Container Service for Kubernetes:Alibaba Cloud KMS を使用した保存時の Secret の暗号化

Kubernetes クラスターでは、Secret を使用して、パスワード、TLS 証明書、Docker イメージをダウンロードするための認証情報などの機密性の高いアプリケーション情報を格納、管理します。 Kubernetes は、すべての Secret オブジェクトデータをクラスターの etcd に格納します。 詳細については、「シークレット」をご参照ください。

詳細については、「KMS 暗号化プロバイダーメカニズム」および「KMS キーを使用したエンベロープ暗号化」をご参照ください。

KMS のキーの自動ローテーション機能を、保存時の Secret の暗号化と組み合わせて使用できます。キーが自動的にローテーションされると、既存の Secret は以前のキーバージョンで暗号化されたままになります。新しい Secret は新しいキーバージョンで暗号化されます。キーの自動ローテーションの詳細については、「キーのローテーション」をご参照ください。

既存の Secret が新しいキーバージョンで再暗号化されるようにするには、キーが自動的にローテーションされた後、次のコマンドを実行して既存のすべての Secret を再暗号化します。

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

保存時の Secret の暗号化に KMS v2 を使用するようにアップグレードする方法

保存時の Secret の暗号化に KMS v2 を使用するには、ACK Pro クラスターまたはがバージョン 1.31 以降であることを確認してください。

• クラスターで保存時の Secret の暗号化が有効になっていない場合は、「ACK Pro クラスターにおける保存時の Secret の暗号化の有効化」を参照して機能を有効にしてください。機能が有効になると、クラスター内の Secret インスタンスは、ディスクへの書き込みまたは読み取り時に KMS v2 API を使用して自動的に暗号化および復号されます。

• クラスターで Secret の保存時の暗号化機能が有効になっている場合は、オフピーク時に次のいずれかの方法で保存時の暗号化キーをローテーションできます。

  • 方法 1：kubectl get secrets --all-namespaces -o json | kubectl replace -f - コマンドを実行します。このコマンドは、KMS v2 API を使用してすべての Secret インスタンスを再暗号化します。

  • 方法 2：Container Service for Kubernetes コンソールにログインします。[クラスター情報] ページの [基本情報] タブで、[保存時の Secret の暗号化] をオフにします。この操作により、クラスター内のすべての Secret インスタンスが復号されます。プロセスが完了したら、「ACK Pro クラスターにおける保存時の Secret の暗号化の有効化」を参照して機能を再度有効にします。機能が再度有効になると、クラスター内のすべての Secret インスタンスは KMS v2 API を使用して保存時に暗号化されます。

保存時の暗号化を有効にした後、kubectl コマンドで取得した Secret は暗号文ですか？

いいえ、違います。保存時の暗号化機能は、etcd に保存されている生の Secret データを暗号化します。ただし、クライアントが API サーバーを呼び出して Secret データを取得すると、データは復号され、平文として返されます。

既存の ACK Pro マネージドクラスターにおいて、RAM ユーザーまたは RAM ロールによる Secret の at-rest 暗号化機能の有効化または無効化を禁止する方法

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }