Tous les produits
Search

Ce produit

    Key Management Service:Chiffrement des Secrets Kubernetes au repos avec KMS

    Centre de documentation

    Key Management Service:Chiffrement des Secrets Kubernetes au repos avec KMS

    Dernière mise à jour :Sep 15, 2026

    Container Service for Kubernetes (ACK) vous permet d'activer le chiffrement au repos des Secrets Kubernetes à l'aide d'une clé maître cliente (CMK) issue de Key Management Service (KMS). Cette fonctionnalité sécurise les données sensibles de votre cluster grâce à une configuration simple.

    Cas d'utilisation

    Kubernetes gère les informations sensibles nécessaires à la communication entre différents produits, services et modules. Ces informations incluent des mots de passe, des certificats, des identifiants et des clés d'accès. Kubernetes utilise des objets Secret pour stocker et gérer ces données sensibles pour le système du cluster et ses applications. Ces Secrets sont stockés et répliqués dans etcd, la base de données du cluster.

    Par exemple, un nouveau cluster Kubernetes sans charge de travail contient toujours environ 50 Secrets par défaut. La fuite de l'un de ces Secrets présente un risque majeur pour votre cluster, vos applications et vos opérations commerciales. Il est donc essentiel de protéger les identifiants stockés dans votre cluster contre les menaces de sécurité potentielles.

    Fonctionnement

    Dans un cluster managé ACK Pro, vous pouvez utiliser une clé maître cliente (CMK) créée dans Key Management Service (KMS) pour chiffrer les Secrets Kubernetes. Le processus de chiffrement repose sur le mécanisme KMS Encryption Provider de Kubernetes et utilise le chiffrement sous enveloppe pour chiffrer et déchiffrer automatiquement les clés de Secret Kubernetes stockées dans etcd. Pour plus d'informations sur le chiffrement sous enveloppe, consultez la rubrique Utiliser le chiffrement sous enveloppe avec KMS pour chiffrer et déchiffrer des données localement. Le processus de chiffrement et de déchiffrement des clés de Secret Kubernetes est le suivant :

    • Lorsqu'un Secret est enregistré via l'API Kubernetes, le serveur API chiffre d'abord les données avec une clé de données générée aléatoirement. Le serveur API chiffre ensuite cette clé de données avec la CMK spécifiée depuis KMS, ce qui crée une clé de données chiffrée stockée dans etcd.

    • Lorsqu'un Secret est récupéré, le serveur API appelle l'API Decrypt de KMS pour déchiffrer la clé de données chiffrée. Le serveur API utilise ensuite la clé en texte brut résultante pour déchiffrer les données du Secret et les renvoie au client.

    Prérequis

    • Le compte Alibaba Cloud utilisé pour gérer vos clusters Kubernetes doit disposer du rôle AliyunCSManagedSecurityRole. Si ce rôle n'est pas attribué, vous serez invité à l'attribuer lors de l'activation du chiffrement au repos pour un cluster ACK Pro nouveau ou existant.

    • Si vous vous connectez en tant qu'utilisateur RAM, assurez-vous que cet utilisateur dispose de l'autorisation AliyunKMSCryptoAdminAccess. Pour plus d'informations, consultez la rubrique Gérer les autorisations des utilisateurs RAM.

    • Assurez-vous d'avoir créé une clé maître cliente (CMK) dans la console KMS. Pour plus d'informations, consultez la rubrique Créer une clé.

      Remarque

      Seules les CMK de type Aliyun_AES_256 sont prises en charge.

    Activer le chiffrement des Secrets sur un nouveau cluster

    1. Connectez-vous à la console Container Service.

    2. Sur la page Cluster List, cliquez sur Cluster Templates dans le coin supérieur droit.

    3. Dans la boîte de dialogue Select Cluster Template, sélectionnez Managed Kubernetes Cluster Pro et cliquez sur Create.

    4. Sous l'onglet ACK Managed Cluster, localisez la section Secret Encryption, cochez la case Select Key, puis sélectionnez un ID de clé dans la liste déroulante.

    5. Configurez les autres paramètres selon les instructions.

      Pour plus d'informations, consultez la rubrique Créer un cluster ACK Pro.

    Activer le chiffrement des Secrets sur un cluster existant

    1. Sur la page Clusters, cliquez sur le nom du cluster ACK Pro cible.

    2. Cliquez sur l'onglet Basic Information et, dans la section Basic Information, activez l'interrupteur Secret Encryption.

    3. Dans la boîte de dialogue Secret Encryption, sélectionnez un ID de clé dans la liste déroulante et cliquez sur OK.

      Une fois que l'état du cluster est passé de Updating à Running, la fonctionnalité de chiffrement au repos est activée.

    Vérifier le résultat

    Vous pouvez vérifier que le chiffrement au repos des Secrets est activé dans la console ActionTrail. Si vous trouvez des événements de chiffrement et de déchiffrement associés au rôle AliyunCSManagedSecurityRole sur la page Event Query, la fonctionnalité est active. Vous pouvez utiliser ActionTrail pour auditer tous les appels d'API vers KMS.