET_SECRET и DRONE_SECRET_ENDPOINT.

Модули для плагинов kubernetes-secrets видят файл "/ etc / kubernetes / config", как и ожидалось, и имеют SECRET_KEY в качестве окружения. И из модуля дрон-сервера: 

kubectl exec -i drone-drone-server-some-hash-here -- sh -c 'curl -s $DRONE_SECRET_ENDPOINT'
Invalid or Missing Signature

Пока все хорошо. Кажется, все настроено правильно.

Вот мой файл .drone.yml для моего тестового проекта: 

kind: pipeline
name: default
steps:

- name: kubectl
  image: private-repo.local:5000/drone-kubectl
  settings:
    kubectl: "get pods"
    kubernetes_server:
      from_secret: kubernetes_server
    kubernetes_cert:
      from_secret: kubernetes_cert

image_pull_secrets:
 - kubernetes_server
 - kubernetes_cert

---
kind: secret
name: kubernetes_server
get:
  path: drone-kubernetes
  name: server
---
kind: secret
name: kubernetes_cert
get:
  path: drone-kubernetes
  name: cert
---
kind: secret
name: kubernetes_token
get:
  path: drone-kubernetes
  name: token

В настоящее время пользовательский плагин drone-kubectl только запускает команду env, чтобы проверить, не получаю ли я свои секреты, и я не ... Что мне не хватает?

1 Ответ

2 голосов
/ 10 июня 2019

Хорошо, я нашел свою проблему, используя переменную окружения DEBUG в развертывании дронов-дронов-секретов. Ошибка была: 

time="2019-06-10T06:29:22Z" level=debug msg="secrets: cannot find secret cert: kubernetes api: Failure 403 secrets \"drone-kubernetes\" is forbidden: User \"system:serviceaccount:toolchain:default\" cannot get resource \"secrets\" in API group \"\" in the namespace \"toolchain\""

Итак, я создал эту учетную запись службы и связанную роль: 

apiVersion: v1
kind: ServiceAccount
metadata:
  name: drone-drone-secrets
---
apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: drone-drone-secrets
rules:
- apiGroups: [""] 
  resources: ["secrets"]
  verbs: ["get", "watch", "list"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: drone-drone-secrets
subjects:
- kind: ServiceAccount
  name: drone-drone-secrets
roleRef:
  kind: Role
  name: drone-drone-secrets
  apiGroup: rbac.authorization.k8s.io

И исправил развертывание, чтобы использовать эту учетную запись службы. Теперь все работает.

...