Todos os produtos
Search

Este produto

    Key Management Service:Use o KMS para criptografar Secrets do Kubernetes em repouso

    Central de documentação

    Key Management Service:Use o KMS para criptografar Secrets do Kubernetes em repouso

    Última atualização: Sep 15, 2026

    O Container Service for Kubernetes (ACK) permite ativar a criptografia em repouso para Secrets do Kubernetes usando uma chave mestra do cliente (CMK) do Key Management Service (KMS). Esse recurso protege os dados confidenciais do seu cluster por meio de uma configuração simples.

    Casos de uso

    O Kubernetes gerencia informações confidenciais necessárias para a comunicação entre diferentes produtos, serviços e módulos. Essas informações incluem senhas, certificados, credenciais e chaves de acesso. O Kubernetes utiliza objetos Secret para armazenar e gerenciar esses dados confidenciais tanto para o sistema do cluster quanto para suas aplicações. Esses Secrets são armazenados e replicados no etcd do cluster.

    Por exemplo, um novo cluster Kubernetes sem workloads ainda contém cerca de 50 Secrets padrão. O vazamento de qualquer um desses Secrets representa um risco significativo para o seu cluster, aplicações e operações de negócios. Portanto, é fundamental proteger as credenciais armazenadas no cluster contra possíveis ameaças à segurança.

    Como funciona

    Em um cluster gerenciado ACK Pro, você pode usar uma chave mestra do cliente (CMK) criada no Key Management Service (KMS) para criptografar Secrets do Kubernetes. O processo de criptografia baseia-se no mecanismo KMS Encryption Provider do Kubernetes e utiliza criptografia de envelope para criptografar e descriptografar automaticamente as chaves dos Secrets do Kubernetes armazenadas no etcd. Para obter mais informações sobre criptografia de envelope, consulte Use envelope encryption with KMS to encrypt and decrypt data locally. O processo de criptografia e descriptografia das chaves dos Secrets do Kubernetes ocorre da seguinte forma:

    • Quando um Secret é armazenado pela API do Kubernetes, o servidor da API primeiro criptografa os dados com uma chave de dados gerada aleatoriamente. Em seguida, o servidor da API criptografa essa chave de dados com a CMK especificada no KMS, criando uma chave de dados criptografada que é armazenada no etcd.

    • Ao recuperar um Secret, o servidor da API chama a API Decrypt do KMS para descriptografar a chave de dados criptografada. O servidor da API usa então a chave em texto simples resultante para descriptografar os dados do Secret e devolvê-los ao cliente.

    Pré-requisitos

    • A conta Alibaba Cloud usada para gerenciar seus clusters Kubernetes deve ter a função AliyunCSManagedSecurityRole. Caso a função não esteja concedida, o sistema solicitará a concessão quando você ativar a criptografia em repouso para um cluster ACK Pro novo ou existente.

    • Se você fizer login como usuário RAM, verifique se o usuário RAM possui a permissão AliyunKMSCryptoAdminAccess. Para obter mais informações, consulte Manage RAM user permissions.

    • Verifique se você já criou uma chave mestra do cliente (CMK) no console do KMS. Para obter mais informações, consulte Create a key.

      Nota

      Somente CMKs do tipo Aliyun_AES_256 são suportadas.

    Ative a criptografia de Secrets em um novo cluster

    1. Faça login no Container Service Management Console.

    2. Na página Cluster List, clique em Cluster Templates no canto superior direito.

    3. Na caixa de diálogo Select Cluster Template, selecione Managed Kubernetes Cluster Pro e clique em Create.

    4. Na aba ACK Managed Cluster, localize a seção Secret Encryption, marque a caixa de seleção Select Key e selecione um ID de chave na lista suspensa.

    5. Configure os demais parâmetros conforme solicitado.

      Para obter mais informações, consulte Create an ACK Pro cluster.

    Ative a criptografia de Secrets em um cluster existente

    1. Na página Clusters, clique no nome do cluster ACK Pro desejado.

    2. Clique na aba Basic Information e, na seção Basic Information, ative a chave Secret Encryption.

    3. Na caixa de diálogo Secret Encryption, selecione um ID de chave na lista suspensa e clique em OK.

      Após o status do cluster mudar de Updating para Running, o recurso de criptografia em repouso estará ativado.

    Verifique o resultado

    Verifique se a criptografia em repouso para Secrets está ativada no console do ActionTrail. Se encontrar eventos de criptografia e descriptografia associados à função AliyunCSManagedSecurityRole na página Event Query, o recurso está ativo. Utilize o ActionTrail para auditar todas as chamadas de API para o KMS.