2.3.6. 머신 세트의 고객 관리 암호화 키 활성화

절차

1. KMS 키 이름, 키 링 이름 및 위치를 지정하고 다음 명령을 실행하여 특정 서비스 계정에서 KMS 키를 사용하여 서비스 계정에 올바른 IAM 역할을 부여할 수 있습니다.

   gcloud kms keys add-iam-policy-binding <key_name> \
     --keyring <key_ring_name> \
     --location <key_ring_location> \
     --member "serviceAccount:service-<project_number>@compute-system.iam.gserviceaccount.com” \
     --role roles/cloudkms.cryptoKeyEncrypterDecrypter

2. 사용자가 머신 세트 YAML 파일의 providerSpec 필드에 암호화 키를 구성할 수 있습니다. 예를 들면 다음과 같습니다.

   providerSpec:
     value:
       # ...
       disks:
       - type:
         # ...
         encryptionKey:
           kmsKey:
             name: machine-encryption-key 1
             keyRing: openshift-encrpytion-ring 2
             location: global 3
             projectID: openshift-gcp-project 4
           kmsKeyServiceAccount: openshift-service-account@openshift-gcp-project.iam.gserviceaccount.com 5

   1

   디스크 암호화에 사용되는 고객 관리 암호화 키의 이름입니다.

   2

   KMS 키가 속한 KMS 키 링의 이름입니다.

   3

   KMS 키 링이 있는 GCP 위치입니다.

   4

   선택 사항: KMS 키 링이 있는 프로젝트의 ID입니다. 프로젝트 ID가 설정되지 않은 경우 머신 세트가 사용된 머신 세트의 projectID를 설정합니다.

   5

   선택 사항: 지정된 KMS 키의 암호화 요청에 사용되는 서비스 계정입니다. 서비스 계정이 설정되지 않은 경우 Compute Engine 기본 서비스 계정이 사용됩니다.

   업데이트된 providerSpec 개체 구성을 사용하여 새 머신을 생성한 후 디스크 암호화 키는 KMS 키로 암호화됩니다.