OpenBaoチャート

OpenBao chartを使用してOpenBaoをインストールできます。これは、GitLab Secrets Managerを有効にするために必要です。

既知の問題

• ダウンタイムなしでOpenBaoをアップグレードすることはできません。ダウンタイムなしのアップグレードは、OpenBaoチャートのイシュー13で提案されています。
• GitLab Geoはサポートされていません。基本的な検証は合格しましたが、フェイルオーバーと推奨設定はまだテストおよび文書化されていません。完全な検証については、GitLabイシュー568357で説明されています。
• GitLab OperatorでOpenBaoをデプロイすることはできません。
• OpenBaoイメージのFIPSバリアントはすでにビルドされていますが、OpenBaoはFIPSで検証されていません。FIPSの検証は、GitLabイシュー574875で追跡されています。
• OpenBaoチャートと、OpenBao監査イベントのGitLabへのストリーミングを同時に有効にすることはできません。詳細については、イシュー582828を参照してください。

GitLabシークレットマネージャーとOpenBaoのセットアップ

1. 既存のGitLabインスタンスで、OpenBaoを有効にします:

   # Enable OpenBao integration
   global:
     openbao:
       enabled: true
   # Install bundled OpenBao
   openbao:
     install: true

2. GitLabの上部バーで、検索または移動先を選択して、プロジェクトを見つけます。

3. 設定 > 一般を選択します。

4. 可視性、プロジェクトの機能、権限を展開します。

5. Secrets Managerのトグルをオンにして、Secrets Managerがプロビジョニングされるまで待ちます。

OpenBaoのアップグレードのロールバック

OpenBaoのアップグレードは、下位互換性のないPostgreSQLデータへの変更を行う可能性があり、OpenBaoのアップグレードをロールバックする必要がある場合、互換性の問題が発生する可能性があります。

OpenBaoをアップグレードする前に、必ずバックアップしてください。OpenBaoのアップグレードをロールバックする必要がある場合は、OpenBaoのバージョンに一致するデータベースバックアップも復元します。

詳細については、OpenBao upgrade documentationを参照してください。

OpenBaoのバックアップ

OpenBaoを完全にバックアップするには、以下が必要です:

• Unsealキー。これらのキーは、復元後にOpenBaoデータにアクセスするために不可欠です。OpenBaoシークレットのsecret backup proceduresに従ってください。
• PostgreSQLデータベース。

デフォルトでは、OpenBao PostgreSQLデータはチャートのバンドルされたバックアップ手順の一部としてバックアップされます。

別のデータベース（論理または物理）を使用するようにOpenBaoを設定した場合は、このデータベースを手動でバックアップする必要があります。デフォルトのバックアップツールは、他の外部データベースを認識していないため、標準のPostgreSQL設定のみを対象としています。同期の問題を回避するために、GitLabデータベースとOpenBaoデータベースを同時にバックアップする必要があります。

OpenBaoの復元

デフォルトでは、OpenBao PostgreSQLデータはチャートのバンドルされた復元手順の一部として復元されます。

別のデータベース（論理的または物理的）を使用するようにOpenBaoを設定した場合、OpenBaoデータベースのバックアップはバンドルされたバックアップユーティリティで復元できず、手動で復元する必要があります。

OpenBaoのバックアップを復元する前に、OpenBaoがスケールダウンされていることを確認してください。データベーススキーマを再作成しようとし、予期しないエラーが発生する可能性があります。OpenBaoをスケールダウンするには、以下を実行します:

kubectl scale deploy -lapp=openbao,release=<helm release name> -n <namespace> --replicas=0

OpenBaoの設定オプション

次の表に、使用可能なすべてのOpenBao設定オプションを示します。

インストールコマンドラインオプション

以下の表には、--setフラグを使用して、helm installコマンドに指定できるすべてのチャート構成が記載されています。

コンテナイメージオプション

OpenBaoチャートは、クラウドネイティブGitLabコンテナイメージをデプロイしてOpenBaoをデプロイします。OpenBaoビルドには、アップストリームバージョンからのmodificationsが含まれています。その結果、一部の機能が標準のOpenBaoリリースと異なる場合があります。

IngressおよびTLS設定オプション

OpenBaoチャートは、デフォルトでIngressターミネートTLS暗号化を使用します。

エンドツーエンドの暗号化されたTLSでOpenBaoを操作する必要があります。エンドツーエンドTLSを有効にするには、TLS接続を予期し、NGINX Ingressを介してTLS接続を渡すようにOpenBaoを設定します:

global:
  ingress:
    useNewIngressForCerts: true
config:
  tlsDisable: false
ingress:
  sslPassthroughNginx: true

注: SSLパススルーを有効にすると、cert-managerは別のIngressを作成してHTTP01チャレンジを完了する必要があります。バンドルされたcertmanagerとIssuerを使用する場合は、global.ingress.useNewIngressForCertsを設定して、発行者が正しいIngressClassを設定していることを確認してください。

ゲートウェイAPI

OpenBaoチャートを使用すると、HTTPRouteを介してトラフィックを公開できます。がグローバルに有効になっている場合、OpenBaoのリスナーは管理対象のGatewayリソースに作成されます。

モニタリング設定オプション

OpenBaoは、バンドルされたPrometheusサブチャートによってスクレイプされるPrometheusメトリクスを公開するように事前構成されています。

封印解除および初期化オプション

OpenBaoチャートは、静的自動封印解除とOpenBao宣言型自己初期化を利用します。

監査イベントストリーミングオプション

OpenBaoチャートは、イベントをGitLabにストリーミングするように監査デバイスを設定します。

外部データベースを設定する

デフォルトでは、OpenBaoは同じ認証情報と設定でメインのGitLabデータベースに接続します。

外部データベースを設定するには:

1. データベースサーバーでPostgreSQLユーザーとデータベースを作成します:

   -- Create the OpenBao user
   CREATE USER openbao WITH PASSWORD '<password>';
   
   -- Create the OpenBao database
   CREATE DATABASE openbao OWNER openbao;

2. パスワードを含むKubernetesシークレットを作成します:

   kubectl create secret -n bao generic openbao-db-password --from-literal=password="<password>"

3. 外部データベースに接続するようにOpenBaoを設定します:

   openbao:
     config:
       storage:
         postgresql:
           connection:
             host: "psql.openbao.example.com"
             port: 5432
             database: openbao
             username: openbao
             # connectTimeout:
             # keepalives:
             # keepalivesIdle:
             # keepalivesInterval:
             # keepalivesCount:
             # tcpUserTimeout:
             # sslMode: "disable"
             password:
               secret: openbao-db-password
               key: password

4. OpenBaoをデプロイまたはアップグレードします。起動すると、OpenBaoは指定されたデータベースにデータベーススキーマを自動的に作成します。