使用KMS进行Secret落盘加密

在Kubernetes集群中，通常使用Secret密钥模型存储和管理业务应用涉及的敏感信息，例如应用密码、TLS证书、Docker镜像下载凭据等敏感信息。Kubernetes会将所有的Secret密钥对象数据存储在集群对应的etcd中。关于密钥的更多信息，请参见Secrets。

更多信息，请参见KMS Encryption Provider机制、使用KMS密钥进行信封加密。

您可以使用KMS自动轮转密钥功能进行Secret的落盘加密。当密钥发生自动轮转时，存量的Secret仍旧使用轮转前的密钥版本进行加密，新增的Secret将使用轮转后的新密钥版本进行加密。关于自动轮转密钥具体操作，请参见密钥轮转。

如需确保存量的Secret也使用新的密钥版本进行加密，请在密钥发生自动轮转后，执行以下命令强制使用新的密钥版本重新加密所有的存量Secret。

kubectl get secrets --all-namespaces -o json | kubectl annotate --overwrite -f - encryption-key-rotation-time="$(date -u +'%Y-%m-%dT%H:%M:%S%z')"

如何升级使用KMS v2进行Secret落盘加密？

如使用KMS v2进行Secret落盘加密，请确保您的ACK Pro集群为1.31或以上版本。

• 如果您的集群之前未开启Secret落盘加密功能，请参考为ACK Pro集群开启Secret落盘加密为集群开启加密功能。开启后，集群中的Secret实例在落盘和读取流程中会自动使用KMS v2接口进行加解密。

• 如果您的集群已开启Secret落盘加密功能，您可以在业务低峰时通过以下任一方式轮转落盘密钥的加密方式。

  • 方式一：执行kubectl get secrets --all-namespaces -o json | kubectl replace -f - 命令，该命令会通过KMS v2接口的加密方式轮转所有已落盘Secrets实例的加密方式。

  • 方式二：登录容器服务管理控制台，在集群信息页面的基本信息页签找到Secret 落盘加密并关闭。关闭流程会触发集群所有落盘Secrets实例的轮转。等待一段时间后，参考为ACK Pro集群开启Secret落盘加密为集群重新开启加密功能，开启成功后，集群中的所有Secrets实例会使用KMS v2接口落盘加密。

开启Secret落盘加密后，通过kubectl命令获取到的Secret是加密后的密文吗？

不是。Secret落盘加密功能所加密的是etcd中存储的原始数据，即开启Secret落盘加密后，etcd中存储的Secret数据将是加密后的密文数据。但客户端通过API Server提供的Secret API获取到的Secret数据仍旧是原始的明文数据。

如何禁止RAM用户或RAM角色在已创建的ACK Pro集群中开启或关闭Secret落盘加密功能

  {
      "Action": [
          "cs:UpdateKMSEncryption"
      ],
      "Effect": "Deny",
      "Resource": [
          "*"
      ]
  }