6.3. Kubernetes KMS v2 비활성화

프로세스

1. 다음 명령을 입력하여 APIServer 사용자 정의 리소스를 편집합니다.

   $ oc edit apiserver cluster

2. 암호화 구성을 변경합니다.

   apiVersion: config.openshift.io/v1
   kind: APIServer
   metadata:
     name: cluster
   spec:
     encryption:
       type: <encryption>

   &lt ;encryption >를 aescbc,aesgcm 또는 ID 로 바꿉니다.

3. 저장 및 종료합니다.

   OpenShift Container Platform은 etcd 데이터를 자동으로 마이그레이션합니다. 마이그레이션 시간은 etcd 크기와 시크릿 수에 따라 다릅니다.

4. 다음 명령을 입력하여 마이그레이션 진행 상황을 모니터링합니다.

   $ oc get openshiftapiserver -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}{end}'

   출력에 EncryptionCompleted 가 표시될 때까지 기다립니다.

5. 다음 명령을 입력하여 kube-apiserver Pod가 롤아웃되었는지 확인합니다.

   $ oc get pods -n openshift-kube-apiserver -l app=openshift-kube-apiserver

6. 다음 명령을 실행하여 각 컨트롤 플레인 노드에서 고정 Pod 매니페스트를 제거합니다.

   $ for node in $(oc get nodes --selector=node-role.kubernetes.io/master -o name | cut -d/ -f2); do
       echo "Removing static pod from $node..."
       oc debug node/$node -- chroot /host \
         rm -f /etc/kubernetes/manifests/vault-kms-plugin.yaml
     done

   /etc/kubernetes/manifests/ 에서 매니페스트가 제거되면 kubelet에서 정적 Pod를 자동으로 중지합니다.

7. 다음 명령을 실행하여 소켓 디렉터리를 정리합니다.

   $ for node in $(oc get nodes --selector=node-role.kubernetes.io/master -o name | cut -d/ -f2); do
       oc debug node/$node -- chroot /host rm -rf /var/run/kmsplugin
     done

8. 백업 보존 기간이 통과되면 KMS 키를 해제해야 합니다.

검증

1. 다음 명령을 입력하여 암호화 유형을 확인합니다.

   $ oc get apiserver cluster -o jsonpath='{.spec.encryption.type}'

2. 테스트 보안에서 새 암호화 유형을 사용하는지 확인합니다.

   1. 다음 명령을 입력하여 테스트 시크릿을 생성합니다.

      $ oc create secret generic encryption-test --from-literal=key=value -n default

   2. 다음 명령을 입력하여 etcd pod 이름을 가져옵니다.

      $ oc get pods -n openshift-etcd -l app=etcd -o name | head -1

   3. 다음 명령을 입력하여 암호화 접두사를 확인합니다.

      $ oc exec -n openshift-etcd <etcd_pod_name> -- etcdctl get /kubernetes.io/secrets/default/encryption-test --print-value-only | hexdump -C | head -1

      출력은 k8s:enc:aescbc:v1:, k8s:enc:aesgcm:v1: 또는 ID 에 대해 읽을 수 있는 JSON으로 시작되어야 합니다.

   4. 다음 명령을 입력하여 테스트 시크릿을 삭제합니다.

      $ oc delete secret encryption-test -n default