Konfigurieren von AWS Secrets Manager als Geheimnisspeicher

Konfigurieren Sie AWS Secrets Manager als Geheimnisspeicher mithilfe der Knoten-IAM-Rolle oder Zugriffsschlüsseln auf EKS/AKS.

Sie können AWS Secrets Manager mit einer der folgenden Authentifizierungsmethoden als Secretstore konfigurieren:

• Knoten-IAM-Rolle – Verwendet die IAM-Rolle, die an die EC2-Instanz angehängt ist, in der der ESO-Pod ausgeführt wird
• Zugriffsschlüssel (statische Anmeldeinformationen)

AWS Secrets Manager speichert Geheimnisse als Schlüssel-Wert-Paare oder Klartext-Strings.

Standardmäßig werden alle vertraulichen Daten in input.json definiert. Sie können diese Daten in zwei Teile aufteilen:

• input.json – enthält nur Konfigurationsdaten.
• AWS Secrets Manager – Speichert Anmeldeinformationen sicher.

Hinweis:

Sie können Zertifikatspfade oder zertifikatbezogene Anmeldeinformationen nicht als Teil des Secretstore speichern.

Verwenden der IAM-Rolle des Knotens

Der Pod erbt Berechtigungen vom Instanzprofil des Knotens über die standardmäßige AWS-Anmeldeinformationskette. Es ist kein Kubernetes-Geheimnis oder zusätzliche Konfiguration erforderlich.

Voraussetzungen

• IAM-Rolle, die an den EKS/EC2-Knoten mit secretsmanager:GetSecretValue und secretsmanager:ListSecrets -Berechtigungen angehängt ist
• IAM-Rolle, die dem Instanzprofil der Knoten zugewiesen ist, auf denen der ESO-Pod ausgeführt wird

Configuring input.json

Um AWS Secrets Manager als Secretstore mithilfe der IAM-Knotenrolle zu konfigurieren, fügen Sie den folgenden Abschnitt zu input.json hinzu:

{
  "secret_store": {
    "enabled": true,
    "provider_configs": [
      {
        "name": "aws-prod",
        "type": "aws",
        "aws_kv": {
          "region": "us-east-1"
        }
      }
    ]
  }
}

Konfigurieren der erforderlichen IAM-Richtlinie

1. Erstellen Sie die IAM-Richtlinie mit der folgenden Definition:

   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": ["secretsmanager:GetSecretValue", "secretsmanager:DescribeSecret"],
         "Resource": "arn:aws:secretsmanager:<region>:<account-id>:secret:*"
       },
       {
         "Effect": "Allow",
         "Action": ["secretsmanager:ListSecrets"],
         "Resource": "*"
       }
     ]
   }
   

2. Führen Sie den folgenden Befehl aus, um die Richtlinie zu erstellen:

   aws iam create-policy \
       --policy-name ESOSecretsManagerPolicy \
       --policy-document file://secrets-manager-policy.json
   

3. Hängen Sie die Richtlinie an die IAM-Rolle an, die dem Knoteninstanzprofil zugeordnet ist:

   aws iam attach-role-policy \
       --role-name <your-role-attached-to-node> \
       --policy-arn arn:aws:iam::<your-account-id>:policy/ESOSecretsManagerPolicy
   

Verwenden von Zugriffsschlüsseln

Zugriffsschlüssel verwenden eine explizite AWS-Zugriffsschlüssel-ID und einen geheimen Zugriffsschlüssel, die in einem Kubernetes-Geheimnis gespeichert sind. Diese Methode eignet sich für Nicht-EKS-Umgebungen oder wenn keine IAM-Knotenrollen verfügbar sind.

Voraussetzungen

• AWS IAM-Benutzer mit secretsmanager:GetSecretValue -Berechtigungen
• Kubernetes-Geheimnis, vorerstellt mit Zugriffsschlüssel-Anmeldeinformationen

Configuring input.json

Führen Sie die folgenden Schritte aus, um AWS Secrets Manager als Geheimnisspeicher mit Zugriffsschlüsseln zu konfigurieren:

1. Erstellen Sie das Kubernetes-Geheimnis, in dem die AWS-Anmeldeinformationen gespeichert werden:

   kubectl create secret generic aws-credentials \
     --namespace uipath \
     --from-literal=access-key-id=<your-access-key-id> \
     --from-literal=secret-access-key=<your-secret-access-key>
   

   Das Geheimnis muss folgende Schlüssel enthalten:

   • access-key-id – AWS-Zugriffsschlüssel-ID
   • secret-access-key – Geheimer AWS-Zugriffsschlüssel

2. Fügen Sie den folgenden Abschnitt zu input.json hinzu:

   {
     "secret_store": {
       "enabled": true,
       "provider_configs": [
         {
           "name": "aws-prod",
           "type": "aws",
           "credentials_secret_name": "aws-credentials",
           "aws_kv": {
             "region": "us-east-1"
           }
         }
       ]
     }
   }
   

Konfigurationsfelder

In der folgenden Tabelle werden die verfügbaren Konfigurationsfelder beschrieben.

Feld	Erforderlich	Beschreibung
aws_kv.region	Ja	AWS-Region, in der Geheimnisse gespeichert werden (z. B. us-east-1)
credentials_secret_name	Nein	Kubernetes-Geheimnis, das Anmeldeinformationen für den Zugriffsschlüssel enthält. Wenn nicht festgelegt, wird die IAM-Rolle des Knotens verwendet.

Verweisen auf Geheimnisse in input.json

Um auf Anmeldeinformationen zu verweisen, die im AWS Secrets Manager gespeichert sind, verwenden Sie eines der folgenden Formate in input.json:

• Nur-Zeichenfolge: vault/aws-prod/secret-name
• JSON-Eigenschaftsextraktion: vault/aws-prod/secret-name?key=password

Verwenden von AWS GovCloud

Wenn Sie AWS GovCloud verwenden, legen Sie das Feld region auf eine AWS GovCloud-Region fest (z. B. us-gov-west-1 oder us-gov-east-1). Es sind keine weiteren Konfigurationsänderungen erforderlich – der Regionswert bestimmt die AWS-Partition und die verwendeten Endpunkte.

{
  "secret_store": {
    "enabled": true,
    "provider_configs": [
      {
        "name": "aws-gov",
        "type": "aws",
        "credentials_secret_name": "aws-credentials",
        "aws_kv": {
          "region": "us-gov-west-1"
        }
      }
    ]
  }
}