メインコンテンツまでスキップ
バージョン: 3.15
Features and pricing

Helm Charts をはじめよう (cert-manager / Auditor モードを使用した TLS 対応の ScalarDL Ledger および Auditor)

このチュートリアルでは、Kubernetes クラスターでテスト環境として Helm Charts と cert-manager を使用して、TLS 構成で ScalarDL Ledger と ScalarDL Auditor を使い始める方法について説明します。開始する前に、テスト用の Mac または Linux 環境を用意しておく必要があります。また、このチュートリアルでは minikube の使用について説明していますが、説明されている手順はどの Kubernetes クラスターでも機能するはずです。

要件​

  • ScalarDL のライセンスキー (試用ライセンスまたは商用ライセンス) が必要です。ライセンスキーをお持ちでない場合は、お問い合わせください。
  • TLS をサポートする ScalarDL 3.9以降を使用する必要があります。
注記

監査によるビザンチン障害検出を適切に行うには、ScalarDL Ledger と ScalarDL Auditor を異なる管理ドメインにデプロイして管理する必要があります。ただし、このチュートリアルでは、テストを容易にするために、ScalarDL Ledger と ScalarDL Auditor を同じ Kubernetes クラスターにデプロイします。

作成するもの​

このチュートリアルでは、次の方法で Kubernetes クラスターに次のコンポーネントをデプロイします。

+-----------------------------------------------------------------------------------------------------------------------------+
| [Kubernetes Cluster]                                                                                                        |
|                                             [Pod]                                      [Pod]                   [Pod]        |
|                                                                                                                             |
|                                           +-------+                                 +---------+                             |
|                                     +---> | Envoy | ---+                      +---> | Ledger  | ---+                        |
|                                     |     +-------+    |                      |     +---------+    |                        |
|                                     |                  |                      |                    |                        |
|                      +---------+    |     +-------+    |     +-----------+    |     +---------+    |     +---------------+  |
|                +---> | Service | ---+---> | Envoy | ---+---> |  Service  | ---+---> | Ledger  | ---+---> |  PostgreSQL   |  |
|                |     | (Envoy) |    |     +-------+    |     | (Ledger)  |    |     +---------+    |     | (For Ledger)  |  |
|                |     +---------+    |                  |     +-----------+    |                    |     +---------------+  |
|    [Pod]       |                    |     +-------+    |                      |     +---------+    |                        |
|                |                    +---> | Envoy | ---+                      +---> | Ledger  | ---+                        |
|  +--------+    |                          +-------+                                 +---------+                             |
|  | Client | ---+                                                                                                            |
|  +--------+    |                          +-------+                                 +---------+                             |
|                |                    +---> | Envoy | ---+                      +---> | Auditor | ---+                        |
|                |                    |     +-------+    |                      |     +---------+    |                        |
|                |                    |                  |                      |                    |                        |
|                |     +---------+    |     +-------+    |     +-----------+    |     +---------+    |     +---------------+  |
|                +---> | Service | ---+---> | Envoy | ---+---> |  Service  | ---+---> | Auditor | ---+---> |  PostgreSQL   |  |
|                      | (Envoy) |    |     +-------+    |     | (Auditor) |    |     +---------+    |     | (For Auditor) |  |
|                      +---------+    |                  |     +-----------+    |                    |     +---------------+  |
|                                     |     +-------+    |                      |     +---------+    |                        |
|                                     +---> | Envoy | ---+                      +---> | Auditor | ---+                        |
|                                           +-------+                                 +---------+                             |
|                                                                                                                             |
|  +--------------------------------------------------------------------------+    +---------------------+                    |
|  | cert-manager (create private key and certificate for Envoy and ScalarDL) |    | Issuer (Private CA) |                    |
|  +--------------------------------------------------------------------------+    +---------------------+                    |
|                                                                                                                             |
+-----------------------------------------------------------------------------------------------------------------------------+

cert-manager は、TLS 接続用に次の秘密鍵と証明書ファイルを自動的に作成します。

                                                           +----------------------+
                                                     +---> | For Scalar Envoy     |
                                                     |     +----------------------+
                                                     |     | tls.key              |
                                                     |     | tls.crt              |
                                                     |     +----------------------+
                                                     |     
+-------------------------+                          |     +----------------------+
| Issuer (Self-signed CA) | ---(Sign certificates)---+---> | For ScalarDL Ledger  |
+-------------------------+                          |     +----------------------+
| tls.key                 |                          |     | tls.key              |
| tls.crt                 |                          |     | tls.crt              |
| ca.crt                  |                          |     +----------------------+
+-------------------------+                          |     
                                                     |     +----------------------+
                                                     +---> | For ScalarDL Auditor |
                                                           +----------------------+
                                                           | tls.key              |
                                                           | tls.crt              |
                                                           +----------------------+

Scalar Helm Charts は、各接続で TLS を有効にするために、Envoy と ScalarDL の各秘密鍵と証明書ファイルを次のように自動的にマウントします。ルート CA 証明書ファイルはクライアントに手動でマウントします。

