SecretsストアCSIドライバー＠Secret系

はじめに

本サイトにつきまして、以下をご認識のほど宜しくお願いいたします。

• https://hiroki-it.github.io/tech-notebook/

01. SecretsストアCSIドライバーとは

SecretsストアCSIドライバーは、SecretProviderClassで定義したプロバイダー (例：AWS、Google Cloud、Vault) のAPIと通信し、プロバイダーのSecretストア (例：AWS Secrets Manager、Google Cloud SecretManager、Vault SecretsEngine) から変数を取得する。

その後、Secretは使用せずにPod内コンテナのファイルとしてマウントする。

Secretのデータとして注入するExternal Secrets Operatorやhelm-secrets/vault-helmと比較して、Secretを作成しない点で脆弱性が高い。

一方で、Pod内コンテナに直接的にマウントするため、Kubernetesとプロバイダーがより密結合になってしまう。

• https://secrets-store-csi-driver.sigs.k8s.io/concepts.html
• https://github.com/external-secrets/external-secrets/issues/478#issuecomment-964413129
• https://www.reddit.com/r/kubernetes/comments/uj4a56/external_secrets_operator_vs_secret_store_csi/

02. SecretsストアCSIドライバーの仕組み

アーキテクチャ

SecretsストアCSIドライバーは、CSIドライバーから構成される。