TP optionnel. Vault et Kubernetes

Énoncé de travail pratique

Les commandes ne figurent pas dans les énoncés : elles se construisent à partir du chapitre déclencheur indiqué ci-dessous. Le laboratoire et le livret de corrections ne sont pas encore publiés. Voir les limites du livrable

Chapitre déclencheur : 38. Hors barème. Durée indicative : 2 h.

Objectifs

Éprouver la méthode d'authentification Kubernetes et les modes de consommation dans un cluster local, sans que ce travail n'entre dans l'évaluation.

Prérequis

Un cluster Kubernetes local (l'outillage de création de clusters en conteneurs convient) et la lecture du chapitre 38. Le Vault du fil rouge reste hors du cluster, conformément à l'arbitrage du cours.

Étapes

1. Configurez la méthode d'authentification contre le cluster local, avec son autorité et son émetteur. 2. Créez un rôle lié à un compte de service et à un namespace, avec audience exigée. 3. Déployez un pod qui obtient un token et lit un secret. 4. Éprouvez les deux refus : un pod du même nom dans un autre namespace, un jeton sans l'audience attendue. 5. Installez l'injecteur et faites arriver des credentials dynamiques par gabarit dans un fichier monté en mémoire. 6. Comparez avec une synchronisation vers un objet natif du cluster, et allez lire cet objet pour constater ce qu'il contient. 7. Concluez par la règle d'aiguillage que vous appliqueriez dans votre organisation.

Résultats attendus

Un pod authentifié sans qu'aucun secret ne lui ait été distribué, deux refus constatés, un secret dynamique consommé par fichier, et la constatation de première main de ce qu'une synchronisation dépose dans le cluster.

Questions

1. Qu'avez-vous vu exactement en lisant l'objet natif produit par la synchronisation, et qu'est-ce que cela change au modèle du cours ?
2. Comment adapteriez-vous la configuration pour trois clusters, et pourquoi ?