• AWS Systems Manager CloudWatch ダッシュボードは、2026 年 4 月 30 日以降は利用できなくなります。お客様は、これまでと同様に Amazon CloudWatch コンソールを使用して、Amazon CloudWatch ダッシュボードの表示、作成、管理を継続できます。詳細については、「[Amazon CloudWatch ダッシュボードのドキュメント](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/CloudWatch_Dashboards.html)」を参照してください。 # AWS Secrets and Configuration Provider のコード例 ## ASCP の認証とアクセスコントロールの例 ### 例: Amazon EKS Pod Identity サービス (pods.eks.amazonaws.com) がロールを引き受け、セッションにタグを付けることを許可する IAM ポリシー: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": "pods.eks.amazonaws.com" }, "Action": [ "sts:AssumeRole", "sts:TagSession" ] } ] } ``` ------ ## SecretProviderClass ASCP を使用して Amazon EKS にマウントするパラメータを YAML で記述します。例については「[SecretProviderClass の使用](#ascp-scenarios-secretproviderclass)」を参照してください。 ### SecretProviderClass YAML 構造 ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: name spec: provider: aws parameters: region: failoverRegion: pathTranslation: usePodIdentity: preferredAddressType: objects: ``` パラメータフィールドには、以下のマウントリクエストの詳細が含まれます。 **リージョン** (オプション) パラメータの AWS リージョン。このフィールドを使用しない場合、ASCP はノード上のアノテーションからリージョンを検索します。この検索では、マウントリクエストにオーバーヘッドが追加されるため、大量のポッドを使用するクラスターでリージョンを指定することをお勧めします。 同時に `failoverRegion` も指定すると、ASCP は両方のリージョンからパラメータの取得を試行します。どちらかのリージョンが認証の問題などで `4xx` エラーを返した場合、ASCP はいずれのパラメータもマウントしません。パラメータが `region``` から正常に取得されると、ASCP はそのパラメータ値をマウントします。`region` からはパラメータが正常に取得されないものの、`failoverRegion` からは正常に取得された場合、ASCP は取得された方のパラメータ値をマウントします。 **`failoverRegion`** (オプション) このフィールドを含めると、ASCP は `region` で定義されているリージョンと、このフィールドで定義されているリージョンからのパラメータ取得を試行します。どちらかのリージョンが認証の問題などで `4xx` エラーを返した場合、ASCP はいずれのパラメータもマウントしません。パラメータが `region` から正常に取得されると、ASCP はそのパラメータ値をマウントします。`region` からはパラメータが正常に取得されないものの、`failoverRegion` からは正常に取得された場合、ASCP は取得された方のパラメータ値をマウントします。このフィールドの使用例については、「[マルチリージョンパラメータのフェイルオーバー](#multi-region-failover)」を参照してください。 **pathTranslation** (オプション) Amazon EKS のファイル名に、Linux のスラッシュ (/) のようなパス区切り文字が含まれている場合に使用する単一の置換文字。ASCP では、パス区切り文字が含まれているファイルを作成し、マウントすることはできません。代わりに、ASCP はパス区切り文字を別の文字に置き換えます。このフィールドを使用しない場合、置換文字にはアンダースコア (\$1) が使用されます。例えば、`My/Path/Parameter` は `My_Path_Parameter` としてマウントされます。 文字の置換を防ぐには、文字列 `False` を入力してください。 ***usePodIdentity*** (オプション) 認証アプローチを決定します。指定しない場合、デフォルトではサービスアカウントの IAM ロール (IRSA) になります。 + EKS Pod Identity を使用するには、`"true"`、`"True"`、`"TRUE"`、`"t"`、または `"T"` のいずれかの値を使用します。 + IRSA を明示的に使用するには、`"false"`、`"False"`、`"FALSE"`、`"f"`、または `"F"`"= のいずれかの値に設定します。 ***preferredAddressType*** (オプション) Pod Identity Agent のエンドポイント通信の優先 IP アドレスタイプを指定します。このフィールドは EKS Pod Identity 機能を使用する場合にのみ適用され、サービスアカウントの IAM ロールを使用する場合は無視されます。値では大文字と小文字は区別されません。次の値を指定できます。 + `"ipv4"`、`"IPv4"`、または `"IPV4"` – Pod Identity Agent IPv4 エンドポイントの使用を強制します + `"ipv6"`、`"IPv6"`、または `"IPV6"` – Pod Identity Agent IPv6 エンドポイントの使用を強制します + 指定なし – 自動エンドポイント選択を使用し、最初に IPv4 エンドポイントを試して、IPv4 が失敗した場合は IPv6 エンドポイントにフォールバックします **objects** マウントするシークレットの YAML 宣言を含む文字列 YAML 複数行の文字列またはパイプ (\$1) 文字を使用することをお勧めします。 **objectName** 必須。取得するパラメータまたはシークレットの名前を指定します。Parameter Store の場合、これはパラメータの [https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameter.html#API_GetParameter_RequestParameters](https://docs.aws.amazon.com/systems-manager/latest/APIReference/API_GetParameter.html#API_GetParameter_RequestParameters) であり、パラメータの名前または完全な ARN のいずれかを使用できます。Secrets Manager の場合、これは [https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetSecretValue.html#API_GetSecretValue_RequestParameters](https://docs.aws.amazon.com/secretsmanager/latest/apireference/API_GetSecretValue.html#API_GetSecretValue_RequestParameters) パラメータであり、シークレットのわかりやすい名前または完全な ARN のいずれかを使用できます。 **objectType** `objectName` で Secrets Manager ARN を使用しない場合は必須。Parameter Store の場合は、`ssmparameter` を使用します。Secrets Manager の場合は、`secretsmanager` を使用します。 **objectAlias** (オプション) Amazon EKS ポッド内のシークレットのファイル名。このフィールドを指定しなかった場合、`objectName` がファイル名として表示されます。 **objectVersion** (オプション) パラメータのバージョン ID。バージョン ID は、パラメータを変更するたびに更新の必要が生じるため、これは推奨されません。デフォルトでは、最新バージョンが使用されます。`failoverRegion` を含めると、このフィールドはプライマリの `objectVersion` になります。 **objectVersionLabel** (オプション) バージョンのエイリアス デフォルトは最新バージョンの `AWSCURRENT` です。`failoverRegion` を含めると、このフィールドはプライマリの `objectVersionLabel` になります。 **jmesPath** (オプション) パラメータのキーと、Amazon EKS にマウントされるファイルのマップ。このフィールドを使用するには、パラメータ値を JSON 形式にする必要があります。 以下の例は、JSON エンコードパラメータがどのようになるのかを示しています。 ``` { "username" : "myusername", "password" : "mypassword" } ``` キーは `username` と `password` です。`username` に関連付けられている値は `myusername`、`password` に関連付けられている値は `mypassword` です。 このフィールドを使用する場合は、サブフィールド `path` および `objectAlias` を含める必要があります。 **パス** パラメータ値の JSON 内のキーと値のペアからのキー。フィールドにハイフンが含まれている場合は、一重引用符でエスケープします。例: `path: '"hyphenated-path"'` **objectAlias** Amazon EKS ポッドにマウントされるファイル名。フィールドにハイフンが含まれている場合は、一重引用符でエスケープします。例: `objectAlias: '"hyphenated-alias"'` **`failoverObject`** (オプション) このフィールドを指定した場合、ASCP はプライマリ `objectName` で指定されたパラメータと、`failoverObject`、`objectName` サブフィールドで指定されたパラメータの両方の取得を試行します。どちらかが認証の問題などで `4xx` エラーを返した場合、ASCP はいずれのパラメータもマウントしません。パラメータがプライマリ `objectName` から正常に取得されると、ASCP はそのパラメータ値をマウントします。プライマリ `objectName` からはパラメータが正常に取得されないものの、フェイルオーバー `objectName` からは正常に取得された場合、ASCP は取得された方のパラメータ値をマウントします。このフィールドを含める場合は、フィールド `objectAlias` も含める必要があります。このフィールドの使用例については、「[別のパラメータにフェイルオーバーする](#failover-parameter)」を参照してください。 通常、このフィールドはフェイルオーバーパラメータがレプリカではない場合に使用します。レプリカを指定する際の例については、「[マルチリージョンパラメータのフェイルオーバー](#multi-region-failover)」を参照してください。 **objectName** フェイルオーバーパラメータの名前または完全な ARN。ARN を使用する場合、ARN 内のリージョンはフィールド `failoverRegion` と一致する必要があります。 **objectVersion** (オプション) パラメータのバージョン ID。