Solución de problemas de secretos externos

Información general

Esta sección proporciona pasos de solución de problemas para resolver problemas relacionados con el operador de secretos externos y la configuración del almacén de secretos en Automation Suite.

Para identificar y resolver problemas de sincronización o autenticación entre tu clúster y el proveedor de secretos externo, sigue los pasos descritos en esta sección.

Verificar el estado y los registros del pod de secretos externos

Comienza por comprobar que los pods de Operador de secretos externos se están ejecutando correctamente.

Si los pods no están en estado de ejecución o muestran reinicios repetidos, revise sus registros en busca de errores relacionados con la autenticación, los permisos o la configuración incorrecta.

Para comprobar el estado de los pods de secretos externos y ver sus registros, ejecuta:

kubectl get pods -A | grep external-secrets
kubectl logs -f <pod-name> -n <namespace>

Por ejemplo, para ver los registros de un pod específico, ejecuta:

kubectl logs -f external-secrets-7d8c9b5f9f-abc12 -n external-secrets

Inspeccionar objetos SecretStore y ExternalSecret

Si los pods se ejecutan correctamente, verifica que los recursos SecretStore y ExternalSecret estén correctamente configurados y sincronizados.

Estos recursos definen cómo se recuperan y almacenan los secretos externos, por lo que cualquier configuración incorrecta puede evitar una sincronización correcta.

• Comprobar recursos de SecretoExterno

  Comience por revisar los objetos SecretoExterno en su clúster. Esto ayuda a confirmar que los recursos están correctamente vinculados a su SecretStore y que el estado de sincronización es válido.

  • Para mostrar e inspeccionar tus recursos ExternalSecret, ejecuta los siguientes comandos:

    kubectl get externalsecrets -A
    kubectl describe externalsecret <externalsecret-name> -n <namespace>
    

  • Por ejemplo, para revisar un SecretoExterno específico en el espacio de nombres uipath :

    kubectl describe externalsecret azure-secret-store -n uipath
    

• Comprobar los recursos de SecretStore

  Inspecciona la configuración de SecretStore asociada. Este recurso define los detalles de conexión para tu proveedor de secretos (como Azure Key Vault), y los errores aquí pueden bloquear la sincronización de secretos.

  • Para revisar las definiciones de SecretStore, utiliza los siguientes comandos:

    kubectl get secretstores -A
    kubectl describe secretstore <secretstore-name> -n <namespace>
    

  • Por ejemplo, para examinar una configuración de SecretStore en el espacio de nombres uipath :

    kubectl describe secretstore azure-secretstore -n uipath
    

• Comprobar eventos relacionados con secretos externos

  Revisa cualquier evento de Kubernetes relacionado con el operador de secretos externos. Estos eventos pueden revelar fallos de sincronización, problemas de permisos o configuraciones erróneas del proveedor.

  • Para ver eventos relacionados, ejecuta el siguiente comando:

    kubectl get events -A | grep external-secrets
    

    Al revisar la salida del evento, busca:
    • Mensajes de error en la sección Estado
    • Condiciones que indican si Ready: True
    • Advertencias o fallos de sincronización en la sección Eventos

Verificar las credenciales del almacén secreto

Si utilizas Azure Key Vault como proveedor de secretos, asegúrate de que las credenciales y la configuración sean válidas y estén actualizadas.

Las credenciales incorrectas o la falta de permisos son causas comunes de fallos de sincronización.

• Credenciales de autenticación
  • Confirma que los valores clientId, clientSecret y tenantId son correctos.
  • Asegúrese de que el director de servicio tenga los permisos necesarios para Key Vault.
• Políticas de acceso de Key Vault
  • Verifique los permisos Get y List para los secretos.
  • Asegúrate de que la configuración del firewall de Key Vault permita el acceso desde tu clúster.
• Configuración de identidad de carga de trabajo (si corresponde)
  • Comprueba que las credenciales federadas están configuradas correctamente.
  • Asegúrate de que la cuenta de servicio asociada tenga las anotaciones necesarias.
• Uri de Key Vault
  • Comprueba que vaultUrl en tu configuración de SecretStore es correcta.

    Formato de ejemplo:

    https://<key-vault-name>.vault.azure.net/

Verificar los permisos de la entidad de servicio

Si tu implementación utiliza un director de servicio, confirma que tiene acceso para recuperar secretos de Azure Key Vault.

Para enumerar los secretos accesibles para tu entidad de servicio, ejecuta:

az keyvault secret list --vault-name <key-vault-name>

Problemas comunes de configuración

Revisa los siguientes problemas comunes y los mensajes de error correspondientes para ayudar a diagnosticar el problema.

Incidencia	Posible causa	Ejemplo/salida de error
Secreto no encontrado en el clúster	Falta el secreto de Kubernetes	Warning InvalidProviderConfig 3s (x4 over 8s) secret-store cannot get Kubernetes secret "azure-service-principal-secret" from namespace "uipath": secrets "azure-service-principal-secret" not found
Credenciales no válidas	ID de cliente, secreto de cliente o ID de tenant incorrectos	error processing spec.data[0] (key: external-object-storage-account-key-10176524), err: azure.BearerAuthorizer#WithAuthorization: Failed to refresh the Token for request ... StatusCode=400
Falta un objeto de Key Vault	La clave no está presente en Azure Key Vault	external-secrets error processing spec.data[0] (key: external-object-storage-account-key), err: Secret does not exist

Para investigar más a fondo estos problemas, revisa los registros del controlador o describe los recursos relacionados:

kubectl describe externalsecret <name> -n <namespace>
kubectl describe secretstore <name> -n <namespace>