使用 Terraform 使用 Key Vault 维护的 RSA 密钥创建 AKS

Question

我正在尝试使用 Terraform 创建 AKS（Azure Kubernetes 服务），并且想为 AKS 节点的“linux_profile”设置 ssh_key。

我发现的使用 terraform 创建 AKS 的唯一相关教程是这个，它使用“~/.ssh/id_rsa.pub”中的本地文件。

resource "azurerm_kubernetes_cluster" "k8s" {
name                = var.cluster_name
location            = azurerm_resource_group.k8s.location
resource_group_name = azurerm_resource_group.k8s.name
dns_prefix          = var.dns_prefix

linux_profile {
    admin_username = "ubuntu"

    ssh_key {
        key_data = file(var.ssh_public_key)
    }
  }
# lots of other configuration
}

我想使用由 keyvault 管理的密钥，因此我不必在本地管理任何机密。为此，我使用此代码创建了一个密钥保管库（为了清楚起见，我删除了有关“access_policies”的部分）

resource "azurerm_key_vault" "example-keyvault" {
    name                        ="example-keyvault"
    location                    =       data.azurerm_resource_group.rg.location
    resource_group_name         = data.azurerm_resource_group.rg.name

    enabled_for_disk_encryption = true
    tenant_id                   = data.azurerm_client_config.current.tenant_id
    soft_delete_enabled         = true
    purge_protection_enabled    = false
    sku_name                    = "standard"

    tags                        = merge(var.tags, {environment = terraform.workspace})
  }

我使用以下代码在此 keyvault 中创建了一个密钥：

resource "azurerm_key_vault_key" "ssh_key_linux_profile" 
 {
    name         = "ssh_key_linux_profile"
    key_vault_id = azurerm_key_vault.example-keyvault.id
    key_type     = "RSA"
    key_size     = 2048

    key_opts = [
      "decrypt",
      "encrypt",
      "sign",
      "unwrapKey",
      "verify",
      "wrapKey",
    ]

  }

我正在尝试找到一种方法来告诉 terraform 使用该密钥的公共组件作为“ssh_key”的“key_data”。我尝试了以下操作： 将“azurerm_key_vault_key”导入到我当前的范围中：

data "azurerm_key_vault_key" "ssh_key_linux_profile" {
  name         = "ssh_key_linux_profile"
  key_vault_id = azurerm_key_vault.example-keyvault.id
}

然后访问密钥的公共部分：

...
ssh_key {
        key_data = data.azurerm_key_vault_key.ssh-key-linux-profile.e
    }
...

我现在已经发现“e”只是“公共指数”，因此只是公钥的一小部分。相应的terraform 文档没有给我任何提示：-/

我可以使用 azure cli 下载该密钥

az keyvault key download --vault-name "example-keyvault" -n ssh-key-linux-profile -e PEM -f mykey.pem

有什么办法告诉 terraform 使用这个密钥吗？

更新：我发现这个 reddit威胁也有同样的问题，但也无法解决。

Answer 1

也许您可以在本地创建 SSH 公钥，然后将它们存储在 Azure Key Vault 密钥中。然后您可以使用数据源获取秘密值作为 ssh 密钥：

data "azurerm_key_vault_secret" "example" {
  name         = "ssh-key-linux-profile"
  key_vault_id = data.azurerm_key_vault.existing.id
}

...
ssh_key {
        key_data = data.azurerm_key_vault_secret.example.value
    }
...

这是在 Azure Key Vault 中存储 SSH 公钥的正确且简单的方法。