Container Service for Kubernetes:ACK Pro クラスターで Alibaba Cloud KMS を使用して保管時の Secret を暗号化する方法

Kubernetes クラスターでは、パスワード、TLS 証明書、Docker イメージの認証情報などのアプリケーションの機密情報は、通常、Secret オブジェクトを使用して保存および管理されます。Kubernetes は、すべての Secret オブジェクトデータをクラスターの etcd データベースに保存します。Secret の詳細については、「Secrets」をご参照ください。

詳細については、「KMS Encryption Provider メカニズム」および「エンベロープ暗号化に KMS キーを使用する」をご参照ください。

KMS の自動キーローテーション機能を使用して、Secret を保管時に暗号化できます。キーが自動的にローテーションされると、既存の Secret は以前のキーバージョンで暗号化されたままになります。新しい Secret は新しいキーバージョンで暗号化されます。自動キーローテーションの詳細については、「キーローテーション」をご参照ください。

既存の Secret も新しいキーバージョンで暗号化されるようにするには、キーが自動的にローテーションされた後、次のコマンドを実行してすべての既存の Secret を再暗号化します：

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

KMS v2 へのアップグレード

KMS v2 を使用して Secret を保管時に暗号化するには、ACK Pro クラスターまたはがバージョン 1.31 以降であることを確認してください。

• クラスターで保管時の暗号化がまだ有効になっていない場合は、「ACK Pro クラスターでの保管時の暗号化の有効化」の手順に従って有効にします。有効にすると、クラスターは自動的に KMS v2 API を使用して Secret を暗号化および復号します。

• クラスターで保管時の暗号化がすでに有効になっている場合は、オフピーク時に次のいずれかの方法で KMS v2 暗号化方式に切り替えることができます。

  • 方法 1：kubectl get secrets --all-namespaces -o json | kubectl replace -f - コマンドを実行します。このコマンドは、KMS v2 API を使用してすべての既存の Secret を再暗号化します。

  • 方法 2：ACK コンソールにログインします。基本情報 タブの クラスター情報 ページで、Secret ディスク書き込みの暗号化 を見つけてオフにします。これにより、クラスター内のすべての Secret の再暗号化プロセスがトリガーされます。しばらくしてから、「ACK Pro クラスターでの保管時の暗号化の有効化」の手順に従ってこの機能を再度有効にします。機能が再度有効になると、クラスター内のすべての Secret は KMS v2 API を使用して保管時に暗号化されます。

kubectl で取得した Secret は暗号化されていますか？

いいえ。保管時の暗号化は etcd 内の生の Secret データを暗号化し、暗号文として保存します。ただし、API サーバーを介して Secret API を使用すると、プレーンテキストの Secret データを受け取ります。

既存の ACK Pro クラスターまたはで、RAM ユーザーまたは RAM ロールが保管時の Secret 暗号化を有効または無効にできないようにする方法

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }