使用 Flux 和 Terraform 的 Kubernetes 秘密

Question

总的来说，我是 terraform 和 devops 的新手。首先，我需要从 url 获取已知主机的 ssh 密钥，以便以后用于 Flux。

data "helm_repository" "fluxcd" {
  name = "fluxcd"
  url  = "https://charts.fluxcd.io"
}

resource "helm_release" "flux" {
  name      = "flux"
  namespace = "flux"

  repository = data.helm_repository.fluxcd.metadata[0].name
  chart      = "flux"

  set {
    name  = "git.url"
    value = "git.project"
  }

  set {
    name  = "git.secretName"
    value = "flux-git-deploy"
  }

  set {
    name  = "syncGarbageCollection.enabled"
    value = true
  }

  
  set_string {
    name  = "ssh.known_hosts"
    value = Need this value from url
  }

}

然后我需要生成密钥并使用它来创建 kubernetes 密钥以与 gitlab 存储库进行通信。

resource "kubernetes_secret" "flux-git-deploy" {
  metadata {
    name      = "flux-git-deploy"
    namespace = "flux"
  }

  type = "Opaque"

  data = {
    identity = tls_private_key.flux.private_key_pem
  }
}

resource "gitlab_deploy_key" "flux_deploy_key" {
    title = "Title"
    project = "ProjectID"
    key = tls_private_key.flux.public_key_openssh
    can_push = true
}

我不确定我是否走在正确的轨道上。任何建议都会有所帮助。

Answer 1

您可以使用的方法很少。这些可以分为“两类”：

• 手动生成 ssh_known_hosts 并通过变量或文件使用输出
  • 在运行 terraform 的机器上使用命令 ssh-keyscan <git_domain> 创建文件，并将路径设置为 ssh.known_hosts 的值。
  • 你也可以直接在变量中使用file function或者直接使用文件输出作为环境变量。我个人不推荐它，因为该值直接保存在 terraform 状态，但在这种情况下，它不是一个关键问题。如果您使用的是 ssh_keys 或凭据，则至关重要。
• 另一种方法是使用local-exec provisioner 和null_resource，然后再为flux 创建helm 资源并直接在terraform 中创建文件。但除此之外，您还必须注意访问您创建的文件并管理触发器以在设置发生更改时运行命令。

一般来说，我不会将 terraform 用于此类事情。可以提供直接绑定到基础架构的 aws 资源或服务等基础架构，但为了创建和运行服务，您需要像 ansible 这样的配置工具，您可以在其中直接将“ssh-keyscan”等命令作为模块运行。最后，您需要一个稳定的管道，以便在 terraform 更改后运行 ansible（或您最喜欢的配置工具）。

但是，如果您只想使用 terraform，那么您将采用正确的方式。