Container Service for Kubernetes:Use Alibaba Cloud KMS to encrypt Kubernetes Secrets at rest

Dans un cluster Kubernetes, le modèle Secret stocke et gère généralement les informations sensibles requises par vos charges de travail, telles que les mots de passe d'application, les certificats TLS et les identifiants de tirage d'images Docker. Kubernetes stocke les données de tous les objets Secret dans etcd du cluster. Pour plus d'informations sur les secrets, consultez Secrets.

Le chiffrement KMS repose sur le mécanisme KMS Encryption Provider de Kubernetes et utilise le chiffrement sous enveloppe pour chiffrer et déchiffrer automatiquement les secrets Kubernetes stockés dans etcd. Le chiffrement et le déchiffrement des secrets Kubernetes s'effectuent comme suit :

1. Lorsque des données d'application doivent être stockées via l'API Secret de Kubernetes, le serveur API les chiffre d'abord avec une clé de chiffrement de données générée aléatoirement. La clé de données est ensuite chiffrée avec la clé KMS spécifiée et stockée dans etcd en tant que clé chiffrée.

2. Lorsqu'un secret Kubernetes est déchiffré, le système appelle d'abord l'opération OpenAPI de déchiffrement KMS pour déchiffrer la clé chiffrée. Le système utilise ensuite la clé en clair déchiffrée pour déchiffrer les données du secret et vous renvoie les données.

Pour plus d'informations, consultez le mécanisme KMS Encryption Provider et Utiliser le chiffrement sous enveloppe.

Utilisez la fonctionnalité de rotation automatique des clés de KMS pour chiffrer les secrets au repos. Lorsqu'une clé subit une rotation automatique, les secrets existants restent chiffrés avec la version de clé utilisée avant la rotation. Les nouveaux secrets sont chiffrés avec la nouvelle version de clé générée après la rotation. Pour plus d'informations sur la rotation automatique d'une clé, consultez la section Rotation des clés.

Après la rotation automatique de la clé, rechiffrez de force tous les secrets existants avec la nouvelle version de clé.

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Comment passer à KMS v2 pour le chiffrement des secrets au repos ?

Pour utiliser KMS v2 pour le chiffrement des secrets au repos, assurez-vous que votre cluster ACK Pro est en version 1.31 ou ultérieure.

• Si le chiffrement des secrets au repos n'est pas activé pour votre cluster, consultez la section Activer le chiffrement des secrets au repos pour un cluster ACK Pro pour activer le chiffrement du cluster. Une fois le chiffrement activé, les instances de secret du cluster sont automatiquement chiffrées et déchiffrées via l'interface KMS v2 lors de leur écriture et lecture sur disque.

• Si le chiffrement des secrets au repos est déjà activé pour votre cluster, faites tourner la méthode de chiffrement des clés sur disque pendant les heures creuses en utilisant l'une des méthodes suivantes :

  • Méthode 1 : Exécutez la commande kubectl get secrets --all-namespaces -o json | kubectl replace -f -. Cette commande rechiffre toutes les instances de secret déjà écrites sur disque en utilisant l'interface KMS v2.

  • Méthode 2 : Connectez-vous à la console ACK. Sur la page Cluster Information, accédez à l'onglet Basic Information, recherchez Secret Encryption et désactivez-le. La désactivation de cet interrupteur déclenche la rotation de toutes les instances de secret écrites sur disque dans le cluster. Une fois que l'état du cluster passe de Updating à Running, attendez au moins 5 minutes, puis consultez la section Activer le chiffrement des secrets au repos pour un cluster ACK Pro pour réactiver le chiffrement du cluster. Une fois le chiffrement activé, toutes les instances de secret du cluster sont chiffrées au repos via l'interface KMS v2.

Après l'activation du chiffrement des secrets au repos, les secrets récupérés par la commande kubectl sont-ils des textes chiffrés ?

Non. Le chiffrement des secrets au repos chiffre les données brutes stockées dans etcd. Une fois le chiffrement des secrets au repos activé, les données de secret stockées dans etcd sont chiffrées. Cependant, les données de secret qu'un client récupère via l'API Secret fournie par le serveur API restent les données en clair d'origine.

Comment empêcher un utilisateur RAM ou un rôle RAM d'activer ou de désactiver le chiffrement des secrets au repos dans un cluster ACK Pro existant ?

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }