Using AWS Secrets Manager with Kubernetes

Abstract

Nykyaikaisissa ohjelmistoissa on useimmiten joitakin salassa pidettäviä tietoja, kuten salausavaimia ja käyttäjien tunnistetietoja. Näiden salaisuuksien turvallinen säilytys ja käsittely ovat tärkeä osa ohjelmiston tietoturvaa. Markkinoilla on useita kaupallisia ja ilmaisia tuotteita helpottamaan salaisuuksien käsittelyä. Opinnäytetyön tavoitteena oli tutustua Amazon Web Servicen tarjoamiin palveluihin, joita voidaan käyttää salaisuuksien säilyttämiseen. Erityisesti työssä keskityttiin AWS Secrets Manager -palveluun ja sen käyttämiseen.

Opinnäytetyössä tutkittiin AWS Secrets Manager -palvelun soveltuvuutta olemassa olevaan ohjelmistoprojektiin, joka on asennettu Kubernetes-klusteriin Amazonin Kubernetes -alustalla. Opinnäytetyössä tehtiin testitoteutus Secrets Managerin integroinnista Kubernetes-alustaan. Testitoteutus sisältää tarvittavat AWS-resurssit ja Kubernetes-konfiguraatiot, joilla integraatio saatiin tehtyä. Resurssien luonnin automatisointiin käytettiin AWS CloudFormationia.

Työn tutkimusvaiheessa selvisi, että Amazon ei tarjoa työkaluja Secrets Managerin käyttöön Kubernetes-klusterista. Projektissa päätettiin käyttää avoimen lähdekoodin Kubernetes External Secrets -projektia, jolla integraatio onnistui suoraviivaisesti. External Secrets on tarkoitettu Kubernetes-ympäristöön, mutta sitä voidaan käyttää monien salaisuuksien hallintaohjelmien kanssa.

Työssä tehty testitoteutus onnistui hyvin ja sen perusteella Secrets Manager todettiin soveltuvaksi toimeksiantajan vaatimuksiin. Se päätettiin ottaa käyttöön varsinaiseen projektiin.

Many modern software projects contain some information that needs to be kept private. These can be credentials to databases, cryptographic keys, or user credentials. Keeping these secrets secure is an important part of the project’s security. This includes storing the secrets, access management and possibility to change the secrets if they are compromised. There are multiple commercial and open-source products meant for managing secrets.

The goal of this bachelor’s thesis was to evaluate available secret management tools available on Amazon Web Services. The thesis focused on using AWS Secrets Manager as part of an existing software project running on Kubernetes. A proof-of-concept integration of AWS Secrets Manager and the Kubernetes application was created. The thesis explored creating required AWS resources and Kubernetes configuration to use Secrets Manager. AWS CloudFormation was used to automate resource creation.

Amazon does not offer a native tool for accessing Secrets Manager from a Kubernetes application, so part of the research was to find a suitable alternative. The Kubernetes External Secrets open-source project was selected. External Secrets is meant for Kubernetes, but it can be used with different secret management services. The implementation with Secrets Manager and Kubernetes External Secrets was found to work well. The commissioner decided to use it in the customer project.

The thesis is aimed at specialists with basic understanding of Amazon Web Services and Kubernetes. It is not meant to be used as a guide or walkthrough of using Secrets Manager, but as a proof-of-concept implementation.