Container Service for Kubernetes:ACK Edge Pro クラスターでのシークレット暗号化の有効化

前提条件

開始する前に、以下の条件を満たしていることを確認してください。

• クラスターと同じリージョンの KMS キー。 ACK Edge Pro クラスターは、デフォルトキー、ソフトウェアで保護されたキー、およびハードウェアで保護されたキーをサポートしています。詳細については、「Key Management の使い始め」および「課金」をご参照ください。

• 100.64.0.0/10 へのアウトバウンドネットワークアクセス。 Secret の暗号化が有効化されると、コントロールプレーンは KMS API を呼び出して Secret を暗号化および復号します。セキュリティグループまたは VPC ネットワーク ACL のアウトバウンドルールで、CIDR ブロック 100.64.0.0/10 へのトラフィックを許可する必要があります。詳細については、「クラスターのセキュリティグループを設定する」をご参照ください。

• アカウントタイプに応じた必要な権限付与：

  • Alibaba Cloud アカウント: アカウントが AliyunCSManagedSecurityRole ロールを偽装できるよう権限付与されている必要があります。権限付与されていない場合、有効化時に ACK コンソールから自動的に権限付与のプロンプトが表示されます。あるいは、「RAM クイック権限付与」ページに移動し、権限付与を完了してください。

  • RAM ユーザーまたは RAM ロール: クラスターに対する管理者または O&M エンジニアのロールベースアクセス制御 (RBAC) 権限が必要です (「RAM ユーザーまたは RAM ロールに RBAC 権限を付与する」をご参照ください)。また、AliyunKMSCryptoAdminAccess 権限が付与されている必要があります (「RAM ユーザーまたは RAM ロールに権限を付与する」をご参照ください)。

制限事項

• 暗号化キーを削除または無効化しないでください。 シークレット暗号化を有効化した後は、KMS API または KMS コンソールを使用してキーを無効化または削除しないでください。キーが削除された場合、API サーバーはシークレットおよびサービスアカウントオブジェクトを復号できなくなり、サービス中断を引き起こします。

• リージョン制約。 KMS キーは、ACK Edge Pro クラスターと同じリージョンに属している必要があります。

仕組み

Kubernetes シークレットは、アプリケーションのパスワード、トランスポート層セキュリティ (TLS) 証明書、Docker イメージのダウンロード認証情報などの機密データを格納・管理するために使用されます。ACK Edge Pro クラスターでは、Kubernetes の KMS プロバイダー機構を活用しており、etcd に格納されたシークレットに対してエンベロープ暗号化を実装しています。

暗号化フロー:

1. シークレットが格納される際、API サーバーがランダムなデータ暗号化キー (DEK) を生成し、これを用いてシークレットを暗号化します。

2. API サーバーが DEK を KMS に送信します。KMS は指定された KMS キーを使用して DEK を暗号化し、暗号化済みの DEK を返します。

3. API サーバーは、暗号化済みのシークレットと暗号化済みの DEK の両方を etcd に格納します。

復号フロー:

1. シークレットが読み取られる際、API サーバーが暗号化済みの DEK を KMS に送信し、KMS キーを用いて復号します。

2. API サーバーは、プレーンテキストの DEK を使用してシークレットを復号し、プレーンテキストのシークレットを返します。

基盤となるメカニズムに関する背景情報については、「KMS プロバイダー」および「エンベロープ暗号化の使用」をご参照ください。

暗号化キーのローテーション

KMS では、自動キーのローテーションがサポートされています。ローテーション中は、既存のシークレットは元のキーで引き続き暗号化されたままです。新しいシークレットのみが新しいキーで暗号化されます。

ローテーション後に、すべての既存のシークレットを新しいキーで再暗号化するには、以下のコマンドを実行します。

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

詳細については、「キーのローテーションを設定する」をご参照ください。

よくある質問

{
    "Action": [
        "cs:UpdateKMSEncryption"
    ],
    "Effect": "Deny",
    "Resource": [
        "*"
    ]
}