Container Service for Kubernetes:Kubernetes Secrets の暗号化に KMS を使用する方法

Kubernetes Secrets は、アプリケーションのパスワード、Transport Layer Security (TLS) 証明書、Docker イメージをダウンロードするための認証情報など、機密データを保存および管理するために使用されます。 Kubernetes は、クラスターの etcd に Secrets を保存します。詳細については、「Secrets」をご参照ください。

詳細については、「KMS プロバイダー」および「エンベロープ暗号化を使用する」をご参照ください。

KMS によって提供される自動キーローテーション機能を使用して、Secrets を暗号化できます。キーローテーション中、システムは引き続き元のキーを使用して既存の Secrets を暗号化します。新しい Secrets は、新しいキーを使用して暗号化されます。自動キーローテーションの詳細については、「キーローテーションを構成する」をご参照ください。

キーがローテーションされた後、新しいキーを使用して既存の Secrets を強制的に暗号化するには、次のコマンドを実行します。

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Secret 暗号化を使用するために KMS v2 にアップグレードするにはどうすればよいですか？

Secret 暗号化に KMS v2 を使用する場合は、ACK Pro マネージドクラスターのバージョンが 1.31 以降であることを確認してください。

• クラスターの Secret 暗号化を有効にする方法の詳細については、「ACK Pro マネージドクラスターの Secret 暗号化を有効にする」をご参照ください。 Secret 暗号化が有効になると、クラスター内の Secret インスタンスは、ディスクのロードと読み取り中に KMS v2 を使用して自動的に暗号化および復号されます。

• クラスターの Secret 暗号化が有効になっている場合は、オフピーク時に次のいずれかの方法を使用して、クラスターの暗号化方法をローテーションできます。

  • 方法 1：kubectl get secrets --all-namespaces -o json | kubectl replace -f - コマンドを実行します。このコマンドは、KMS v2 の暗号化方法を使用して、ディスクにインストールされているすべての Secrets の暗号化方法をローテーションします。

  • 方法 2：ACK コンソールにログインします。 [クラスター情報] ページの [基本情報] タブで、[Secret 暗号化] を無効にします。無効化操作により、クラスター内のすべての Secrets インスタンスのローテーションがトリガーされます。しばらくしてから、クラスターの Secret 暗号化を有効にします。詳細については、「KMS を使用して Kubernetes Secrets を暗号化する」をご参照ください。 Secret 暗号化機能が有効になると、クラスター内のすべての Secrets は KMS v2 を使用して暗号化されます。

Secret 暗号化が有効になっている場合、kubectl を使用して Secret をクエリすると暗号文が返されますか？

いいえ。 Secret 暗号化が有効になっている場合、kubectl を使用して Secret をクエリするとプレーンテキストが返されます。 Secret 暗号化機能は、etcd に保存されている Secrets を暗号化します。 Secret 暗号化を有効にした後、Secrets は暗号文として etcd に保存されます。ただし、kubectl クライアントを使用して、クラスターの API サーバーによって提供される Secret API を呼び出すことによって Secret をクエリする場合、Secret のプレーンテキストが返されます。

既存の ACK Pro マネージドクラスターの Secret 暗号化機能を RAM ユーザーまたは RAM ロールが有効または無効にすることを禁止するにはどうすればよいですか？

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }