2.2. 用于持久性卷加密的存储类

1. 在 OpenShift Container Platform web 控制台中进入 Workloads → Secrets。
2. 点 Create → Key/value secret。
3. 输入 Secret Name 作为 ceph-csi-kms-token。
4. 输入 Key 作为 token。

5. 输入 Value。

   它是来自 Vault 的令牌。您可以单击 Browse 来选择并上传含有令牌的文件，或者直接在文本框中输入令牌。

6. 点击 Create。

1. 将以下 YAML 应用到您的 Openshift 集群：

   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: rbd-csi-vault-token-review
   ---
   kind: ClusterRole
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   rules:
     - apiGroups: ["authentication.k8s.io"]
       resources: ["tokenreviews"]
       verbs: ["create", "get", "list"]
   
   ---
   kind: ClusterRoleBinding
   apiVersion: rbac.authorization.k8s.io/v1
   metadata:
     name: rbd-csi-vault-token-review
   subjects:
     - kind: ServiceAccount
       name: rbd-csi-vault-token-review
       namespace: openshift-storage
   roleRef:
     kind: ClusterRole
     name: rbd-csi-vault-token-review
     apiGroup: rbac.authorization.k8s.io

2. 根据 OpenShift Container Platform 版本，执行以下之一：

   • 对于 OpenShift Container Platform 4.10:

     • 识别与上面创建的 serviceaccount(SA)关联的 secret 名称。

       $ VAULT_SA_SECRET_NAME=$(oc -n openshift-storage get sa <SA_NAME> -o jsonpath="{.secrets[]['name']}") | grep -o "[^[:space:]]-token-[^[:space:]]*"

       例如：

       $ VAULT_SA_SECRET_NAME=$(oc -n openshift-storage get sa rbd-csi-vault-token-review -o jsonpath="{.secrets[]['name']}" | grep -o "[^[:space:]]-token-[^[:space:]]*")

   • 对于 OpenShift Container Platform 4.11：

     • 为 serviceaccount 令牌和 CA 证书创建 secret。

       $ cat <<EOF | oc create -f -
       apiVersion: v1
       kind: Secret
       metadata:
         name: rbd-csi-vault-token-review-token
         namespace: openshift-storage
         annotations:
           kubernetes.io/service-account.name: "rbd-csi-vault-token-review"
       type: kubernetes.io/service-account-token
       data: {}
       EOF

       $ VAULT_SA_SECRET_NAME=rbd-csi-vault-token-review-token

3. 从 secret 获取令牌和 CA 证书。

   $ SA_JWT_TOKEN=$(oc -n openshift-storage get secret "$VAULT_SA_SECRET_NAME" -o jsonpath="{.data.token}" | base64 --decode; echo)
   $ SA_CA_CRT=$(oc -n openshift-storage get secret "$VAULT_SA_SECRET_NAME" -o jsonpath="{.data['ca\.crt']}" | base64 --decode; echo)

4. 检索 OpenShift 集群端点。

   $ OCP_HOST=$(oc config view --minify --flatten -o jsonpath="{.clusters[0].cluster.server}")

5. 使用前面步骤中收集的信息在 Vault 中设置 kubernetes 身份验证方法，如下所示：

   $ vault auth enable kubernetes
   $ vault write auth/kubernetes/config \
             token_reviewer_jwt="$SA_JWT_TOKEN" \
             kubernetes_host="$OCP_HOST" \
             kubernetes_ca_cert="$SA_CA_CRT"

6. 在 Vault 中为租户命名空间创建一个角色：

   $ vault write "auth/kubernetes/role/csi-kubernetes" bound_service_account_names="ceph-csi-vault-sa" bound_service_account_namespaces=<tenant_namespace> policies=<policy_name_in_vault>

   csi-kubernetes 是 OpenShift Data Foundation 在 Vault 中寻找的默认角色名称。OpenShift Data Foundation 集群中租户命名空间中的默认服务帐户名称为 ceph-csi-vault-sa。这些默认值可以通过在租户命名空间中创建 ConfigMap 来覆盖。

   有关覆盖默认名称的更多信息，请参阅使用租户 ConfigMap 覆盖 Vault 连接详情。

流程

1. 确保您位于租户命名空间中。
2. 点 Workloads → ConfigMaps。
3. 点 Create ConfigMap。

4. 以下是 yaml 示例。给定租户命名空间要覆盖的值可以在 data 部分下指定，如下所示：

   ---
   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: ceph-csi-kms-config
   data:
     vaultAddress: "<vault_address:port>"
     vaultBackendPath: "<backend_path>"
     vaultTLSServerName: "<vault_tls_server_name>"
     vaultNamespace: "<vault_namespace>"

5. 编辑完 yaml 后，点 Create。