6.2. Kubernetes KMS v2 の設定

手順

1. 以下のコマンドを入力して、KMS プラグインイメージの SHA256 ダイジェストを取得します。

   $ skopeo inspect docker://quay.io/redhat-isv-containers/698df066f8d1ddf179c15ef9:<version> | jq -r '.Digest'

   <version> を、お使いのクラスターと互換性のあるプラグインのバージョン (例: 0.1.0-beta-ubi) に置き換えてください。

   結果として得られたダイジェストを使用して、quay.io/redhat-isv-containers/698df066f8d1ddf179c15ef9@sha256:<digest> の形式で完全修飾プル仕様を構築します。

2. 以下のコマンドを入力して、Vault の認証情報を使用して openshift-config 名前空間にシークレットを作成します。

   $ oc create secret generic vault-approle-secret \
     --from-literal=role-id=<your_role_id> \
     --from-literal=secret-id=<your_secret_id> \
     -n openshift-config

   <your_role_id> と <your_secret_id> を、ご自身の Vault AppRole の認証情報に置き換えてください。

3. オプション:Vault サーバーがカスタム TLS 認証局を使用している場合は、次のコマンドを入力して、CA バンドルを含む config map を openshift-config 名前空間に作成します。

   $ oc create configmap vault-ca-bundle \
     --from-file=ca-bundle.crt=<path_to_ca_bundle> \
     -n openshift-config

4. 以下のコマンドを入力して、APIServer カスタムリソースを編集します。

   $ oc edit apiserver cluster

5. spec.encryption セクションに KMS 設定を追加します。

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     encryption:
       type: KMS
       kms:
         type: Vault
         vault:
           kmsPluginImage: <registry>/<repository>@sha256:<digest>
           vaultAddress: https://vault.example.com:8200
           vaultNamespace: my-namespace
           vaultAuthNamespace: my-auth-namespace
           vaultKeyPath: transit/keys/kms-key
           tls:
             caBundle:
               name: vault-ca-bundle
             serverName: vault.example.com
           authentication:
             type: AppRole
             appRole:
               secret:
                 name: vault-approle-secret

   各項目の説明:

   kmsPluginImage

   KMS プラグインコンテナーイメージを、SHA256 ダイジェスト付きの完全修飾 OCI プル仕様として指定します。イメージタグと短い名前は使用できません。非接続環境では、ミラーリングされた場所を使用してください。

   vaultAddress

   Vault サーバーの HTTPS URL を指定します。パス、クエリーパラメーター、およびフラグメントは許可されていません。

   vaultNamespace

   Vault の名前空間を指定します。この値はオプションです。

   vaultAuthNamespace

   Transit ネームスペースと異なる場合に、認証に使用する Vault ネームスペースを指定します。デフォルトでは、vaultNamespace の 値が使用されます。この値はオプションです。

   vaultKeyPath

   Transit 暗号化キーのパスを <mount>/keys/<key_name> の形式で指定します。

   tls.caBundle.name

   CA バンドルを含む openshift-config 名前空間内の config map を指定します。Vault がカスタム CA を使用する場合にのみ必要です。

   tls.serverName

   証明書の検証に使用する TLS サーバー名を指定します。この値はオプションです。

   認証.appRole.secret.name

   AppRole の認証情報を含む openshift-config 名前空間内のシークレット名を指定します。

6. 保存して終了します。

   kube-apiserver、openshift-apiserver、および 認証 Operator は、設定を検証し、新しいリビジョンを展開します。

検証

1. 暗号化タイプを確認するには、以下のコマンドを入力します。

   $ oc get apiserver cluster -o jsonpath='{.spec.encryption.type}'

   出力には KMS が表示されます。

2. 以下のコマンドを入力して、KMS プラグインの健全性と設定の検証を確認してください。

   $ oc get kubeapiserver cluster -ojsonpath='{.status.encryptionStatus}' | jq .

   preflight.result.status に Succeeded が表示され、healthReports のすべてのノードに Healthy が表示されていることを確認してください。

3. kube-apiserver のロールアウトの進捗を監視するには、以下のコマンドを入力します。

   $ oc get co kube-apiserver

   ロールアウト時の出力例

   NAME             VERSION      AVAILABLE   PROGRESSING   DEGRADED   SINCE   MESSAGE
   kube-apiserver   5.0.0-rc.4   True        True          False      35m     NodeInstallerProgressing: 2 nodes are at revision 6; 1 node is at revision 7

   PROGRESSING がFalse と表示されたら、ロールアウトは完了です。

4. 以下のコマンドを入力して、暗号化移行のステータスを確認します。

   $ oc get kubeapiserver cluster -o jsonpath='{.status.conditions[?(@.type=="Encrypted")]}' | jq .

   完了時の出力例

   {
     "lastTransitionTime": "2026-09-24T16:41:48Z",
     "message": "All resources encrypted: secrets, configmaps",
     "reason": "EncryptionCompleted",
     "status": "True",
     "type": "Encrypted"
   }

   etcd で暗号化を確認する前に、理由がEncryptionCompleted と表示されるまで待ってください。

5. etcd で秘密情報が暗号化されていることを確認します。

   警告

   暗号化の検証を行う前に、すべてのコントロールプレーンノードで kube-apiserver の ロールアウトが完了するまで待ってください。ノードが以前のリビジョンを実行している間に作成されたシークレットは、KMS で暗号化されません。

   1. 以下のコマンドを入力して、テスト用のシークレットを作成します。

      $ oc create secret generic test-secret --from-literal=key=value -n default

   2. 以下のコマンドを入力して、etcd Pod 名を取得します。

      $ oc get pods -n openshift-etcd -l app=etcd -o name | head -1

   3. 以下のコマンドを入力して、etcd 内のシークレットデータを確認します。

      $ oc exec -n openshift-etcd <etcd_pod_name> -- etcdctl get /kubernetes.io/secrets/default/test-secret --print-value-only | hexdump -C | head -1

      出力例

      00000000  6b 38 73 3a 65 6e 63 3a  6b 6d 73 3a 76 32 3a 31  |k8s:enc:kms:v2:1|

      出力は k8s:enc:kms:v2: で始まり、その後に暗号化されたバイナリーデータが続きます。

   4. 以下のコマンドを入力して、テスト用のシークレットを削除します。

      $ oc delete secret test-secret -n default