Container Service for Kubernetes:KMS を使用した Kubernetes Secret の暗号化

前提条件

以下の条件を満たしていることを確認してください。

• KMS キー： ACK Pro クラスターと同じリージョンに存在すること。サポートされるタイプ： デフォルト、ソフトウェア保護、ハードウェア保護。詳細については、「キーの使用開始」および「課金」をご参照ください。

• 認可： Secret 暗号化を有効にするための認可が必要です。

  • Alibaba Cloud アカウント： AliyunCSManagedSecurityRole を引き受ける権限が必要です。Secret 暗号化を有効にする際、ACK コンソールで認可のプロンプトが表示されます。または、クラウドリソースアクセス認可ページから直接実行することもできます。

  • RAM ユーザーまたは RAM ロール： 以下の両方の権限が必要です。

    • ACK Pro クラスターに対する管理者または運用エンジニアの RBAC 権限。詳細については、「RAM ユーザーまたは RAM ロールへの RBAC 権限の付与」をご参照ください。

    • AliyunKMSCryptoAdminAccess システム権限が付与されていること。詳細については、「RAM ユーザーまたは RAM ロールへの権限付与」をご参照ください。

制限事項

• Secret 暗号化は、ACK Pro クラスターおよび ACK Serverless Pro クラスターでのみサポートされます。

• Secret 暗号化を有効にした後、KMS API やコンソールからキーを無効化または削除しないでください。キーが使用できなくなると、API サーバーが Secret またはサービスアカウントオブジェクトを取得できなくなり、サービスが中断される可能性があります。

• Secret の暗号化を無効にするには、クラスターの [基本情報] タブで [Secret の暗号化] をオフにします。

仕組み

ACK は、Kubernetes KMS プロバイダーとエンベロープ暗号化を使用して、etcd 内の Secret を保護します。Secret はデータ暗号化キー (DEK) で暗号化され、DEK は KMS 内のキー暗号化キー (KEK) で暗号化されます。プレーンテキストの DEK は、保護するデータと一緒に保存されることはありません。

暗号化：

1. Secret を保存する際、API サーバーはランダムな DEK を生成し、それを使用して Secret を暗号化します。

2. API サーバーは DEK を KMS に送信し、KMS は KMS キー (KEK) を使用して DEK を暗号化し、暗号化された DEK を返します。

3. API サーバーは、暗号化された Secret と暗号化された DEK の両方を etcd に保存します。

復号化：

1. API サーバーは KMS の Decrypt API を呼び出して DEK を復号化します。

2. API サーバーはプレーンテキストの DEK を使用して Secret を復号化し、呼び出し元に返します。

詳細については、「KMS 暗号化プロバイダー」および「エンベロープ暗号化の使用」をご参照ください。

KMS v2

Kubernetes 1.31 以降、ACK Pro クラスターおよびは、保管時の暗号化にコミュニティの KMS v2 インターフェースを使用します。KMS v2 は、クラスター内でより多くの Secret インスタンスをサポートし、優れた暗号化および復号化パフォーマンスを提供します。KMS v2 の暗号化および復号化フローの詳細については、「KMS v2」をご参照ください。

KMS v1 インターフェースから KMS v2 インターフェースへのアップグレードについては、「保管時の Secret 暗号化で KMS v2 にアップグレードする方法」をご参照ください。

Secret の保管時の暗号化の有効化

キーのローテーション

KMS の自動キーローテーションでは、新しい Secret がローテーション後のキーで暗号化されます。既存の Secret は、明示的に再暗号化するまで元のキーで暗号化されたままです。

• 手動による再暗号化： ローテーション完了後、既存のすべての Secret を新しいキーで再暗号化します。

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

自動キーローテーションの設定については、「キーローテーションの設定」をご参照ください。

よくある質問

{
    "Action": [
        "cs:UpdateKMSEncryption"
    ],
    "Effect": "Deny",
    "Resource": [
        "*"
    ]
}