Container Service for Kubernetes:Aktifkan enkripsi secret di kluster ACK Edge Pro

Prasyarat

Sebelum memulai, pastikan Anda telah memiliki:

• Kunci KMS di wilayah yang sama dengan kluster Anda. Kluster ACK Edge Pro mendukung kunci default, kunci yang dilindungi perangkat lunak, dan kunci yang dilindungi perangkat keras. Untuk informasi selengkapnya, lihat Memulai Key Management dan Penagihan.

• Akses jaringan outbound ke 100.64.0.0/10. Saat enkripsi Secret diaktifkan, lapisan kontrol memanggil API KMS untuk mengenkripsi dan mendekripsi Secrets. Aturan keluar grup keamanan atau ACL jaringan VPC Anda harus mengizinkan lalu lintas ke Blok CIDR 100.64.0.0/10. Untuk informasi selengkapnya, lihat Konfigurasi grup keamanan untuk kluster.

• Otorisasi yang diperlukan, berdasarkan jenis akun Anda:

  • Akun Alibaba Cloud: Akun tersebut harus diotorisasi untuk mengasumsikan peran AliyunCSManagedSecurityRole. Jika belum, Konsol ACK akan meminta Anda memberikan otorisasi saat pengaktifan. Atau, buka halaman Otorisasi Cepat RAM dan selesaikan otorisasi tersebut.

  • Pengguna RAM atau Peran RAM: Harus memiliki izin administrator atau insinyur O&M berbasis Kontrol akses berbasis peran (RBAC) pada kluster (lihat Berikan izin RBAC kepada Pengguna RAM atau Peran RAM) dan harus diberikan izin AliyunKMSCryptoAdminAccess (lihat Berikan izin kepada Pengguna RAM atau Peran RAM).

Batasan

• Jangan menghapus atau menonaktifkan kunci enkripsi. Setelah enkripsi Secret diaktifkan, jangan pernah menggunakan API KMS atau Konsol KMS untuk menonaktifkan atau menghapus kunci tersebut. Jika kunci dihapus, server API tidak dapat mendekripsi Secrets atau objek akun layanan, yang menyebabkan gangguan layanan.

• Batasan wilayah. Kunci KMS harus berada di wilayah yang sama dengan kluster ACK Edge Pro.

Cara kerja

Kubernetes Secrets digunakan untuk menyimpan dan mengelola data sensitif, seperti kata sandi aplikasi, Sertifikat Transport Layer Security (TLS), dan kredensial untuk mengunduh gambar Docker. Kluster ACK Edge Pro menggunakan mekanisme penyedia KMS Kubernetes, yang menerapkan Enkripsi amplop untuk Secrets yang disimpan di etcd.

Alur enkripsi:

1. Saat Secret disimpan, server API menghasilkan kunci enkripsi data (DEK) acak dan menggunakannya untuk mengenkripsi Secret tersebut.

2. Server API mengirim DEK ke KMS. KMS mengenkripsi DEK menggunakan kunci KMS yang ditentukan dan mengembalikan DEK terenkripsi.

3. Server API menyimpan Secret terenkripsi dan DEK terenkripsi di etcd.

Alur dekripsi:

1. Saat Secret dibaca, server API mengirim DEK terenkripsi ke KMS, yang kemudian mendekripsinya menggunakan kunci KMS.

2. Server API menggunakan DEK teks biasa untuk mendekripsi Secret dan mengembalikan Secret dalam bentuk teks biasa.

Untuk informasi latar belakang tentang mekanisme dasarnya, lihat Penyedia KMS dan Gunakan enkripsi amplop.

Rotasi kunci enkripsi

KMS mendukung rotasi kunci otomatis. Selama rotasi, Secrets yang sudah ada tetap dienkripsi dengan kunci asli. Secrets baru dienkripsi dengan kunci baru.

Untuk memaksa semua Secrets yang sudah ada dienkripsi ulang dengan kunci baru setelah rotasi, jalankan:

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Untuk informasi selengkapnya tentang pengaturan rotasi kunci otomatis, lihat Konfigurasi rotasi kunci.

FAQ

{
    "Action": [
        "cs:UpdateKMSEncryption"
    ],
    "Effect": "Deny",
    "Resource": [
        "*"
    ]
}