OpenBaoチャート

OpenBaoチャートを使用してOpenBaoをインストールできます。OpenBaoは、GitLab Secrets Managerを有効にするために必要です。

既知の問題

• ダウンタイムなしでOpenBaoをアップグレードすることはできません。ゼロダウンタイムアップグレードについて、OpenBaoチャートのイシュー13で提案されています。
• GitLab Operatorを使用してOpenBaoをデプロイすることはできません。
• OpenBaoイメージのFIPSバリアントのビルド作業は進行中ですが、OpenBaoはFIPS検証済みではありません。FIPS検証についてはGitLabイシュー574875で追跡されています。

GitLab Secrets ManagerとOpenBaoをセットアップする

1. 既存のGitLabインスタンスで、OpenBaoを有効にします:

   # Enable OpenBao integration
   global:
     openbao:
       enabled: true
   # Install bundled OpenBao
   openbao:
     install: true

2. GitLabの上部のバーで、検索または移動先を選択して、プロジェクトを見つけます。

3. 設定 > 一般を選択します。

4. 可視性、プロジェクトの機能、権限を展開します。

5. シークレットマネージャーの切替をオンにして、Secrets Managerがプロビジョニングされるまで待ちます。

Geo設定

GitLab Geoのデプロイでは、セカンダリサイトはプライマリサイトとは異なるURLを使用してOpenBaoに到達する場合があります。GitLab OpenBaoの認証におけるJWTオーディエンスクレームは、OpenBaoでbound_audiencesに設定されているものと一致する必要があります。各サイトでOpenBaoのURLが異なる場合、jwt_audienceを共有値（通常はプライマリサイトのOpenBao URL）に設定して、JWTがどのサイトで生成されたかに関わらずOpenBaoで受け入れられるようにします。

セカンダリサイトを設定します:

global:
  openbao:
    enabled: true
    # Site-specific URL for this Geo secondary
    url: https://openbao.secondary.example.com:8200
    # Shared audience - must match OpenBao bound_audiences (e.g. primary site URL)
    jwt_audience: https://openbao.shared.example.com:8200

OpenBao config.initialize.boundAudiencesがjwt_audienceの値を含むことを確認します。バンドルされたOpenBaoチャートを使用する場合、boundAudiencesは外部OpenBaoホスト名にデフォルトで設定されます。Geoの場合、jwt_audienceとして使用される共有URLを含めるためにこれをオーバーライドする必要がある場合があります。

フェイルオーバーシナリオで、セカンダリサイトがプライマリにプロモートされる場合、設定からjwt_audienceを省略します。プロモートされたプライマリは自身のURLを使用し、オーディエンスは当該URLにデフォルト設定されます。

OpenBaoのアップグレードをロールバックする

OpenBaoのアップグレードでは、下位互換性のないPostgreSQLデータの変更が行われる可能性があります。そのため、OpenBaoのアップグレードをロールバックする必要が生じた場合に互換性の問題を引き起こすことがあります。

OpenBaoをアップグレードする前に、必ずバックアップしてください。OpenBaoのアップグレードをロールバックする必要がある場合は、OpenBaoのバージョンに一致するデータベースバックアップも復元してください。

詳細については、OpenBaoのアップグレードドキュメントを参照してください。

OpenBaoをバックアップする

OpenBaoを完全にバックアップするには、以下が必要です:

• アンシールキー。これらのキーは、復元後にOpenBaoデータにアクセスするために不可欠です。OpenBaoシークレットのシークレットバックアップ手順に従ってください。
• PostgreSQLデータベース。

デフォルトでは、OpenBaoのPostgreSQLデータは、チャートの組み込みバックアップ手順の一部としてバックアップされます。

別のデータベース（論理または物理）を使用するようにOpenBaoを設定している場合は、そのデータベースを手動でバックアップする必要があります。デフォルトのバックアップツールは、他の外部データベースを認識しないため、標準のPostgreSQLセットアップのみを対象としています。同期の問題を回避するために、GitLabデータベースとOpenBaoデータベースは同時にバックアップする必要があります。

OpenBaoを復元する

デフォルトでは、OpenBaoのPostgreSQLデータは、チャートの組み込み復元手順の一部として復元されます。

別のデータベース（論理または物理）を使用するようにOpenBaoを設定している場合は、OpenBaoデータベースのバックアップは組み込みのバックアップユーティリティで復元できず、手動で復元する必要があります。

