Chroniony dostęp do obrazów Kubernetes w repozytoriach prywatnych

Chroniony dostęp do obrazów w Kubernetes wymaga na ogół uwierzytelniania w repozytorium, które realizowane jest na najczęściej poprzez użycie tajnych kluczy uwierzytelniających i certyfikatów.

Uwierzytelnianie oparte na tokenach

Aby skorzystać z repozytorium chronionego tokenem, przygotuj go zgodnie z instrukcją repozytorium, jakie chcesz wykorzystać. Generowanie tokenu może odbywać się na przykład za pomocą wbudowanych funkcji dostarczanych przez dostawców usług repozytoriów lub za pomocą narzędzi do zarządzania tożsamością i dostępem. Posiadając token, w pliku YAML zdefiniuj argument imagePullSecrets, który zawiera wymagane dane uwierzytelniające. Przykładowa definicja imagePullSecrets w YAML:

apiVersion: v1
kind: Pod
metadata:
      name: my-pod
spec:
      containers:
      - name: my-container
         image: example/private-image
      imagePullSecrets:
    - name: my-secret

Uwierzytelnianie oparte na kluczach SSH

W przypadku prywatnych repozytoriów Git (np. GitLab) często stosuje się uwierzytelnianie przez klucz SSH. Klucz SSH musisz wygenerować na swojej usłudze SaaS Kubernetes, a następnie musisz dodać go jako klucz uwierzytelniający do konta w serwisie Git. Kolejno w plikach YAML zdefiniuj secret, który zawiera klucz SSH. Aby wygenerować klucz SSH, możesz skorzystać z narzędzia ssh-keygen. W tym celu po zalogowaniu przez SSH do SaaS Kubernetes wykonaj komendę:

ssh-keygen -t rsa -b 4096 -C "imie@jakasdomena.pl"

Zamiast "imie@jakasdomena.pl", podaj swój adres e-mail, który będzie powiązany z kluczem SSH. Zostaniesz poproszony o podanie ścieżki, w której ma być zapisany klucz SSH oraz o hasło. Pole hasła możesz pozostawić puste, ale jeśli je ustawisz, zapewni to dodatkową ochronę dla klucza. Po wygenerowaniu klucza możesz skopiować jego zawartość, aby dodać go do serwisu Git:

cat ~/.ssh/id_rsa.pub

Polecenie to wyświetli zawartość klucza publicznego. Skopiuj całą zawartość klucza, aby następnie dodać go do ustawień swojego konta w serwisie Git. W tym celu zaloguj się do serwisu i przejdź do ustawień konta, gdzie znajdziesz sekcję dotyczącą kluczy SSH. Po dodaniu klucza SSH do serwisu Git będziesz mógł użyć go do uwierzytelnienia się podczas operacji związanych z repozytorium Git.

Inne metody uwierzytelniania

Niektóre repozytoria obrazów oferują dodatkowe opcje uwierzytelniania, takie jak uwierzytelnianie za pomocą certyfikatów SSL/TLS. W takim przypadku konieczne jest umieszczenie odpowiednich certyfikatów na usłudze SaaS Kubernetes, a następnie skonfigurowanie wymaganych parametrów uwierzytelniania. Dbałość o odpowiednie zabezpieczenie kluczy uwierzytelniających jest kluczowa dla bezpiecznego działania klastra Kubernetes, dlatego ważne jest przechowywanie tych kluczy w bezpieczny sposób, na przykład korzystając z Kubernetes Secrets.

Table of Contents