                                                                            +------------------------------------------------+      +--------------------------------------+
                                             +-------(Normal request)-----> | Envoy for ScalarDL Ledger                      | ---> | ScalarDL Ledger                      |
                                             |                              +------------------------------------------------+      +--------------------------------------+
                                             |   +---(Recovery request)---> | tls.key                                        | ---> | tls.key                              |
                                             |   |                          | tls.crt                                        |      | tls.crt                              |
                                             |   |                          | ca.crt (to verify tls.crt of ScalarDL Ledger)  |      | ca.crt (to check health)             |
                                             |   |                          +------------------------------------------------+      +--------------------------------------+
+---------------------------------------+    |   |
| Client                                | ---+   |
+---------------------------------------+    |   +------------------------------------------------------------------------------------------------------------------------------+
| ca.crt (to verify tls.crt of Envoy)   |    |                                                                                                                                  |
+---------------------------------------+    |                                                                                                                                  |
                                             |                              +------------------------------------------------+      +--------------------------------------+    |
                                             +-------(Normal request)-----> | Envoy for ScalarDL Auditor                     | ---> | ScalarDL Auditor                     | ---+
                                                                            +------------------------------------------------+      +--------------------------------------+
                                                                            | tls.key                                        |      | tls.key                              |
                                                                            | tls.crt                                        |      | tls.crt                              |
                                                                            | ca.crt (to verify tls.crt of ScalarDL Auditor) |      | ca.crt (to check health)             |
                                                                            +------------------------------------------------+      | ca.crt (to verify tls.crt of Envoy)  |
                                                                                                                                    +--------------------------------------+

ScalarDL 関連コンポーネント間には、次の接続が存在します:

  • クライアント - ScalarDL Ledger 用 Envoy: ScalarDL API 関数を実行すると、クライアントは ScalarDL Ledger 用 Envoy にアクセスします。
  • クライアント - ScalarDL Auditor 用 Envoy: ScalarDL API 関数を実行すると、クライアントは ScalarDL Auditor 用 Envoy にアクセスします。
  • ScalarDL Ledger 用 Envoy - ScalarDL Ledger: Envoy は ScalarDL Ledger の前で L7 (gRPC) ロードバランサーとして機能します。
  • ScalarDL Auditor 用 Envoy - ScalarDL Auditor: Envoy は ScalarDL Auditor の前で L7 (gRPC) ロードバランサーとして機能します。
  • ScalarDL Auditor - Envoy for ScalarDL Ledger (ScalarDL Ledger): ScalarDL がデータの一貫性を保つために回復プロセスを実行する必要がある場合、ScalarDL Auditor は Envoy を介して ScalarDL Ledger に対してリクエストを実行します。

ステップ1. Kubernetes クラスターを起動してツールをインストールする​

Kubernetes クラスターを準備し、いくつかのツール (kubectl、helm、cfssl、および cfssljson) をインストールする必要があります。インストール方法の詳細については、Scalar Helm Charts の使用開始を参照してください。

ステップ2. PostgreSQL コンテナを起動する​

ScalarDL Ledger と ScalarDL Auditor は、バックエンドデータベースとして何らかのデータベースシステムを使用する必要があります。このチュートリアルでは、PostgreSQL を使用します。

次のようにして、Kubernetes クラスターに PostgreSQL をデプロイできます。

  1. Bitnami helm リポジトリを追加します。

    helm repo add bitnami https://charts.bitnami.com/bitnami

  2. Ledger 用に PostgreSQL をデプロイします。

    helm install postgresql-ledger bitnami/postgresql \
      --set auth.postgresPassword=postgres \
      --set primary.persistence.enabled=false \
      -n default

  3. Auditor 用に PostgreSQL をデプロイします。

    helm install postgresql-auditor bitnami/postgresql \
      --set auth.postgresPassword=postgres \
      --set primary.persistence.enabled=false \
      -n default

  4. PostgreSQL コンテナが実行されているかどうかを確認します。

    kubectl get pod -n default

    [コマンド実行結果]

    NAME                   READY   STATUS    RESTARTS   AGE
    postgresql-auditor-0   1/1     Running   0          11s
    postgresql-ledger-0    1/1     Running   0          16s

ステップ3. 作業ディレクトリを作成する​

ローカルにいくつかの構成ファイルと秘密鍵および証明書ファイルを作成します。必ずそれらのファイル用の作業ディレクトリを作成してください。

  1. 作業ディレクトリを作成します。

    mkdir -p ${HOME}/scalardl-test/

ステップ4. cert-manager と発行者リソースをデプロイする​

このチュートリアルでは、cert-manager を使用して秘密鍵と証明書を発行および管理します。次のようにして、Kubernetes クラスターに cert-manager をデプロイできます。

  1. Jetstack helm リポジトリを追加します。

    helm repo add jetstack https://charts.jetstack.io

  2. cert-manager をデプロイします。

    helm install cert-manager jetstack/cert-manager \
      --create-namespace \
      --set installCRDs=true \
      -n cert-manager

  3. cert-manager コンテナが実行されているかどうかを確認します。

    kubectl get pod -n cert-manager

    [コマンド実行結果]

    NAME                                      READY   STATUS    RESTARTS   AGE
    cert-manager-6dc66985d4-6lvtt             1/1     Running   0          26s
    cert-manager-cainjector-c7d4dbdd9-xlrpn   1/1     Running   0          26s
    cert-manager-webhook-847d7676c9-ckcz2     1/1     Running   0          26s

  4. 作業ディレクトリを ${HOME}/scalardl-test/ に変更します。

    cd ${HOME}/scalardl-test/

  5. プライベート CA のカスタム値ファイル (private-ca-custom-values.yaml) を作成します。

    cat << 'EOF' > ${HOME}/scalardl-test/private-ca-custom-values.yaml
    apiVersion: cert-manager.io/v1
    kind: Issuer
    metadata:
      name: self-signed-issuer
    spec:
      selfSigned: {}
    ---
    apiVersion: cert-manager.io/v1
    kind: Certificate
    metadata:
      name: self-signed-ca-cert
    spec:
      isCA: true
      commonName: self-signed-ca
      secretName: self-signed-ca-cert-secret
      privateKey:
        algorithm: ECDSA
        size: 256
      issuerRef:
        name: self-signed-issuer
        kind: Issuer
        group: cert-manager.io
    ---
    apiVersion: cert-manager.io/v1
    kind: Issuer
    metadata:
      name: self-signed-ca
    spec:
      ca:
        secretName: self-signed-ca-cert-secret
    EOF

  6. 自己署名 CA を展開します。

    kubectl apply -f ./private-ca-custom-values.yaml

  7. 発行者リソースが True であるかどうかを確認します。

    kubectl get issuer

    [コマンド実行結果]

    NAME                 READY   AGE
    self-signed-ca      True    6s
    self-signed-issuer   True    6s

ステップ5. Helm Charts を使用して ScalarDL Ledger と ScalarDL Auditor のデータベーススキーマを作成する​

Helm Charts を使用して、Kubernetes クラスターに2つの ScalarDL Schema Loader ポッドをデプロイします。ScalarDL Schema Loader は、PostgreSQL に ScalarDL Ledger と Auditor のデータベーススキーマを作成します。

  1. Scalar Helm Charts リポジトリを追加します。

    helm repo add scalar-labs https://scalar-labs.github.io/helm-charts

  2. ScalarDL Schema Loader for Ledger のカスタム値ファイル (schema-loader-ledger-custom-values.yaml) を作成します。

    cat << 'EOF' > ${HOME}/scalardl-test/schema-loader-ledger-custom-values.yaml
    schemaLoading:
      schemaType: "ledger"
      databaseProperties: |
        scalar.db.contact_points=jdbc:postgresql://postgresql-ledger.default.svc.cluster.local:5432/postgres
        scalar.db.username=${env:SCALAR_DL_LEDGER_POSTGRES_USERNAME}
        scalar.db.password=${env:SCALAR_DL_LEDGER_POSTGRES_PASSWORD}
        scalar.db.storage=jdbc
      secretName: "schema-ledger-credentials-secret"
    EOF

  3. ScalarDL Schema Loader for Auditor のカスタム値ファイル (schema-loader-auditor-custom-values.yaml) を作成します。

    cat << 'EOF' > ${HOME}/scalardl-test/schema-loader-auditor-custom-values.yaml
    schemaLoading:
      schemaType: "auditor"
      databaseProperties: |
        scalar.db.contact_points=jdbc:postgresql://postgresql-auditor.default.svc.cluster.local:5432/postgres
        scalar.db.username=${env:SCALAR_DL_AUDITOR_POSTGRES_USERNAME}
        scalar.db.password=${env:SCALAR_DL_AUDITOR_POSTGRES_PASSWORD}
        scalar.db.storage=jdbc
      secretName: "schema-auditor-credentials-secret"
    EOF

  4. ScalarDL Ledger 用の PostgreSQL のユーザー名とパスワードを含む schema-ledger-credentials-secret という名前のシークレットリソースを作成します。

    kubectl create secret generic schema-ledger-credentials-secret \
      --from-literal=SCALAR_DL_LEDGER_POSTGRES_USERNAME=postgres \
      --from-literal=SCALAR_DL_LEDGER_POSTGRES_PASSWORD=postgres \
      -n default

  5. ScalarDL Auditor 用の PostgreSQL のユーザー名とパスワードを含む schema-auditor-credentials-secret という名前のシークレットリソースを作成します。

    kubectl create secret generic schema-auditor-credentials-secret \
      --from-literal=SCALAR_DL_AUDITOR_POSTGRES_USERNAME=postgres \
      --from-literal=SCALAR_DL_AUDITOR_POSTGRES_PASSWORD=postgres \
      -n default

  6. ScalarDL Schema Loader のチャートバージョンを設定します。

    SCALAR_DL_VERSION=3.9.1
    SCALAR_DL_SCHEMA_LOADER_CHART_VERSION=$(helm search repo scalar-labs/schema-loading -l | grep -F "${SCALAR_DL_VERSION}" | awk '{print $2}' | sort --version-sort -r | head -n 1)

  7. ScalarDL Ledger 用の ScalarDL Schema Loader をデプロイします。

    helm install schema-loader-ledger scalar-labs/schema-loading -f ${HOME}/scalardl-test/schema-loader-ledger-custom-values.yaml --version ${SCALAR_DL_SCHEMA_LOADER_CHART_VERSION} -n default

