Elastic Container Instance örneğinin geçici depolama alanını şifreleyerek verilerinizi koruyun ve uyumluluk gereksinimlerini karşılayın. Şifreleme, KMS tarafından yönetilen hizmet anahtarları ile AES-256 algoritmasını kullanır ve tüm okuma/yazma işlemlerine otomatik olarak uygulanır.
Çalışma mekanizması
Her Elastic Container Instance örneği, konteyner görüntüleri ve çalışma zamanı verileri için varsayılan olarak 30 GiB geçici depolama alanı sağlar. İhtiyaç duyduğunuzda bu alanı genişletebilirsiniz.
Şifrelemeyi etkinleştirmek için pod meta verilerine bir ek açıklama (annotation) ekleyin. Elastic Container Instance hizmeti ardından, ücretsiz olan KMS hizmet anahtarlarını kullanarak depolama alanındaki tüm verileri AES-256 ile şifreler.
Ön koşullar
Başlamadan önce aşağıdaki koşulları sağladığınızdan emin olun:
Aktif bir KMS örneği. Özel KMS örneği satın alın
KMS, hizmet anahtarlarını otomatik olarak oluşturur ve yönetir; bu işlem ücretsizdir.
Şifrelemeyi etkinleştirin
Pod meta verilerinize aşağıdaki ek açıklamayı ekleyin:
|
|
|
|
|
|
|
|
Ek açıklamalar, pod yapılandırma dosyasındaki meta verilere eklenmelidir. Örneğin, bir Deployment oluştururken ek açıklamaları
spec.template.metadatabölümüne eklemeniz gerekir.Elastic Container Instance ile ilgili ek açıklamalar yalnızca pod oluşturulurken uygulanır. Mevcut bir poda bu ek açıklamaları eklemek veya değiştirmek herhangi bir etki yaratmaz.
Örnek: Şifreli depolamaya sahip Deployment
Aşağıdaki Deployment, geçici depolama şifrelemesini etkinleştirir:
apiVersion: apps/v1
kind: Deployment
metadata:
name: kms-test
labels:
app: test
spec:
replicas: 1
selector:
matchLabels:
app: test
template:
metadata:
name: kms-test
labels:
app: test
alibabacloud.com/eci: "true" # Schedule the pod on Elastic Container Instance
annotations:
k8s.aliyun.com/eci-ephemeral-storage-options: "{\"encrypted\":\"true\"}" # Encrypt the temporary storage space
spec:
containers:
- name: test
image: registry-vpc.cn-beijing.aliyuncs.com/eci_open/nginx:1.4.2