プライマリ `objectVersion` と一致している必要があります。バージョン ID は、パラメータを変更するたびに更新の必要が生じるため、これは推奨されません。デフォルトでは、最新バージョンが使用されます。 **objectVersionLabel** (オプション) バージョンのエイリアス デフォルトは最新バージョンの `AWSCURRENT` です。 ### Amazon EKS ポッドにパラメータをマウントするための基本的な SecretProviderClass 設定を作成します。 ------ #### [ Pod Identity ] 同じ Amazon EKS クラスターのパラメータを使用する SecretProviderClass: ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: aws-parameter-store spec: provider: aws parameters: objects: | - objectName: "MyParameter" objectType: "ssmparameter" usePodIdentity: "true" ``` ------ #### [ IRSA ] ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: deployment-aws-parameter spec: provider: aws parameters: objects: | - objectName: "MyParameter" objectType: "ssmparameter" ``` ------ ### SecretProviderClass の使用 これらの例を使用して、さまざまなシナリオの `SecretProviderClass` 設定を作成します。 #### 例: 名前または ARN でパラメータをマウントする この例では、3 つの異なるタイプのパラメータをマウントする方法を示します。 + 完全な ARN で指定されたパラメータ + 名前で指定されたパラメータ + シークレットのパラメータバージョン ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: aws-parameters spec: provider: aws parameters: objects: | - objectName: "arn:aws:ssm:us-east-2:777788889999:parameter:MyParameter2-d4e5f6" - objectName: "MyParameter3" objectType: "ssmparameter" - objectName: "MyParameter4" objectType: "ssmparameter" objectVersionLabel: "AWSCURRENT" ``` #### 例: パラメータからキーと値のペアをマウントする この例では、JSON 形式のパラメータから特定のキーと値のペアをマウントする方法を示します。 ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: aws-parameters spec: provider: aws parameters: objects: | - objectName: "arn:aws:ssm:us-east-2:777788889999:parameter:MyParameter-a1b2c3" jmesPath: - path: username objectAlias: dbusername - path: password objectAlias: dbpassword ``` #### 例: フェイルオーバー設定の例 これらの例では、パラメータのフェイルオーバーを設定する方法を示します。 ##### マルチリージョンパラメータのフェイルオーバー この例では、複数のリージョンにレプリケートされたパラメータの自動フェイルオーバーを設定する方法を示します。 ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: aws-parameters spec: provider: aws parameters: region: us-east-1 failoverRegion: us-east-2 objects: | - objectName: "MyParameter" ``` ##### 別のパラメータにフェイルオーバーする この例では、(レプリカではない) 別のパラメータへのフェイルオーバーを設定する方法を示します。 ``` apiVersion: secrets-store.csi.x-k8s.io/v1 kind: SecretProviderClass metadata: name: aws-parameters spec: provider: aws parameters: region: us-east-1 failoverRegion: us-east-2 objects: | - objectName: "arn:aws:ssm:us-east-1:777788889999:parameter:MyParameter-a1b2c3" objectAlias: "MyMountedParameter" failoverObject: - objectName: "arn:aws:ssm:us-east-2:777788889999:parameter:MyFailoverParameter-d4e5f6" ``` ## その他のリソース Amazon EKS での ASCP の使用に関する詳細については、次のリソースを参照してください。 + [Amazon EKS で Pod Identity を使用する](https://docs.aws.amazon.com/eks/latest/userguide/pod-identities.html) + [GitHub の AWS Secrets Store CSI ドライバー](https://github.com/aws/secrets-store-csi-driver-provider-aws)