Kubernetes与Flux和Terraform的秘密

如何解决Kubernetes与Flux和Terraform的秘密

我一般都不熟悉terraform和devops。首先，我需要从url获取ssh密钥到已知主机，以供以后用于Flux。

data "helm_repository" "fluxcd" {
  name = "fluxcd"
  url  = "https://charts.fluxcd.io"
}

resource "helm_release" "flux" {
  name      = "flux"
  namespace = "flux"

  repository = data.helm_repository.fluxcd.metadata[0].name
  chart      = "flux"

  set {
    name  = "git.url"
    value = "git.project"
  }

  set {
    name  = "git.secretName"
    value = "flux-git-deploy"
  }

  set {
    name  = "syncGarbageCollection.enabled"
    value = true
  }

  
  set_string {
    name  = "ssh.known_hosts"
    value = Need this value from url
  }

}

然后我需要生成密钥并使用它来创建与gitlab存储库通信的kubernetes机密。

resource "kubernetes_secret" "flux-git-deploy" {
  metadata {
    name      = "flux-git-deploy"
    namespace = "flux"
  }

  type = "Opaque"

  data = {
    identity = tls_private_key.flux.private_key_pem
  }
}

resource "gitlab_deploy_key" "flux_deploy_key" {
    title = "Title"
    project = "ProjectID"
    key = tls_private_key.flux.public_key_openssh
    can_push = true
}

我不确定自己是否走对了。任何建议都会有所帮助。

解决方法

您可以使用几种方法。这些可以分为“两类”：

• 手动生成ssh_known_hosts并通过变量或文件使用输出
  • 使用命令ssh-keyscan <git_domain>在运行terraform的计算机上创建文件，并将路径设置为ssh.known_hosts的值。
  • 您还可以直接在变量中使用file function或将文件输出直接用作env变量。我个人不建议这样做，因为该值直接保存在terraform状态中，但是在这种情况下，这不是关键问题。至关重要的是您使用的是ssh_keys还是凭据。
• 另一种方法是在创建用于助焊剂的头盔资源并直接在terraform中创建文件之前，将local-exec provisioner与null_resource一起使用。但除此之外，您还必须访问创建的文件，并管理设置更改后运行命令的触发器。

通常，我不会将terraform用于此类事情。可以提供直接与基础结构绑定的基础结构，例如AWS资源或服务，但是要创建和运行服务，您需要ansible这样的配置工具，在其中您可以直接将“ ssh-keyscan”之类的命令作为模块运行。最后，您需要一个稳定的管道，以便在terraform更改后运行ansible（或您喜欢的配置工具）。

但是，如果您只想使用地形，那将是正确的方法。