第6章 暗号鍵の外部管理
6.1. OpenShift Container Platform 上の Kubernetes Key Management Service (KMS) v2
OpenShift Container Platform 上で Kubernetes Key Management Service (KMS) v2 を設定することで、暗号鍵の管理を一元化し、規制遵守要件を満たすことができます。
Kubernetes KMS v2 はテクノロジープレビュー機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat は、実稼働環境でこれらを使用することを推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。
Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。
6.1.1. Kubernetes KMS v2 暗号化について
Kubernetes KMS v2 は、外部のキー管理サービスを使用して etcd データを暗号化し、キー管理を一元化します。
Kubernetes KMS v2 は以下を提供します。
- 顧客が管理する暗号鍵は、外部の KMS に保存されます。
- 鍵の管理と監査の一元化
- 規制遵守の支援
6.1.1.1. KMS プラグインアーキテクチャー
KMS プラグインの設定は、APIServer リソース内にインラインで指定されます。暗号化コントローラーは KMS プラグインをデプロイし、暗号化キーの秘密情報を管理します。
ワークフローは以下の手順で設定されます。
-
認証情報シークレットとオプションの CA バンドルは、
openshift-config名前空間に作成します。 -
APIServerリソースを KMS プロバイダー設定とプラグインイメージで設定します。 - 暗号化コントローラーは KMS プラグインをデプロイし、etcd データの暗号化を開始します。
HashiCorp Vault Enterprise は、サポートされている唯一の KMS プロバイダーです。Vault Community Edition はサポートされていません。Vault Enterprise は外部ホストでなければならず、クラスターサービスネットワーク内で実行してはなりません。
6.1.1.2. 暗号化されたリソース
KMS 暗号化を有効にすると、OpenShift Container Platform は etcd 内の以下のリソースを暗号化します。
- シークレット
- ConfigMap
- ルート
- OAuth アクセストークン
- OAuth 認証トークン
リソースの種類、namespace、およびオブジェクト名は暗号化されません。
6.1.2. KMS テクノロジープレビューの制限事項
デプロイメントを計画し、サポートされていない設定を回避するために、現在の Kubernetes KMS v2 の制限事項を確認してください。
KMS 暗号化は、テクノロジープレビュー機能です。テクノロジープレビュー機能は、Red Hat 製品のサービスレベルアグリーメント (SLA) の対象外であり、機能的に完全ではないことがあります。Red Hat は、実稼働環境でこれらを使用することを推奨していません。テクノロジープレビュー機能は、最新の製品機能をいち早く提供して、開発段階で機能のテストを行い、フィードバックを提供していただくことを目的としています。
Red Hat のテクノロジープレビュー機能のサポート範囲に関する詳細は、テクノロジープレビュー機能のサポート範囲 を参照してください。
6.1.2.1. 現在の制限
- HashiCorp Vault Enterprise は、サポートされている唯一の KMS プロバイダーです。Vault Community Edition はサポートされていません。
- Vault Enterprise は外部ホスティングされる必要があります。クラスターサービスネットワーク内で Vault をホストすることはサポートされていません。
- Vault Transit の暗号鍵をローテーションした後、OpenShift Container Platform は既存の etcd データを新しいキーバージョンで自動的に再暗号化しません。
-
KMS プラグインイメージは、
registry.example.com/vault-plugin@sha256:<digest>のような固定ダイジェスト形式である必要があります。イメージタグは使用できません。 - 非接続環境や、カスタム内部レジストリーを使用するクラスターでは、KMS プラグインイメージをアクセス可能なレジストリーに手動でミラーリングする必要があります。
- KMS プラグインは、このテクノロジープレビュー段階では Prometheus メトリクスを公開しません。
-
移行後も、使用されていない KMS プラグインは
EncryptionConfigurationから削除されません。古いプロバイダーは手動で廃止する必要があります。 -
KMSEncryptionフィーチャーゲートには、TechPreviewNoUpgrade機能セットが必要です。この機能セットを備えたクラスターはアップグレードできません。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}