Plattenverschlüsselung für Workerknoten für VPC-Cluster einrichten

Virtuelle Private Cloud

Standardmäßig wird die einzige Primärfestplatte der VPC-Worker-Knoten vom zugrunde liegenden VPC-Infrastrukturanbieter im Ruhezustand mit „ AES-256-Bit“ verschlüsselt.

Es gibt eine vorübergehende Einschränkung bei der Verwendung einer Key Protect Single-Tenant-Instanz für Bring-Your-Own-Key (BYOK)-Verschlüsselung für Boot-Disk und Cluster-Verschlüsselung. Um eine Single-Tenant-Instanz mit Ihrem Cluster zu verwenden, müssen Sie sicherstellen, dass ihre Service-to-Service-Autorisierungsrichtlinie auf die Key Protect Service- oder Instanzebene und nicht auf einen Schlüssel oder Schlüsselring beschränkt ist. Diese Einschränkung gilt nur für Key Protect single tenant instances.

Sie können die Verschlüsselung der Workerknoten verwalten, indem Sie einen KMS-Provider auf der Workerpoolebene aktivieren.

  1. Erstellen Sie eine KMS-Instanz und einen Rootschlüssel.

  2. Stellen Sie sicher, dass Sie über die folgenden Serviceautorisierungsrichtlinien in IBM Cloud IAM verfügen, die unter dem Konto, in dem sich die KMS-Instanz befindet, mit den folgenden Details erstellt wurden:

    • Erforderliche Servicezugriffsrichtlinie für Kubernetes Service und KMS-Provider
      1. Legen Sie das Quellenkonto für Dieses Konto fest, wenn sich der Cluster, für den Sie Zugriff auf KMS erteilen möchten, im aktuellen Konto befindet. Wenn sich der Cluster unter einem anderen Konto befindet, wählen Sie Anderes Konto und geben Sie die Konto-ID an.
      2. Legen Sie Kubernetes Service als den Quellenservice fest.
      3. Legen Sie als Zielservice Ihren KMS-Provider (z. B. Key Protect) fest.
      4. Geben Sie für den Servicezugriff mindestens die Rolle Leseberechtigter an.
      5. Aktivieren Sie die Möglichkeit zum Delegieren der Autorisierung durch Quellenservices und abhängige Services.
    • Erforderliche Richtlinie für den Dienstzugriff für „ Cloud Block Storage “ und den KMS-Anbieter
      1. Legen Sie das Quellenkonto für Dieses Konto fest, wenn sich der Cluster, für den Sie Zugriff auf KMS erteilen möchten, im aktuellen Konto befindet. Wenn sich der Cluster unter einem anderen Konto befindet, wählen Sie Anderes Konto und geben Sie die Konto-ID an.
      2. Legen Sie Cloud Block Storage als Quellenservice fest.
      3. Legen Sie als Zielservice Ihren KMS-Provider (z. B. Key Protect) fest.
      4. Geben Sie für den Servicezugriff mindestens die Rolle Leseberechtigter an.

    Red Hat OpenShift on IBM Cloud erstellt automatisch eine Delegierungsrichtlinie von Dienst zu Dienst für den Dienst Cloud Block Storage im IBM-verwalteten Dienstkonto für die KMS-Anbieterinstanz unter dem Konto, in dem sich die KMS-Instanz und CRK befinden. Diese Delegierungsrichtlinie ist erforderlich, damit die VPC-Infrastruktur das Startvolume der Worker-Knoten im vom „ IBM “ verwalteten Dienstkonto mit Ihrem vom Kunden bereitgestellten Root-Schlüssel des KMS-Anbieters verschlüsseln kann. Wenn Sie Probleme beim Bereitstellen von Worker-Knoten haben, überprüfen Sie, ob diese delegierte Autorisierungsrichtlinie in Ihren IAM-Autorisierungen vorhanden ist /

  3. Optional: Wenn Sie auf Ihrer KMS-Instanz kontextbasierte Einschränkungen aktiviert haben, führen Sie die folgenden Schritte aus.

    1. Erstellen Sie eine Netzwerkzone, die Block Storage for VPC enthält.
        ibmcloud cbr zone-create --name example-zone-1 --description "Block Storage" --service-ref service_name=server-protect
    ```
1. Erstellen Sie eine neue CBR-Regel, die auf die im vorherigen Schritt erstellte Netzwerkzone verweist, oder aktualisieren Sie eine vorhandene CBR-Regel. Weitere Informationen finden Sie unter [Erstellen von Regeln mit Hilfe der CLI](/docs/iam?topic=iam-context-restrictions-create&interface=cli#context-restrictions-create-rules-cli).

  4. Erstellen Sie einen Cluster-oder Worker-Pool mit dem Konto, in dem sich die KMS-Instanz befindet, der KMS-Providerinstanz und dem Rootschlüssel. Anschließend wird jeder Workerknoten in dem Workerpool durch den von Ihnen verwalteten KMS-Provider verschlüsselt. Jeder Workerpool in Ihrem Cluster kann dieselbe KMS-Instanz mit Rootschlüssel bzw. dieselbe KMS-Instanz mit verschiedenen Rootschlüsseln oder verschiedene Instanzen verwenden.

  5. Überprüfen Sie, dass Ihr Workerpool verschlüsselt ist, indem Sie die Workerpooldetails anzeigen.

    • Benutzeroberfläche: Nachdem Sie Ihren Cluster in der Konsole ausgewählt haben, klicken Sie auf „ Worker-Pools “. Klicken Sie anschließend auf Ihren Workerpool.
    • Befehlszeilenschnittstelle: Überprüfen Sie die Felder KMS und CRK in der Ausgabe des folgenden Befehls. Beachten Sie, dass die Felder KMS und CRK nur angezeigt werden, wenn die BYOK-Verschlüsselung aktiviert ist.
        ibmcloud oc worker-pool get --worker-pool WORKER_POOL_NAME_OR_ID --cluster CLUSTER_NAME_OR_ID
    ```

  6. Optional: Wechseln Sie den Rootschlüssel regelmäßig entsprechend den Richtlinien für Sicherheitskonformität in Ihrem Unternehmen. Weitere Informationen finden Sie im Abschnitt zum Verwalten der Verschlüsselung in der VPC-Dokumentation.

    Löschen Sie Ihre KMS-Instanz nicht. Sie können die KMS-Instanz, die zum Verschlüsseln des Workerpools verwendet wird, nicht ändern. Wenn Sie den Rootschlüssel inaktivieren oder löschen , werden Ihre Workerknoten in den Status critical (Kritisch) versetzt, bis der Rootschlüssel wiederhergestellt wird und die Workerknoten erneut gestartet werden.

Die Verschlüsselung der Platten in den Workerknoten Ihres Workerpools wird jetzt durch den Rootschlüssel Ihres KMS-Providers verwaltet. Wenn Sie einen Cluster erstellt haben, ist Ihr Workerpool der default Workerpool.