第6章 外部暗号化キー管理
6.1. OpenShift Container Platform 上の Kubernetes Key Management Service (KMS) v2 リンクのコピーリンクがクリップボードにコピーされました!
OpenShift Container Platform 上で Kubernetes Key Management Service (KMS) v2 を設定することで、暗号化キーの管理を一元化し、規制遵守要件を満たすことができます。
Kubernetes KMS v2 は、テクノロジープレビュー版の機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat は、実稼働環境でこれらを使用することを推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。
Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。
6.1.1. Kubernetes KMS v2 暗号化について リンクのコピーリンクがクリップボードにコピーされました!
Kubernetes KMS v2 は、外部のキー管理サービスを使用して etcd データを暗号化し、キー管理を一元化します。
Kubernetes KMS v2 は以下を提供します。
- お客様が管理する暗号化キーは、外部 KMS から決して外に出ることはありません。
- 一元化された鍵管理と監査
- 規制遵守支援
6.1.1.1. 暗号化されたリソース リンクのコピーリンクがクリップボードにコピーされました!
KMS 暗号化を有効にすると、OpenShift Container Platform は etcd 内の以下の機密リソースを暗号化します。
- シークレット
- ConfigMap
- ルート
- OAuth アクセストークン
- OAuth 認証トークン
リソースの種類、名前空間、およびオブジェクト名は暗号化されません。
6.1.2. KMS テクノロジープレビューの制限事項 リンクのコピーリンクがクリップボードにコピーされました!
OpenShift Container Platform 4.21 以降では、Kubernetes KMS v2 の現在の制限事項を確認し、デプロイメントを計画し、サポートされていない設定を回避してください。
6.1.2.1. 現在の制限 リンクのコピーリンクがクリップボードにコピーされました!
- プラグインは各コントロールプレーンノードに手動でインストールする必要があります。
-
プラグインは
unix:///var/run/kmsplugin/kms.sockでリッスンする必要があります - KMS プラグインは一度に 1 つしか実行できません。
-
KMS から KMS への移行には、中間移行として
アイデンティティーまたはaescbcへの移行が必要です。