13.3. 禁用 etcd 加密

流程

1. 修改 APIServer 对象：

   $ oc edit apiserver

2. 将 encryption 字段类型设置为 identity：

   spec:
     encryption:
       type: identity 1

   1

   identity 类型是默认值，意味着没有执行任何加密。

3. 保存文件以使改变生效。

   解密过程开始。根据集群的大小，这个过程可能需要 20 分钟或更长的时间才能完成。

4. 验证 etcd 解密是否成功。

   1. 查看 OpenShift API 服务器的 Encrypted 状态条件，以验证其资源是否已成功解密：

      $ oc get openshiftapiserver -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}'

      在成功解密后输出显示 DecryptionCompleted：

      DecryptionCompleted
      Encryption mode set to identity and everything is decrypted

      如果输出显示 DecryptionInProgress，解密仍在进行中。等待几分钟后重试。

   2. 查看 Kubernetes API 服务器的 Encrypted 状态条件，以验证其资源是否已成功解密：

      $ oc get kubeapiserver -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}'

      在成功解密后输出显示 DecryptionCompleted：

      DecryptionCompleted
      Encryption mode set to identity and everything is decrypted

      如果输出显示 DecryptionInProgress，解密仍在进行中。等待几分钟后重试。

   3. 查看 OpenShift OAuth API 服务器的 Encrypted 状态条件，以验证其资源是否已成功解密：

      $ oc get authentication.operator.openshift.io -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}'

      在成功解密后输出显示 DecryptionCompleted：

      DecryptionCompleted
      Encryption mode set to identity and everything is decrypted

      如果输出显示 DecryptionInProgress，解密仍在进行中。等待几分钟后重试。