Di kluster ACK Edge Pro cluster, gunakan kunci dari Alibaba Cloud Key Management Service (KMS) untuk mengenkripsi Kubernetes Secrets saat disimpan dan memperkuat perlindungan data. Topik ini menjelaskan cara mengaktifkan enkripsi Secret saat disimpan dengan kunci yang dikelola oleh KMS guna melindungi data sensitif yang tersimpan di etcd.
Enkripsi Secret
Di ACK Edge Pro cluster, Anda dapat mengenkripsi Kubernetes Secrets yang disimpan di etcd dengan kunci KMS menggunakan Kubernetes KMS Encryption Provider berbasis enkripsi amplop:
-
Saat menyimpan Secret, API server menghasilkan data encryption key (DEK) untuk mengenkripsinya, lalu mengenkripsi DEK tersebut dengan kunci KMS. Baik Secret terenkripsi maupun DEK terenkripsi disimpan di etcd.
-
Saat mengambil Secret, API server memanggil KMS untuk mendekripsi DEK, lalu menggunakan DEK dalam bentuk teks biasa untuk mendekripsi dan mengembalikan data Secret.
Aktifkan enkripsi Secret saat disimpan di ACK Edge Pro cluster
Kluster baru
-
Login ke ACK console. Di panel navigasi kiri, klik Clusters.
-
Di halaman Clusters, klik Create Kubernetes Cluster.
-
Klik tab ACK Edge. Buka Advanced Options (Optional). Untuk Secret Encryption, pilih Select Key dan pilih ID kunci KMS.
Jika Anda belum memiliki kunci KMS, klik Create Key untuk membuatnya di KMS console.
Untuk parameter ACK Edge Pro cluster lainnya, lihat Create a cluster.
Untuk verifikasi, login ke ActionTrail console dan klik Cluster Events Query. Di halaman Cluster Events Query, periksa event enkripsi dan dekripsi yang menggunakan peran sistem
aliyuncsmanagedsecurityrole.
Kluster yang sudah ada
FAQ
Cara mencegah RAM user atau RAM role mengaktifkan atau menonaktifkan enkripsi Secret saat disimpan di ACK Edge cluster yang sudah ada
Lampirkan kebijakan RAM berikut dengan efek Deny ke RAM user atau role untuk mencegah mereka mengaktifkan atau menonaktifkan enkripsi saat disimpan untuk kluster ACK Edge yang sudah ada.ACK Edge Pro cluster. Lihat Use RAM to grant permissions to access clusters and cloud resources.
{
"Action": [
"cs:UpdateKMSEncryption"
],
"Effect": "Deny",
"Resource": [
"*"
]
}