Container Service for Kubernetes:Use Alibaba Cloud KMS to encrypt Kubernetes Secrets at rest

Em um cluster Kubernetes, o modelo Secret geralmente armazena e gerencia as informações confidenciais necessárias para suas cargas de trabalho, como senhas de aplicativos, certificados TLS e credenciais de pull de imagens docker. O Kubernetes armazena os dados de todos os objetos Secret no etcd do cluster. Para obter mais informações sobre Secrets, consulte Secrets.

A criptografia do KMS baseia-se no mecanismo KMS Encryption Provider do Kubernetes e utiliza criptografia de envelope para criptografar e descriptografar automaticamente os Kubernetes Secrets armazenados no etcd. A criptografia e descriptografia dos Kubernetes Secrets ocorrem da seguinte forma:

1. Quando os dados do aplicativo precisam ser armazenados por meio da API de Secret do Kubernetes, o servidor de API primeiro os criptografa com uma chave de criptografia de dados gerada aleatoriamente. Em seguida, a chave de dados é criptografada com a chave do KMS especificada e armazenada no etcd como uma chave de texto cifrado.

2. Para descriptografar um Kubernetes Secret, o sistema chama primeiro a operação da OpenAPI de descriptografia do KMS para decifrar a chave de texto cifrado. Depois, o sistema usa a chave de texto simples descriptografada para decifrar os dados do Secret e retorna os dados para você.

Para obter mais informações, consulte o mecanismo KMS Encryption Provider e Use envelope encryption.

Utilize o recurso de rotação automática de chaves do KMS para criptografar Secrets em repouso. Quando uma chave passa por rotação automática, os Secrets existentes continuam criptografados com a versão da chave usada antes da rotação. Os novos Secrets são criptografados com a nova versão da chave gerada após a rotação. Para obter mais informações sobre como realizar a rotação automática de uma chave, consulte Key rotation.

Após a rotação automática da chave, force a recriptografia de todos os Secrets existentes com a nova versão da chave.

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

Como faço para atualizar para o KMS v2 na criptografia de Secret em repouso?

Para usar o KMS v2 na criptografia de Secret em repouso, certifique-se de que seu cluster ACK Pro esteja na versão 1,31 ou posterior.

• Se a criptografia de Secret em repouso não estiver ativada para o seu cluster, consulte Enable Secret encryption at rest for an ACK Pro cluster para ativar a criptografia. Após a ativação, as instâncias de Secret no cluster serão automaticamente criptografadas e descriptografadas por meio da interface KMS v2 durante a gravação e leitura em disco.

• Se a criptografia de Secret em repouso já estiver ativada para o seu cluster, realize a rotação do método de criptografia das chaves em disco durante horários de baixa demanda, utilizando uma das seguintes formas:

  • Método 1: Execute o comando kubectl get secrets --all-namespaces -o json | kubectl replace -f -. Este comando recriptografa todas as instâncias de Secret já gravadas em disco usando a interface KMS v2.

  • Método 2: Faça login no ACK console. Na página Cluster Information, acesse a aba Basic Information, localize Secret Encryption e desative-a. Desativar essa chave aciona a rotação de todas as instâncias de Secret gravadas em disco no cluster. Após o status do cluster mudar de Updating para Running, aguarde pelo menos 5 minutos e consulte Enable Secret encryption at rest for an ACK Pro cluster para ativar a criptografia novamente no cluster. Após a ativação, todas as instâncias de Secret no cluster serão criptografadas em repouso por meio da interface KMS v2.

Após ativar a criptografia de Secret em repouso, os Secrets recuperados pelo comando kubectl são textos cifrados criptografados?

Não. A criptografia de Secret em repouso criptografa os dados brutos armazenados no etcd. Após ativar essa criptografia, os dados do Secret armazenados no etcd estarão em formato de texto cifrado. No entanto, os dados do Secret que um cliente recupera por meio da API de Secret fornecida pelo servidor de API continuam sendo os dados originais em texto simples.

Como impedir que um usuário ou função do RAM ative ou desative a criptografia de Secret em repouso em um cluster ACK Pro existente?

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }