Container Service for Kubernetes:Gunakan KMS untuk mengenkripsi Kubernetes Secrets

Prasyarat

Pastikan Anda memiliki:

• Kunci KMS di wilayah yang sama dengan kluster ACK Pro Anda. Jenis yang didukung: default, dilindungi perangkat lunak (software-protected), dan dilindungi perangkat keras (hardware-protected). Lihat Memulai penggunaan kunci dan Penagihan.

• Otorisasi untuk mengaktifkan enkripsi Secret:

  • Akun Alibaba Cloud: memiliki otorisasi untuk mengasumsikan AliyunCSManagedSecurityRole. Konsol ACK akan meminta otorisasi saat Anda mengaktifkan enkripsi Secret, atau kunjungi langsung halaman Otorisasi Akses Sumber Daya Cloud.

  • Pengguna RAM atau Peran RAM: harus memiliki keduanya:

    • Izin RBAC sebagai Administrator atau insinyur O&M pada kluster ACK Pro. Lihat Memberikan izin RBAC kepada Pengguna RAM atau Peran RAM.

    • Diberikan izin sistem AliyunKMSCryptoAdminAccess. Lihat Memberikan izin kepada Pengguna RAM atau Peran RAM.

Batasan

• Enkripsi Secret hanya didukung pada kluster ACK Pro dan kluster ACK Serverless Pro.

• Setelah mengaktifkan enkripsi Secret, jangan menonaktifkan atau menghapus kunci melalui API atau konsol KMS. Jika kunci tidak tersedia, server API tidak dapat mengambil Secrets atau objek akun layanan, sehingga menyebabkan gangguan layanan.

• Untuk menonaktifkan enkripsi Secret, matikan Secret Encryption di tab Basic Information kluster.

Cara kerja

ACK menggunakan penyedia KMS Kubernetes dengan enkripsi amplop untuk melindungi Secrets di etcd. Secret dienkripsi dengan kunci enkripsi data (DEK), dan DEK tersebut dienkripsi dengan kunci enkripsi kunci (KEK) di KMS. Teks biasa DEK tidak pernah disimpan bersama data yang dilindunginya.

Enkripsi:

1. Saat Anda menyimpan Secret, server API menghasilkan DEK acak dan mengenkripsi Secret dengannya.

2. Server API mengirim DEK ke KMS, yang mengenkripsinya dengan kunci KMS Anda (KEK) dan mengembalikan DEK terenkripsi.

3. Server API menyimpan Secret terenkripsi dan DEK terenkripsi di etcd.

Dekripsi:

1. Server API memanggil operasi Decrypt KMS untuk mendekripsi DEK.

2. Server API menggunakan teks biasa DEK untuk mendekripsi Secret dan mengembalikannya kepada pemanggil.

Untuk informasi selengkapnya, lihat penyedia enkripsi KMS dan Gunakan enkripsi amplop.

KMS v2

Mulai Kubernetes 1.31, kluster ACK Pro dan menggunakan antarmuka KMS v2 komunitas untuk enkripsi saat disimpan. KMS v2 mendukung lebih banyak instans Secret dalam satu kluster dan memberikan kinerja enkripsi serta dekripsi yang lebih baik. Untuk informasi selengkapnya tentang alur enkripsi dan dekripsi KMS v2, lihat KMS v2.

Untuk melakukan peningkatan dari antarmuka KMS v1 ke antarmuka KMS v2, lihat Bagaimana cara meningkatkan ke KMS v2 untuk enkripsi Secret saat disimpan?

Aktifkan enkripsi saat disimpan untuk Secrets

Rotasi kunci enkripsi

Rotasi kunci otomatis KMS mengenkripsi Secrets baru dengan kunci yang telah dirotasi. Secrets yang sudah ada tetap dienkripsi dengan kunci asli hingga Anda secara eksplisit mengenkripsi ulang.

• Enkripsi ulang manual: Setelah rotasi selesai, enkripsi ulang semua Secrets yang ada dengan kunci baru:

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Lihat Mengonfigurasi rotasi kunci untuk pengaturan rotasi kunci otomatis.

FAQ

{
    "Action": [
        "cs:UpdateKMSEncryption"
    ],
    "Effect": "Deny",
    "Resource": [
        "*"
    ]
}