  8. ScalarDL Auditor 用の ScalarDL Schema Loader をデプロイします。

    helm install schema-loader-auditor scalar-labs/schema-loading -f ${HOME}/scalardl-test/schema-loader-auditor-custom-values.yaml --version ${SCALAR_DL_SCHEMA_LOADER_CHART_VERSION} -n default

  9. ScalarDL Schema Loader ポッドが「完了」ステータスでデプロイされているかどうかを確認します。

    kubectl get pod -n default

    [コマンド実行結果]

    NAME                                         READY   STATUS      RESTARTS   AGE
    postgresql-auditor-0                         1/1     Running     0          2m56s
    postgresql-ledger-0                          1/1     Running     0          3m1s
    schema-loader-auditor-schema-loading-dvc5r   0/1     Completed   0          6s
    schema-loader-ledger-schema-loading-mtllb    0/1     Completed   0          10s

    ScalarDL Schema Loader ポッドのステータスが ContainerCreating または Running の場合、それらのポッドの STATUS 列に Completed と表示されるまで待ちます。

ステップ6. Helm Charts を使用して、Kubernetes クラスターに ScalarDL Ledger と ScalarDL Auditor をデプロイします​

  1. ライセンスキーと証明書を環境変数として設定します。ライセンスキーがない場合は、お問い合わせください。<CERT_PEM_FOR_YOUR_SCALAR_DL_LEDGER_LICENSE_KEY> と <CERT_PEM_FOR_YOUR_SCALAR_DL_AUDITOR_LICENSE_KEY> の値の詳細については、製品ライセンスキーを構成する方法を参照してください。

    SCALAR_DL_LEDGER_LICENSE_KEY='<YOUR_SCALAR_DL_LEDGER_LICENSE_KEY>'
    SCALAR_DL_LEDGER_LICENSE_CHECK_CERT_PEM='<CERT_PEM_FOR_YOUR_SCALAR_DL_LEDGER_LICENSE_KEY>'
    SCALAR_DL_AUDITOR_LICENSE_KEY='<YOUR_SCALAR_DL_AUDITOR_LICENSE_KEY>'
    SCALAR_DL_AUDITOR_LICENSE_CHECK_CERT_PEM='<CERT_PEM_FOR_YOUR_SCALAR_DL_AUDITOR_LICENSE_KEY>'

  2. ScalarDL Ledger のカスタム値ファイル (scalardl-ledger-custom-values.yaml) を作成します。

    cat << 'EOF' > ${HOME}/scalardl-test/scalardl-ledger-custom-values.yaml
    envoy:

      tls:
        downstream:
          enabled: true
          certManager:
            enabled: true
            issuerRef:
              name: self-signed-ca
            dnsNames:
              - envoy.scalar.example.com
        upstream:
          enabled: true
          overrideAuthority: "ledger.scalardl.example.com"

    ledger:

      image:
        repository: "ghcr.io/scalar-labs/scalardl-ledger-byol"

      ledgerProperties: |
        ### Storage configurations
        scalar.db.storage=jdbc
        scalar.db.contact_points=jdbc:postgresql://postgresql-ledger.default.svc.cluster.local:5432/postgres
        scalar.db.username=${env:SCALAR_DL_LEDGER_POSTGRES_USERNAME}
        scalar.db.password=${env:SCALAR_DL_LEDGER_POSTGRES_PASSWORD}

        ### Ledger configurations
        scalar.dl.ledger.proof.enabled=true
        scalar.dl.ledger.auditor.enabled=true
        scalar.dl.ledger.authentication.method=hmac
        scalar.dl.ledger.authentication.hmac.cipher_key=${env:SCALAR_DL_LEDGER_HMAC_CIPHER_KEY}
        scalar.dl.ledger.servers.authentication.hmac.secret_key=${env:SCALAR_DL_LEDGER_HMAC_SECRET_KEY}

        ### TLS configurations
        scalar.dl.ledger.server.tls.enabled=true
        scalar.dl.ledger.server.tls.cert_chain_path=/tls/scalardl-ledger/certs/tls.crt
        scalar.dl.ledger.server.tls.private_key_path=/tls/scalardl-ledger/certs/tls.key

        ### License key configurations
        scalar.dl.licensing.license_key=${env:SCALAR_DL_LEDGER_LICENSE_KEY}
        scalar.dl.licensing.license_check_cert_pem=${env:SCALAR_DL_LEDGER_LICENSE_CHECK_CERT_PEM}

      tls:
        enabled: true
        overrideAuthority: "ledger.scalardl.example.com"
        certManager:
          enabled: true
          issuerRef:
            name: self-signed-ca
          dnsNames:
            - ledger.scalardl.example.com

      secretName: "ledger-credentials-secret"
    EOF

  3. ScalarDL Auditor のカスタム値ファイル (scalardl-auditor-custom-values.yaml) を作成します。

    cat << 'EOF' > ${HOME}/scalardl-test/scalardl-auditor-custom-values.yaml
    envoy:

      tls:
        downstream:
          enabled: true
          certManager:
            enabled: true
            issuerRef:
              name: self-signed-ca
            dnsNames:
              - envoy.scalar.example.com
        upstream:
          enabled: true
          overrideAuthority: "auditor.scalardl.example.com"


    auditor:

      image:
        repository: "ghcr.io/scalar-labs/scalardl-auditor-byol"

      auditorProperties: |
        ### Storage configurations
        scalar.db.storage=jdbc
        scalar.db.contact_points=jdbc:postgresql://postgresql-auditor.default.svc.cluster.local:5432/postgres
        scalar.db.username=${env:SCALAR_DL_AUDITOR_POSTGRES_USERNAME}
        scalar.db.password=${env:SCALAR_DL_AUDITOR_POSTGRES_PASSWORD}

        ### Auditor configurations
        scalar.dl.auditor.ledger.host=scalardl-ledger-envoy.default.svc.cluster.local
        scalar.dl.auditor.authentication.method=hmac
        scalar.dl.auditor.authentication.hmac.cipher_key=${env:SCALAR_DL_AUDITOR_HMAC_CIPHER_KEY}
        scalar.dl.auditor.servers.authentication.hmac.secret_key=${env:SCALAR_DL_AUDITOR_HMAC_SECRET_KEY}

        ### TLS configurations
        scalar.dl.auditor.server.tls.enabled=true
        scalar.dl.auditor.server.tls.cert_chain_path=/tls/scalardl-auditor/certs/tls.crt
        scalar.dl.auditor.server.tls.private_key_path=/tls/scalardl-auditor/certs/tls.key
        scalar.dl.auditor.tls.enabled=true
        scalar.dl.auditor.tls.ca_root_cert_path=/tls/scalardl-ledger/certs/ca.crt
        scalar.dl.auditor.tls.override_authority=envoy.scalar.example.com

        ### License key configurations
        scalar.dl.licensing.license_key=${env:SCALAR_DL_AUDITOR_LICENSE_KEY}
        scalar.dl.licensing.license_check_cert_pem=${env:SCALAR_DL_AUDITOR_LICENSE_CHECK_CERT_PEM}

      tls:
        enabled: true
        overrideAuthority: "auditor.scalardl.example.com"
        certManager:
          enabled: true
          issuerRef:
            name: self-signed-ca
          dnsNames:
            - auditor.scalardl.example.com

      secretName: "auditor-credentials-secret"
    EOF

  4. 資格情報とライセンスキーを含む ledger-credentials-secret という名前のシークレットリソースを作成します。

    kubectl create secret generic ledger-credentials-secret \
    --from-literal=SCALAR_DL_LEDGER_POSTGRES_USERNAME=postgres \
    --from-literal=SCALAR_DL_LEDGER_POSTGRES_PASSWORD=postgres \
    --from-literal=SCALAR_DL_LEDGER_HMAC_CIPHER_KEY=ledger-hmac-cipher-key \
    --from-literal=SCALAR_DL_LEDGER_HMAC_SECRET_KEY=scalardl-hmac-secret-key \
    --from-literal=SCALAR_DL_LEDGER_LICENSE_KEY="${SCALAR_DL_LEDGER_LICENSE_KEY}" \
    --from-file=SCALAR_DL_LEDGER_LICENSE_CHECK_CERT_PEM=<(echo ${SCALAR_DL_LEDGER_LICENSE_CHECK_CERT_PEM} | sed 's/\\n/\
    /g') \
    -n default

  5. 資格情報とライセンスキーを含む auditor-credentials-secret という名前のシークレットリソースを作成します。

    kubectl create secret generic auditor-credentials-secret \
    --from-literal=SCALAR_DL_AUDITOR_POSTGRES_USERNAME=postgres \
    --from-literal=SCALAR_DL_AUDITOR_POSTGRES_PASSWORD=postgres \
    --from-literal=SCALAR_DL_AUDITOR_HMAC_CIPHER_KEY=auditor-hmac-cipher-key \
    --from-literal=SCALAR_DL_AUDITOR_HMAC_SECRET_KEY=scalardl-hmac-secret-key \
    --from-literal=SCALAR_DL_AUDITOR_LICENSE_KEY="${SCALAR_DL_AUDITOR_LICENSE_KEY}" \
    --from-file=SCALAR_DL_AUDITOR_LICENSE_CHECK_CERT_PEM=<(echo ${SCALAR_DL_AUDITOR_LICENSE_CHECK_CERT_PEM} | sed 's/\\n/\
    /g') \
    -n default

  6. auditor-keys という名前のシークレットリソースを作成して、digital-signature 認証方式を無効にします。このチュートリアルでは、digital-signature の代わりに hmac 認証方式を使用します。

    kubectl create secret generic auditor-keys \
      --from-literal=tls.key=dummy-data-to-disable-digital-signature-method \
      --from-literal=certificate=dummy-data-to-disable-digital-signature-method \
      -n default

    注意: 認証方法として hmac を使用する場合は、Helm Chart 側で digital-signature を無効にするためにダミーのシークレット auditor-key を作成する必要があります。

  7. ScalarDL Ledger と ScalarDL Auditor のチャートバージョンを設定します。

    SCALAR_DL_LEDGER_CHART_VERSION=$(helm search repo scalar-labs/scalardl -l | grep -v -e "scalar-labs/scalardl-audit" | grep -F "${SCALAR_DL_VERSION}" | awk '{print $2}' | sort --version-sort -r | head -n 1)
    SCALAR_DL_AUDITOR_CHART_VERSION=$(helm search repo scalar-labs/scalardl-audit -l | grep -F "${SCALAR_DL_VERSION}" | awk '{print $2}' | sort --version-sort -r | head -n 1)

