如何解决使用 Terraform 使用 Key Vault 维护的 RSA 密钥创建 AKS
我正在尝试使用 Terraform 创建 AKS(Azure Kubernetes 服务),并且我想为 AKS 节点的“linux_profile”设置一个 ssh_key。
我发现使用 terraform 创建 AKS 的唯一相关教程是 this,它使用“~/.ssh/id_rsa.pub”中的本地文件。
resource "azurerm_kubernetes_cluster" "k8s" {
name = var.cluster_name
location = azurerm_resource_group.k8s.location
resource_group_name = azurerm_resource_group.k8s.name
dns_prefix = var.dns_prefix
linux_profile {
admin_username = "ubuntu"
ssh_key {
key_data = file(var.ssh_public_key)
}
}
# lots of other configuration
}
我想使用由 keyvault 管理的密钥,所以我不必在本地管理任何机密。为此,我使用此代码创建了一个密钥保管库(为了清楚起见,我删除了有关“access_policies”的部分)
resource "azurerm_key_vault" "example-keyvault" {
name ="example-keyvault"
location = data.azurerm_resource_group.rg.location
resource_group_name = data.azurerm_resource_group.rg.name
enabled_for_disk_encryption = true
tenant_id = data.azurerm_client_config.current.tenant_id
soft_delete_enabled = true
purge_protection_enabled = false
sku_name = "standard"
tags = merge(var.tags,{environment = terraform.workspace})
}
我使用以下代码在此密钥库中创建了一个密钥:
resource "azurerm_key_vault_key" "ssh_key_linux_profile"
{
name = "ssh_key_linux_profile"
key_vault_id = azurerm_key_vault.example-keyvault.id
key_type = "RSA"
key_size = 2048
key_opts = [
"decrypt","encrypt","sign","unwrapKey","verify","wrapKey",]
}
我试图找到一种方法来告诉 terraform 将该密钥的公共组件用作“ssh_key”的“key_data”。我尝试了以下方法: 将“azurerm_key_vault_key”导入我当前的范围:
data "azurerm_key_vault_key" "ssh_key_linux_profile" {
name = "ssh_key_linux_profile"
key_vault_id = azurerm_key_vault.example-keyvault.id
}
然后访问密钥的公共部分:
...
ssh_key {
key_data = data.azurerm_key_vault_key.ssh-key-linux-profile.e
}
...
我现在已经知道“e”只是“公共指数”,因此只是公钥的一小部分。相应的 terraform documentation 没有给我任何提示:-/
我可以使用 azure cli 下载该密钥
az keyvault key download --vault-name "example-keyvault" -n ssh-key-linux-profile -e PEM -f mykey.pem
有没有办法告诉 terraform 使用这个密钥?
更新: 我发现这个 reddit threat 有同样的问题,但也无法解决。
解决方法
也许您可以在本地创建 SSH 公钥,然后将它们存储在 Azure Key Vault 机密中。然后就可以使用Data Source获取secret值作为ssh key:
MainActivity.kt
这是在 Azure Key Vault 中存储 SSH 公钥的正确且简单的方法。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。