Utilizzo della crittografia dei secret sempre attivi

Google Distributed Cloud versione 1.10 supporta la crittografia dei secret senza la necessità di un KMS (Key Management Service) esterno o di qualsiasi altra dipendenza.

Abilita la crittografia dei secret sempre attiva

La crittografia dei secret sempre attivi genera automaticamente una chiave di crittografia che viene utilizzata per criptare i secret prima che vengano archiviati nel database etcd del cluster. I secret sono criptati utilizzando una chiave di crittografia dei dati (DEK, Data Encryption Key) generata per ogni scrittura del secret. Questa DEK viene utilizzata in modalità AES-GCM per criptare l'oggetto Secret. La DEK è a sua volta criptata con una chiave di crittografia della chiave (KEK, Key Encrypting Key). L'algoritmo di crittografia è A256GCM (AES GCM usando una chiave a 256 bit).

La versione della chiave è un numero di versione che indica la chiave attualmente in uso.

Puoi abilitare la crittografia dei secret dopo aver già creato un cluster.

• Per il cluster di amministrazione:

  1. Modifica il file di configurazione del cluster di amministrazione per aggiungere la sezione secretsEncryption.

  2. Esegui il comando gkectl update.

     gkectl update admin --config ADMIN_CLUSTER_CONFIG_FILE --kubeconfig ADMIN_CLUSTER_KUBECONFIG

• Per un cluster utente:

  1. Modifica il file di configurazione del cluster utente per aggiungere la sezione secretsEncryption.

  2. Esegui il comando gkectl update.

     gkectl update cluster --config USER_CONFIG_FILE --kubeconfig ADMIN_CLUSTER_KUBECONFIG

Sostituisci quanto segue:

• ADMIN_KUBECONFIG con il percorso del file kubeconfig del cluster di amministrazione.
• ADMIN_CLUSTER_CONFIG con il percorso del file di configurazione del cluster di amministrazione.
• USER_CLUSTER_CONFIG con il percorso del file di configurazione del cluster utente.

I comandi gkectl update forniti in questa sezione possono essere utilizzati anche per qualsiasi altro aggiornamento del cluster corrispondente.

Archiviazione delle chiavi

Le chiavi di crittografia per il cluster di amministrazione sono archiviate nel disco dati del cluster di amministrazione. Questo disco è montato sulla macchina master di amministrazione in /opt/data e le chiavi di crittografia sono disponibili in /opt/data/gke-k8s-kms-plugin/generatekeys/. È necessario eseguire il backup di queste chiavi per mantenere l'accesso ai secret criptati utilizzati dalla chiave. Devi abilitare la crittografia VM/archiviazione nell'hypervisor o misure simili per garantire che i dischi VM del piano di controllo siano protetti.

Rotazione chiave

Per ruotare una chiave di crittografia esistente per un cluster, incrementa il valore keyVersion nel file di configurazione del cluster di amministrazione o nel file di configurazione del cluster utente corrispondente ed esegui il comando gkectl update appropriato. Questa operazione crea una nuova chiave corrispondente al nuovo numero di versione, cripta nuovamente ogni secret e cancella in modo sicuro quello precedente. Tutti i nuovi secret successivi vengono criptati usando la nuova chiave di crittografia.

Disabilita la crittografia dei secret sempre attivi

Per disabilitare la crittografia dei secret in un cluster esistente, aggiungi un campo disabled: true. Quindi, esegui il comando gkectl update corrispondente. Questo aggiornamento decripta ogni secret esistente e archivia ogni secret in testo normale. Tutti i nuovi secret successivi vengono archiviati in testo normale.

secretsEncryption:
  mode: GeneratedKey
  generatedKey:
    keyVersion: KEY_VERSION
    disabled: true