  8. ScalarDL Ledger をデプロイします。

    helm install scalardl-ledger scalar-labs/scalardl -f ${HOME}/scalardl-test/scalardl-ledger-custom-values.yaml --version ${SCALAR_DL_LEDGER_CHART_VERSION} -n default

  9. ScalarDL Auditor をデプロイします。

    helm install scalardl-auditor scalar-labs/scalardl-audit -f ${HOME}/scalardl-test/scalardl-auditor-custom-values.yaml --version ${SCALAR_DL_AUDITOR_CHART_VERSION} -n default

  10. ScalarDL Ledger および ScalarDL Auditor ポッドがデプロイされているかどうかを確認します。

    kubectl get pod -n default

    [コマンド実行結果]

    NAME                                         READY   STATUS      RESTARTS   AGE
    postgresql-auditor-0                         1/1     Running     0          14m
    postgresql-ledger-0                          1/1     Running     0          14m
    scalardl-auditor-auditor-5b885ff4c8-fwkpf    1/1     Running     0          18s
    scalardl-auditor-auditor-5b885ff4c8-g69cb    1/1     Running     0          18s
    scalardl-auditor-auditor-5b885ff4c8-nsmnq    1/1     Running     0          18s
    scalardl-auditor-envoy-689bcbdf65-5mn6v      1/1     Running     0          18s
    scalardl-auditor-envoy-689bcbdf65-fpq8j      1/1     Running     0          18s
    scalardl-auditor-envoy-689bcbdf65-lsz2t      1/1     Running     0          18s
    scalardl-ledger-envoy-547bbf7546-n7p5x       1/1     Running     0          26s
    scalardl-ledger-envoy-547bbf7546-p8nwp       1/1     Running     0          26s
    scalardl-ledger-envoy-547bbf7546-pskpb       1/1     Running     0          26s
    scalardl-ledger-ledger-6db5dc8774-5zsbj      1/1     Running     0          26s
    scalardl-ledger-ledger-6db5dc8774-vnmrw      1/1     Running     0          26s
    scalardl-ledger-ledger-6db5dc8774-wpjvs      1/1     Running     0          26s
    schema-loader-auditor-schema-loading-dvc5r   0/1     Completed   0          11m
    schema-loader-ledger-schema-loading-mtllb    0/1     Completed   0          11m

    ScalarDL Ledger ポッドと ScalarDL Auditor ポッドが適切にデプロイされている場合、それらのポッドの STATUS 列には Running と表示されます。

  11. ScalarDL Ledger および ScalarDL Auditor サービスがデプロイされているかどうかを確認します。

    kubectl get svc -n default

    [コマンド実行結果]

    NAME                             TYPE        CLUSTER-IP       EXTERNAL-IP   PORT(S)                         AGE
    kubernetes                       ClusterIP   10.96.0.1        <none>        443/TCP                         47d
    postgresql-auditor               ClusterIP   10.107.9.78      <none>        5432/TCP                        15m
    postgresql-auditor-hl            ClusterIP   None             <none>        5432/TCP                        15m
    postgresql-ledger                ClusterIP   10.108.241.181   <none>        5432/TCP                        15m
    postgresql-ledger-hl             ClusterIP   None             <none>        5432/TCP                        15m
    scalardl-auditor-envoy           ClusterIP   10.100.61.202    <none>        40051/TCP,40052/TCP             55s
    scalardl-auditor-envoy-metrics   ClusterIP   10.99.6.227      <none>        9001/TCP                        55s
    scalardl-auditor-headless        ClusterIP   None             <none>        40051/TCP,40053/TCP,40052/TCP   55s
    scalardl-auditor-metrics         ClusterIP   10.108.1.147     <none>        8080/TCP                        55s
    scalardl-ledger-envoy            ClusterIP   10.101.191.116   <none>        50051/TCP,50052/TCP             61s
    scalardl-ledger-envoy-metrics    ClusterIP   10.106.52.103    <none>        9001/TCP                        61s
    scalardl-ledger-headless         ClusterIP   None             <none>        50051/TCP,50053/TCP,50052/TCP   61s
    scalardl-ledger-metrics          ClusterIP   10.99.122.106    <none>        8080/TCP                        61s

    ScalarDL Ledger および ScalarDL Auditor サービスが適切にデプロイされている場合は、CLUSTER-IP 列にプライベート IP アドレスが表示されます。

注記

scalardl-ledger-headless、scalardl-auditor-headless、postgresql-ledger-hl、および postgresql-auditor-hl の CLUSTER-IP 値は、IP アドレスがないため None になります。

ステップ7. クライアントコンテナを起動する​

クライアントコンテナで CA 証明書ファイルを使用します。そのため、シークレットリソースを作成し、クライアントコンテナにマウントする必要があります。

  1. client-ca-cert という名前のシークレットリソースを作成します。

    kubectl create secret generic client-ca-cert --from-file=ca.crt=<(kubectl get secret self-signed-ca-cert-secret -o "jsonpath={.data['ca\.crt']}" | base64 -d) -n default

