Container Service for Kubernetes:Utiliser KMS pour chiffrer les Secrets Kubernetes

Prérequis

Assurez-vous de disposer des éléments suivants :

• Une clé KMS située dans la même région que votre cluster ACK Pro. Les types pris en charge sont les clés par défaut, protégées par logiciel et protégées par matériel. Consultez les rubriques Prise en main des clés et Facturation.

• Les autorisations nécessaires pour activer le chiffrement des Secrets :

  • Compte Alibaba Cloud : doit être autorisé à endosser le rôle AliyunCSManagedSecurityRole. La console ACK vous invite à procéder à l'autorisation lors de l'activation du chiffrement des Secrets, ou accédez directement à la page Autorisation d'accès aux ressources cloud.

  • Utilisateur RAM ou rôle RAM : doit disposer des deux éléments suivants :

    • Des autorisations RBAC d'administrateur ou d'ingénieur O&M sur le cluster ACK Pro. Consultez la rubrique Accorder des autorisations RBAC aux utilisateurs ou rôles RAM.

    • L'autorisation système AliyunKMSCryptoAdminAccess. Consultez la rubrique Accorder des autorisations à un utilisateur ou rôle RAM.

Limites

• Le chiffrement des Secrets est uniquement pris en charge sur les clusters ACK Pro et les clusters ACK Serverless Pro.

• Après avoir activé le chiffrement des Secrets, ne désactivez ni ne supprimez la clé via l'API KMS ou la console. Si la clé devient indisponible, le serveur API ne peut plus récupérer les Secrets ni les objets de compte de service, ce qui entraîne des interruptions de service.

• Pour désactiver le chiffrement des Secrets, désactivez l'option Secret Encryption dans l'onglet Basic Information du cluster.

Fonctionnement

ACK utilise le fournisseur KMS de Kubernetes avec un chiffrement par enveloppe pour protéger les Secrets dans etcd. Le Secret est chiffré à l'aide d'une clé de chiffrement de données (DEK), tandis que la DEK est elle-même chiffrée par une clé de chiffrement de clés (KEK) dans KMS. La DEK en clair n'est jamais stockée alongside les données qu'elle protège.

Chiffrement :

1. Lorsque vous stockez un Secret, le serveur API génère une DEK aléatoire et chiffre le Secret avec celle-ci.

2. Le serveur API envoie la DEK à KMS, qui la chiffre avec votre clé KMS (la KEK) et renvoie la DEK chiffrée.

3. Le serveur API stocke à la fois le Secret chiffré et la DEK chiffrée dans etcd.

Déchiffrement :

1. Le serveur API appelle l'opération Decrypt de KMS pour déchiffrer la DEK.

2. Le serveur API utilise la DEK en clair pour déchiffrer le Secret et le renvoie à l'appelant.

Pour plus d'informations, consultez le fournisseur de chiffrement KMS et Utiliser le chiffrement par enveloppe.

KMS v2

À partir de Kubernetes 1.31, les clusters ACK Pro et les utilisent l'interface communautaire KMS v2 pour le chiffrement au repos. KMS v2 prend en charge un plus grand nombre d'instances de Secrets dans un cluster et offre de meilleures performances de chiffrement et de déchiffrement. Pour plus d'informations sur le flux de chiffrement et de déchiffrement de KMS v2, consultez KMS v2.

Pour passer de l'interface KMS v1 à l'interface KMS v2, consultez Comment mettre à niveau vers KMS v2 pour le chiffrement des Secrets au repos ?

Activer le chiffrement au repos pour les Secrets

Faire pivoter la clé de chiffrement

La rotation automatique des clés KMS chiffre les nouveaux Secrets avec la clé mise à jour. Les Secrets existants restent chiffrés avec la clé d'origine jusqu'à ce que vous les rechiffriez explicitement.

• Rechiffrement manuel : Une fois la rotation terminée, rechiffrez tous les Secrets existants avec la nouvelle clé :

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Consultez la rubrique Configurer la rotation des clés pour configurer la rotation automatique des clés.

FAQ

{
    "Action": [
        "cs:UpdateKMSEncryption"
    ],
    "Effect": "Deny",
    "Resource": [
        "*"
    ]
}