OpenBaoのバックアップを復元する前に、OpenBaoをスケールダウンしていることを確認してください。OpenBaoはデータベーススキーマを再作成しようとするため、予期しないエラーが発生する可能性があります。OpenBaoをスケールダウンするには、以下を実行します:

kubectl scale deploy -lapp=openbao,release=<helm release name> -n <namespace> --replicas=0

OpenBaoの設定オプション

次の表は、利用可能なOpenBaoの設定オプションをすべて示しています。

インストールコマンドラインオプション

以下の表は、--setフラグを使用してhelm installコマンドに指定できるチャート設定をすべて示しています。

コンテナイメージのオプション

OpenBaoチャートは、OpenBaoをデプロイするためにクラウドネイティブGitLabコンテナイメージをデプロイします。OpenBaoのビルドには、アップストリームバージョンからの修正が含まれています。その結果、一部の機能が標準のOpenBaoリリースと異なる場合があります。

IngressおよびTLSの設定オプション

OpenBaoチャートは、デフォルトでIngress終端のTLS暗号化を使用します。

OpenBaoは、エンドツーエンドでTLS暗号化した状態で運用する必要があります。エンドツーエンドTLSを有効にするには、OpenBaoがTLS接続を受け付けるように設定し、NGINX Ingressを介してTLS接続をパススルーさせます:

global:
  ingress:
    useNewIngressForCerts: true
config:
  tlsDisable: false
ingress:
  sslPassthroughNginx: true

ゲートウェイAPI

OpenBaoチャートでは、HTTPRouteを介してトラフィックを公開できます。ゲートウェイAPIがグローバルに有効になっている場合、管理対象のGatewayリソース内にOpenBao用のリスナーが作成されます。

モニタリングの設定オプション

OpenBaoは、Prometheusメトリクスを公開するように事前設定されています。これらのメトリクスは、バンドルされているPrometheusサブチャートによってスクレイプされます。

アンシールおよび初期化オプション

OpenBaoチャートは、相互に排他的な2つの自動アンシール方式をサポートしています:

• 静的自動アンシール (デフォルト)
• AWS KMSアンシール

また、OpenBaoの宣言的な自己初期化も使用します。

AWS KMSアンシール

AWS KMSアンシールは、アンシールキーをAWS KMSキーに委任し、静的キーシークレットを管理する必要をなくします。

AWS (EKS、EC2)で実行する場合、明示的なAWS認証情報が不要となるように、IRSAまたはインスタンスプロファイルを使用します。OpenBaoサービスアカウントにIAMロールのARNをアノテーション付けします:

openbao:
  serviceAccount:
    annotations:
      eks.amazonaws.com/role-arn: "arn:aws:iam::<account-id>:role/<role-name>"
  config:
    unseal:
      static:
        enabled: false
      awskms:
        enabled: true
        kmsKeyId: "alias/my-openbao-key"
        region: "us-east-1"

IAMロールには、KMSキーに対するkms:Encrypt、kms:Decrypt、およびkms:DescribeKeyのパーミッションが必要です。

監査イベントストリーミングオプション

OpenBaoチャートは、イベントをGitLabにストリーミングするための監査デバイスを設定します。

データベース設定

OpenBaoは、Railsバックエンドからのデータ分離のために、separate logical database (openbaoをデフォルト) を使用します。

ホスト、データベース、ユーザー名、パスワードでglobal.openbao.psqlまたはopenbao.config.storage.postgresql.connectionを設定します。データベースは手動で作成する必要があります。パスワードが必要です。メインのGitLabデータベースからは継承されません。

外部データベースを設定するには:

1. データベースサーバーでPostgreSQLユーザーとデータベースを作成します:

   -- Create the OpenBao user
   CREATE USER openbao WITH PASSWORD '<password>';
   
   -- Create the OpenBao database
   CREATE DATABASE openbao OWNER openbao;

2. パスワードを含むKubernetesシークレットを作成します:

   kubectl create secret -n bao generic openbao-db-password --from-literal=password="<password>"

3. 外部データベースに接続するようにOpenBaoを設定します:

   global:
     openbao:
       psql:
         host: "psql.openbao.example.com"
         port: 5432
         database: openbao
         username: openbao
         password:
           secret: openbao-db-password
           key: password

   これはglobal.openbao.psqlを使用します。これは、Toolboxからバックアップおよび復元する操作のためにアクセスできるため、推奨される場所です。高度な接続オプション（sslMode、connectTimeout、またはキープアライブチューニングなど）を設定するには、グローバル設定とともにopenbao.config.storage.postgresql.connectionを使用します。

4. OpenBaoをデプロイまたはアップグレードします。起動すると、OpenBaoは指定されたデータベース内にデータベーススキーマを自動的に作成します。