Container Compute Service:Alibaba Cloud KMS を使用した保管時の Secret の暗号化

Kubernetes の Secret には、パスワード、TLS 証明書、イメージプル認証情報などの機密データが保存されます。すべての Secret データは、クラスターの etcd に永続化されます。

詳細については、「データ暗号化のための KMS プロバイダーの使用」および「エンベロープ暗号化のための KMS キーの使用」をご参照ください。

KMS は、保管時の Secret 暗号化のための自動キーローテーションをサポートしています。ローテーション後も、既存の Secret は以前のキーバージョンで暗号化されたままですが、新しい Secret は新しいキーバージョンで暗号化されます。詳細については、「キーのローテーション」をご参照ください。

既存の Secret も新しいキーバージョンで暗号化されるようにするには、キーが自動的にローテーションされた後、次のコマンドを実行して、既存のすべての Secret を新しいキーバージョンで強制的に再暗号化します。

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

kubectl get secrets は暗号文を返しますか。

いいえ。保管時の暗号化機能は、etcd に保存されている生データを暗号化します。つまり、Secret の保管時の暗号化を有効にすると、etcd に保存されている Secret データは暗号文になります。ただし、クライアントが Secrets API を介して取得する Secret データは、依然としてプレーンテキストです。

Secret 暗号化を管理できるユーザーを制限するにはどうすればよいですか。

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }