Cifre el espacio de almacenamiento temporal de una elastic container instance para proteger los datos en reposo y cumplir con los requisitos normativos. El cifrado usa AES-256 con claves de servicio administradas por KMS y se aplica automáticamente a todas las operaciones de lectura y escritura.
Funcionamiento
Cada elastic container instance proporciona 30 GiB de espacio de almacenamiento temporal de forma predeterminada para imágenes de contenedor y datos de ejecución. Puede aumentar este tamaño según sea necesario.
Para habilitar el cifrado, agregue una anotación a los metadatos del pod. Elastic Container Instance cifra entonces todos los datos del espacio de almacenamiento con AES-256 mediante claves de servicio de KMS, las cuales son gratuitas.
Requisitos previos
Antes de empezar, asegúrese de contar con lo siguiente:
Una instancia de KMS activada. Purchase a dedicated KMS instance
KMS crea y administra las claves de servicio automáticamente sin costo adicional.
Habilitar el cifrado
Agregue la siguiente anotación a los metadatos de su pod:
|
Anotación |
Valor |
Descripción |
|
|
|
Habilita el cifrado AES-256 para el espacio de almacenamiento temporal |
Las anotaciones deben agregarse a los metadatos en el archivo de configuración del pod. Por ejemplo, al crear un despliegue, agregue las anotaciones en la sección spec.template.metadata.
Las anotaciones relacionadas con Elastic Container Instance solo se aplican al crear un pod. Agregar o modificar estas anotaciones en un pod existente no surte efecto.
Ejemplo: Despliegue con almacenamiento cifrado
El siguiente despliegue habilita el cifrado del almacenamiento temporal:
apiVersion: apps/v1
kind: Deployment
metadata:
name: kms-test
labels:
app: test
spec:
replicas: 1
selector:
matchLabels:
app: test
template:
metadata:
name: kms-test
labels:
app: test
alibabacloud.com/eci: "true" # Schedule the pod on Elastic Container Instance
annotations:
k8s.aliyun.com/eci-ephemeral-storage-options: "{\"encrypted\":\"true\"}" # Encrypt the temporary storage space
spec:
containers:
- name: test
image: registry-vpc.cn-beijing.aliyuncs.com/eci_open/nginx:1.4.2