Container Service for Kubernetes:Usar KMS para cifrar los Secrets de Kubernetes

Requisitos previos

Asegúrese de contar con lo siguiente:

• Una clave de KMS en la misma región que su clúster ACK Pro. Tipos compatibles: predeterminado, protegido por software y protegido por hardware. Consulte Getting started with keys y Facturación.

• Autorización para habilitar el cifrado de Secrets:

  • Cuenta de Alibaba Cloud: autorizada para asumir AliyunCSManagedSecurityRole. La consola de ACK solicita esta autorización cuando usted habilita el cifrado de Secrets. También puede ir directamente a la página Cloud Resource Access Authorization.

  • Usuario o rol de RAM: debe tener ambos elementos:

    • Permisos RBAC de administrador o ingeniero de operaciones y mantenimiento en el clúster ACK Pro. Consulte Grant RBAC permissions to RAM users or RAM roles.

    • El permiso de sistema AliyunKMSCryptoAdminAccess asignado. Consulte Grant permissions to a RAM user or RAM role.

Limitaciones

• El cifrado de Secrets solo es compatible con los clústeres ACK Pro y ACK Serverless Pro.

• Después de habilitar el cifrado de Secrets, no deshabilite ni elimine la clave mediante la API o la consola de KMS. Si la clave deja de estar disponible, el servidor de API no podrá recuperar los Secrets ni los objetos de cuenta de servicio, lo que provocará interrupciones del servicio.

• Para deshabilitar el cifrado de Secrets, desactive Secret Encryption en la pestaña Basic Information del clúster.

Cómo funciona

ACK utiliza el proveedor KMS de Kubernetes con cifrado de sobre para proteger los Secrets en etcd. El Secret se cifra con una clave de cifrado de datos (DEK), y la DEK se cifra con una clave de cifrado de claves (KEK) en KMS. La DEK en texto plano nunca se almacena junto con los datos que protege.

Cifrado:

1. Cuando usted almacena un Secret, el servidor de API genera una DEK aleatoria y cifra el Secret con ella.

2. El servidor de API envía la DEK a KMS. Este servicio la cifra con su clave de KMS (la KEK) y devuelve la DEK cifrada.

3. El servidor de API almacena tanto el Secret cifrado como la DEK cifrada en etcd.

Descifrado:

1. El servidor de API llama a la operación Decrypt de KMS para descifrar la DEK.

2. El servidor de API usa la DEK en texto plano para descifrar el Secret y lo devuelve al solicitante.

Para obtener más información, consulte el proveedor de cifrado KMS y Use envelope encryption.

KMS v2

A partir de Kubernetes 1.31, los clústeres ACK Pro y usan la interfaz comunitaria KMS v2 para el cifrado en reposo. KMS v2 admite más instancias de Secrets en un clúster y ofrece un mejor rendimiento de cifrado y descifrado. Para conocer más detalles sobre el flujo de cifrado y descifrado de KMS v2, consulte KMS v2.

Para actualizar de la interfaz KMS v1 a la interfaz KMS v2, consulte How to upgrade to KMS v2 for Secret encryption at rest?

Habilitar el cifrado en reposo para los Secrets

Rotar la clave de cifrado

La rotación automática de claves de KMS cifra los nuevos Secrets con la clave rotada. Los Secrets existentes permanecen cifrados con la clave original hasta que usted los vuelva a cifrar de forma explícita.

• Recifrado manual: Una vez finalizada la rotación, vuelva a cifrar todos los Secrets existentes con la nueva clave:

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Consulte Configurar la rotación de claves para configurar la rotación automática de claves.

Preguntas frecuentes

{
    "Action": [
        "cs:UpdateKMSEncryption"
    ],
    "Effect": "Deny",
    "Resource": [
        "*"
    ]
}