  2. クライアントポッドのマニフェストファイル (scalardl-client-pod.yaml) を作成します。

    cat << 'EOF' > ${HOME}/scalardl-test/scalardl-client-pod.yaml
    apiVersion: v1
    kind: Pod
    metadata:
      name: "scalardl-client"
    spec:
      containers:
        - name: scalardl-client
          image: eclipse-temurin:8-jdk
          command: ['sleep']
          args: ['inf']
          env:
            - name: SCALAR_DL_VERSION
              value: SCALAR_DL_CLIENT_POD_SCALAR_DL_VERSION
          volumeMounts:
            - name: "client-ca-cert"
              mountPath: "/certs/"
              readOnly: true
      volumes:
        - name: "client-ca-cert"
          secret:
            secretName: "client-ca-cert"
      restartPolicy: Never
    EOF

  3. マニフェストファイルで ScalarDL バージョンを設定します。

    sed -i s/SCALAR_DL_CLIENT_POD_SCALAR_DL_VERSION/${SCALAR_DL_VERSION}/ ${HOME}/scalardl-test/scalardl-client-pod.yaml

  4. クライアントポッドをデプロイします。

    kubectl apply -f ${HOME}/scalardl-test/scalardl-client-pod.yaml -n default

  5. クライアントコンテナーが実行されているかどうかを確認します。

    kubectl get pod scalardl-client -n default

    [コマンド実行結果]

    NAME              READY   STATUS    RESTARTS   AGE
    scalardl-client   1/1     Running   0          4s

ステップ8. クライアントコンテナで ScalarDL サンプルコントラクトを実行する​

以下では、サンプルコントラクトを実行するために必要な最小限の手順について説明します。ScalarDL Ledger と ScalarDL Auditor の詳細については、以下を参照してください。

  1. クライアントコンテナーで bash を実行します。

    kubectl exec -it scalardl-client -n default -- bash

    次の手順のコマンドは、クライアントコンテナーで実行する必要があります。

  2. クライアントコンテナーに git、curl、unzip コマンドをインストールします。

    apt update && apt install -y git curl unzip

  3. ScalarDL Java Client SDK git リポジトリをクローンします。

    git clone https://github.com/scalar-labs/scalardl-java-client-sdk.git

  4. 作業ディレクトリを scalardl-java-client-sdk/ に変更します。

    cd scalardl-java-client-sdk/
    pwd

    [コマンド実行結果]

    /scalardl-java-client-sdk

  5. 使用しているバージョンにブランチを変更します。

    git checkout -b v${SCALAR_DL_VERSION} refs/tags/v${SCALAR_DL_VERSION}

  6. サンプルコントラクトを作成します。

    ./gradlew assemble

  7. ScalarDL Java Client SDK リリースから ScalarDL の CLI ツールをダウンロードします。

    curl -OL https://github.com/scalar-labs/scalardl-java-client-sdk/releases/download/v${SCALAR_DL_VERSION}/scalardl-java-client-sdk-${SCALAR_DL_VERSION}.zip

  8. scalardl-java-client-sdk-${SCALAR_DL_VERSION}.zip ファイルを解凍します。

    unzip ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}.zip

  9. Kubernetes クラスター上の ScalarDL Ledger および ScalarDL Auditor にアクセスするための client.properties という名前の構成ファイルを作成します。

    cat << 'EOF' > client.properties
    # Ledger configuration
    scalar.dl.client.server.host=scalardl-ledger-envoy.default.svc.cluster.local
    scalar.dl.client.tls.enabled=true
    scalar.dl.client.tls.ca_root_cert_path=/certs/ca.crt
    scalar.dl.client.tls.override_authority=envoy.scalar.example.com

    # Auditor configuration
    scalar.dl.client.auditor.enabled=true
    scalar.dl.client.auditor.host=scalardl-auditor-envoy.default.svc.cluster.local
    scalar.dl.client.auditor.tls.enabled=true
    scalar.dl.client.auditor.tls.ca_root_cert_path=/certs/ca.crt
    scalar.dl.client.auditor.tls.override_authority=envoy.scalar.example.com

    # Client configuration
    scalar.dl.client.authentication_method=hmac
    scalar.dl.client.entity.id=client
    scalar.dl.client.entity.identity.hmac.secret_key=scalardl-hmac-client-secert-key
    EOF

  10. クライアントシークレットを登録します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl register-secret --config ./client.properties

  11. サンプルコントラクト StateUpdater を登録します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl register-contract --config ./client.properties --contract-id StateUpdater --contract-binary-name com.org1.contract.StateUpdater --contract-class-file ./build/classes/java/main/com/org1/contract/StateUpdater.class

  12. サンプルコントラクト StateReader を登録します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl register-contract --config ./client.properties --contract-id StateReader --contract-binary-name com.org1.contract.StateReader --contract-class-file ./build/classes/java/main/com/org1/contract/StateReader.class

  13. 検証リクエストを実行するには、コントラクト ValidateLedger を登録します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl register-contract --config ./client.properties --contract-id validate-ledger --contract-binary-name com.scalar.dl.client.contract.ValidateLedger --contract-class-file ./build/classes/java/main/com/scalar/dl/client/contract/ValidateLedger.class

  14. コントラクト StateUpdater を実行します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl execute-contract --config ./client.properties --contract-id StateUpdater --contract-argument '{"asset_id": "test_asset", "state": 3}'

    このサンプルコントラクトは、test_asset という名前のアセットの state (値) を 3 に更新します。

  15. コントラクト StateReader を実行します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl execute-contract --config ./client.properties --contract-id StateReader --contract-argument '{"asset_id": "test_asset"}'

    [コマンド実行結果]

    Contract result:
    {
      "id" : "test_asset",
      "age" : 0,
      "output" : {
        "state" : 3
      }
    }

    参照​

    • 資産データが改ざんされていない場合、コントラクト実行を要求する execute-contract コマンドを実行すると、結果として OK が返されます。

    • アセットデータが改ざんされている場合 (たとえば、データベースの state 値が改ざんされている場合) 、コントラクト実行を要求する execute-contract コマンドを実行すると、結果として OK 以外の値 (たとえば、INCONSISTENT_STATES) が返されます。ScalarDL がデータ改ざんを検出する方法の例については、以下を参照してください。

      [コマンド実行結果 (資産データが改ざんされた場合) ]

      {
        "status_code" : "INCONSISTENT_STATES",
        "error_message" : "The results from Ledger and Auditor don't match"
      }

  16. 資産の検証リクエストを実行します。

    ./scalardl-java-client-sdk-${SCALAR_DL_VERSION}/bin/scalardl validate-ledger --config ./client.properties --asset-id "test_asset"

    [コマンド実行結果]

    {
      "status_code" : "OK",
      "Ledger" : {
        "id" : "test_asset",
        "age" : 0,
        "nonce" : "3533427d-03cf-41d1-bf95-4d31eb0cb24d",
        "hash" : "FiquvtPMKLlxKf4VGoccSAGsi9ptn4ozYVVTwdSzEQ0=",
        "signature" : "MEYCIQDiiXqzw6K+Ml4uvn8rK43o5wHWESU3hoXnZPi6/OeKVwIhAM+tFBcapl6zg47Uq0Uc8nVNGWNHZLBDBGve3F0xkzTR"
      },
      "Auditor" : {
        "id" : "test_asset",
        "age" : 0,
        "nonce" : "3533427d-03cf-41d1-bf95-4d31eb0cb24d",
        "hash" : "FiquvtPMKLlxKf4VGoccSAGsi9ptn4ozYVVTwdSzEQ0=",
        "signature" : "MEUCIQDLsfUR2PmxSvfpL3YvHJUkz00RDpjCdctkroZKXE8d5QIgH73FQH2e11jfnynD00Pp9DrIG1vYizxDsvxUsMPo9IU="
      }
    }

    参照​

    • 資産データが改ざんされていない場合、検証を要求する validate-ledger コマンドを実行すると、結果として OK が返されます。

    • 資産データが改ざんされている場合 (たとえば、データベースの state 値が改ざんされている場合)、検証を要求する validate-ledger コマンドを実行すると、結果として OK 以外の値 (たとえば、INVALID_OUTPUT) が返されます。ScalarDL がデータ改ざんを検出する方法の例については、以下を参照してください。

      [コマンド実行結果 (資産データが改ざんされた場合) ]

      {
        "status_code" : "INCONSISTENT_STATES",
        "error_message" : "The results from Ledger and Auditor don't match"
      }

  17. クライアントコンテナーを終了します。

    exit

ステップ9. すべてのリソースを削除する​

Kubernetes クラスターで ScalarDL Ledger および ScalarDL Auditor テストを完了したら、すべてのリソースを削除します。

  1. ScalarDL Ledger、ScalarDL Auditor、ScalarDL Schema Loader、および PostgreSQL をアンインストールします。

    helm uninstall -n default scalardl-ledger schema-loader-ledger postgresql-ledger scalardl-auditor schema-loader-auditor postgresql-auditor

  2. 自己署名 CA を削除します。

    kubectl delete -f ./private-ca-custom-values.yaml

  3. cert-manager をアンインストールします。

    helm uninstall -n cert-manager cert-manager

  4. クライアントコンテナーを削除します。

    kubectl delete pod scalardl-client --grace-period 0 -n default

  5. シークレットリソースを削除します。

    kubectl delete secrets self-signed-ca-cert-secret schema-ledger-credentials-secret schema-auditor-credentials-secret scalardl-ledger-tls-cert scalardl-ledger-envoy-tls-cert scalardl-auditor-tls-cert scalardl-auditor-envoy-tls-cert ledger-credentials-secret auditor-credentials-secret client-ca-cert auditor-keys

  6. ネームスペース cert-manager を削除します。

    kubectl delete ns cert-manager

  7. 作業ディレクトリとサンプルファイル (構成ファイル) を削除します。

    cd ${HOME}
    rm -rf ${HOME}/scalardl-test/

参考文献​

Scalar 製品の監視またはログ記録を開始する方法については、次のチュートリアルを参照してください。

This website uses cookies to enhance the visitor experience. By continuing to use this website, you acknowledge that you have read and understood our privacy policy and consent to the use of cookies to help improve your browsing experience and provide you with personalized content.