34.7. 암호 해독 키 순환
다운타임을 발생시키지 않고 시크릿을 변경하려면 여러 API 서버가 실행 중인 고가용성 배포가 있는 다단계 작업이 필요합니다.
- 새 키를 생성하고 모든 서버에서 현재 공급업체의 두 번째 키 항목으로 추가합니다.
각 서버가 새 키를 사용하여 암호 해독할 수 있도록 모든 API 서버를 다시 시작합니다.
참고단일 API 서버를 사용하는 경우 이 단계를 건너뛸 수 있습니다.
# master-restart api # master-restart controllers
-
구성의 암호화에 사용하도록 새 키를
keys배열의 첫 번째 항목으로 만듭니다. 각 서버가 이제 새 키를 사용하여 암호화되도록 모든 API 서버를 다시 시작합니다.
# master-restart api # master-restart controllers
다음을 실행하여 새 키를 사용하여 기존 보안을 모두 암호화합니다.
$ oc adm migrate storage --include=secrets --confirm
- 사용 중인 새 키로 etcd를 백업하고 모든 시크릿을 업데이트한 후 구성에서 이전 암호 해독 키를 제거합니다.
