2.3.6. 为机器集启用客户管理的加密密钥

流程

1. 使用您的 KMS 密钥名称、密钥环名称和位置运行以下命令，允许特定服务帐户使用您的 KMS 密钥，并为服务帐户授予正确的 IAM 角色：

   gcloud kms keys add-iam-policy-binding <key_name> \
     --keyring <key_ring_name> \
     --location <key_ring_location> \
     --member "serviceAccount:service-<project_number>@compute-system.iam.gserviceaccount.com” \
     --role roles/cloudkms.cryptoKeyEncrypterDecrypter

2. 在机器集 YAML 文件中的 providerSpec 字段中配置加密密钥。例如：

   providerSpec:
     value:
       # ...
       disks:
       - type:
         # ...
         encryptionKey:
           kmsKey:
             name: machine-encryption-key 1
             keyRing: openshift-encrpytion-ring 2
             location: global 3
             projectID: openshift-gcp-project 4
           kmsKeyServiceAccount: openshift-service-account@openshift-gcp-project.iam.gserviceaccount.com 5

   1

   用于磁盘加密的客户管理的加密密钥名称。

   2

   KMS 密钥所属的 KMS 密钥环的名称。

   3

   KMS 密钥环存在的 GCP 位置。

   4

   可选：存在 KMS 密钥环的项目 ID。如果没有设置项目 ID，则会使用创建机器设置的机器设置 projectID。

   5

   可选：用于给定 KMS 密钥加密请求的服务帐户。如果没有设置服务帐户，则使用 Compute Engine 默认服务帐户。

   当使用更新的 providerSpec 对象配置创建新机器后，磁盘加密密钥就会使用 KMS 密钥加密。