Container Service for Kubernetes:ossfs 1.0 ボリュームの暗号化

1. KMS アクセス権限の構成

指定された KMS で管理される CMK ID を使用して OSS オブジェクトを暗号化するには、PV の AccessKey の RAM ユーザーまたはロールに KMS のアクセス権限を付与する必要があります。 詳細については、「サーバー側の暗号化」をご参照ください。

開始する前に、「Resource Access Management (RAM) ユーザーの作成」または「RAM ロールの作成」が完了していることを確認してください。

1. Alibaba Cloud アカウントまたは管理者権限を持つ RAM ユーザーを使用して RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[ID 管理] > [ユーザー] または [ロール] を選択します。

3. 対象の RAM ユーザーを見つけ、[操作] 列の [権限の追加] をクリックします。または、対象の RAM ロールを見つけ、[操作] 列の [権限付与] をクリックします。画面の指示に従って権限を追加します。AliyunKMSFullAccess システムポリシーまたは AliyunOSSEncryptCustomizedPolicy カスタムポリシー を選択できます。

   AliyunKMSFullAccess 権限は広範なアクセスを提供します。詳細なアクセスの制御が必要な場合は、「カスタムポリシーの作成」に従って、AliyunOSSEncryptCustomizedPolicy という名前のカスタムポリシーを以下の内容で作成できます。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:List*",
           "kms:DescribeKey",
           "kms:GenerateDataKey",
           "kms:Decrypt"
         ],
         "Resource": [
           "acs:kms:*:141661496593****:*"  // これにより、エンティティはこの Alibaba Cloud アカウント ID の下のすべての KMS キーを呼び出すことができます。特定の CMK のみの使用を許可する場合は、対応する CMK ID を入力します。
         ]
       }
     ]
   }

2. 暗号化されたボリュームの作成

1. kms-cmk.yaml という名前のファイルを作成します。

   apiVersion: v1
   kind: PersistentVolume
   metadata:
     name: oss-csi-pv
   spec:
     capacity:
       storage: 5Gi
     accessModes:
       - ReadOnlyMany
     csi:
       driver: ossplugin.csi.alibabacloud.com
       volumeHandle: oss-csi-pv
       volumeAttributes:
         bucket: "python"
         url: "oss-cn-hangzhou.aliyuncs.com"
         otherOpts: "-o umask=022 -o max_stat_cache_size=100000 -o allow_other"
         akId: "<YourAccessKey ID>"           # AccessKey ID と置き換えます。
         akSecret: "<YourAccessKey Secret>"   # AccessKey Secret と置き換えます。
         path: "/"
         encrypted: "kms"
         kmsKeyId: "<YourCMKID>"          # CMK ID と置き換えます。

2. 暗号化されたボリュームを作成します。

   kubectl create -f kms-cmk.yaml

3. 作成された暗号化ボリュームを表示します。

   kubectl get pv