15.4. 禁用 etcd 加密

流程

1. 修改 APIServer 对象：

   $ oc edit apiserver

   Copy to Clipboard Toggle word wrap

2. 将 encryption 字段类型设置为 identity：

   spec:
     encryption:
       type: identity 

   1

   Copy to Clipboard Toggle word wrap

   1

   identity 类型是默认值，意味着没有执行任何加密。

3. 保存文件以使改变生效。

   解密过程开始。根据集群的大小，这个过程可能需要 20 分钟或更长的时间才能完成。

4. 验证 etcd 解密是否成功。

   1. 查看 OpenShift API 服务器的 Encrypted 状态条件，以验证其资源是否已成功解密：

      $ oc get openshiftapiserver -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}'

      Copy to Clipboard Toggle word wrap

      在成功解密后输出显示 DecryptionCompleted：

      DecryptionCompleted
      Encryption mode set to identity and everything is decrypted

      Copy to Clipboard Toggle word wrap

      如果输出显示 DecryptionInProgress，解密仍在进行中。等待几分钟后重试。

   2. 查看 Kubernetes API 服务器的 Encrypted 状态条件，以验证其资源是否已成功解密：

      $ oc get kubeapiserver -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}'

      Copy to Clipboard Toggle word wrap

      在成功解密后输出显示 DecryptionCompleted：

      DecryptionCompleted
      Encryption mode set to identity and everything is decrypted

      Copy to Clipboard Toggle word wrap

      如果输出显示 DecryptionInProgress，解密仍在进行中。等待几分钟后重试。

   3. 查看 OpenShift OAuth API 服务器的 Encrypted 状态条件，以验证其资源是否已成功解密：

      $ oc get authentication.operator.openshift.io -o=jsonpath='{range .items[0].status.conditions[?(@.type=="Encrypted")]}{.reason}{"\n"}{.message}{"\n"}'

      Copy to Clipboard Toggle word wrap

      在成功解密后输出显示 DecryptionCompleted：

      DecryptionCompleted
      Encryption mode set to identity and everything is decrypted

      Copy to Clipboard Toggle word wrap

      如果输出显示 DecryptionInProgress，解密仍在进行中。等待几分钟后重试。