Container Service for Kubernetes:OSSボリュームの暗号化

kms-cmk-default.yamlという名前のファイルを作成し、次のコードをファイルにコピーします。

apiVersion: v1
kind: PersistentVolume
metadata:
  name: oss-csi-pv
spec:
  capacity:
    storage: 5Gi
  accessModes:
    - ReadOnlyMany
  csi:
    driver: ossplugin.csi.alibabacloud.com
    volumeHandle: oss-csi-pv
    volumeAttributes:
      bucket: "python"
      url: "oss-cn-hangzhou.aliyuncs.com"
      otherOpts: "-o umask=022 -o max_stat_cache_size=0 -o allow_other"
      akId: "<YourAccessKey ID>"           # Replace with your AccessKey ID. 
      akSecret: "<YourAccessKey Secret>"   # Replace with your AccessKey secret. 
      path: "/"
      encrypted: "kms"

次のコマンドを実行して、暗号化されたOSSボリュームを作成します。

kubectl create -f kms-cmk-default.yaml

RAMユーザーにKMSへのアクセス権限を付与します。

指定されたCMKを使用してOSSオブジェクトを暗号化するには、PVが使用するAccessKeyペアのRAMユーザーにKMSへのアクセスを許可する必要があります。 詳細については、「サーバー側の暗号化」をご参照ください。

1. にログインします。RAMコンソールAlibaba Cloudアカウントを使用します。

   説明

   Alibaba Cloudアカウントには、アカウント内のリソースに対する完全な管理権限があります。 RAMユーザーを作成し、RAMユーザーにAdministratorAccessポリシーをアタッチできます。 その後、RAMユーザーをアカウント管理者として使用して、Alibaba cloudアカウントに属するすべてのクラウドリソースを管理できます。 詳細については、「アカウント管理者としてのRAMユーザーの作成」をご参照ください。

2. 左側のナビゲーションウィンドウで、[ID] > [ユーザー] を選択します。

3. On theユーザーページで、権限を付与するRAMユーザーを見つけ、権限の追加で、アクション列を作成します。

4. システムポリシーAliyunKMSFullAccessを選択するか、AliyunOSSEncryptCustomizedPolicyという名前のカスタムポリシーを作成します。.

   重要

   AliyunKMSFullAccessポリシーは、完全な権限を提供します。 詳細なアクセス制御が必要な場合は、次の手順を実行してAliyunOSSEncryptCustomizedPolicyという名前のカスタムポリシーを作成します。 詳細については、「カスタムポリシーの作成」をご参照ください。

   {
     "Version": "1",
     "Statement": [
       {
         "Effect": "Allow",
         "Action": [
           "kms:List*",
           "kms:DescribeKey",
           "kms:GenerateDataKey",
           "kms:Decrypt"
         ],
         "Resource": [
           "acs:kms:*:141661496593****:*" // The RAM user is allowed to use all CMKs that belong to the Alibaba Cloud account. To allow the RAM user to use only the specified CMK, enter the CMK ID. 
         ]
       }
     ]
   }

5. [権限付与] をクリックします。 次に、[閉じる] をクリックします。

sse-oss.yamlという名前のファイルを作成し、次のコードをファイルにコピーします。

apiVersion: v1
kind: PersistentVolume
metadata:
  name: oss-csi-pv
spec:
  capacity:
    storage: 5Gi
  accessModes:
    - ReadWriteOnce
  csi:
    driver: ossplugin.csi.alibabacloud.com
    volumeHandle: oss-csi-pv
    volumeAttributes:
      bucket: "python"
      url: "oss-cn-hangzhou.aliyuncs.com"
      otherOpts: "-o max_stat_cache_size=0 -o allow_other"
      akId: "<YourAccessKey ID>"             # Replace with your AccessKey ID. 
      akSecret: "<YourAccessKey Secret>"     # Replace with your AccessKey secret. 
      path: "/"
      encrypted: "aes256"

次のコマンドを実行して、暗号化されたOSSボリュームを作成します。

kubectl create -f sse-oss.yaml