第6章 暗号鍵の外部管理
6.1. OpenShift Container Platform 上の Kubernetes Key Management Service (KMS) v2 リンクのコピーリンクがクリップボードにコピーされました!
OpenShift Container Platform 上で Kubernetes Key Management Service (KMS) v2 を設定することで、暗号鍵の管理を一元化し、規制遵守要件を満たすことができます。
Kubernetes KMS v2 はテクノロジープレビュー機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat は、実稼働環境でこれらを使用することを推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。
Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。
6.1.1. Kubernetes KMS v2 暗号化について リンクのコピーリンクがクリップボードにコピーされました!
Kubernetes KMS v2 は、外部の鍵管理サービスを使用して etcd データを暗号化し、鍵管理を一元化します。
Kubernetes KMS v2 は以下を提供します。
- 外部 KMS から決して外へ出ることのないお客様管理の暗号鍵
- 鍵の管理と監査の一元化
- 規制遵守の支援
6.1.1.1. 暗号化されたリソース リンクのコピーリンクがクリップボードにコピーされました!
KMS 暗号化を有効にすると、OpenShift Container Platform により etcd 内の以下の機密性の高いリソースが暗号化されます。
- シークレット
- ConfigMap
- ルート
- OAuth アクセストークン
- OAuth 認証トークン
リソースの種類、namespace、およびオブジェクト名は暗号化されません。
6.1.2. KMS テクノロジープレビューの制限事項 リンクのコピーリンクがクリップボードにコピーされました!
OpenShift Container Platform 4.21 以降でデプロイを計画し、サポート対象外の構成を回避するために、Kubernetes KMS v2 の現在の制限事項を確認してください。
6.1.2.1. 現在の制限 リンクのコピーリンクがクリップボードにコピーされました!
- プラグインを各コントロールプレーンノードに手動でインストールする必要があります。
-
プラグインは
unix:///var/run/kmsplugin/kms.sockでリッスンする必要があります。 - KMS プラグインは一度に 1 つしか実行できません。
-
KMS から KMS に移行するには、中間段階として
identityまたはaescbcへの移行が必要です。