Activation du chiffrement des secrets depuis l'interface de ligne de commande

Vous pouvez activer un fournisseur KMS, mettre à jour l'instance du fournisseur KMS ou mettre à jour la clé racine via l'interface de ligne de commande.

La configuration du chiffrement entre comptes à l'aide d'un KMS dans un autre compte est prise en charge dans l'interface de ligne de commande ou l'API.

1. Créez une instance KMS et une clé racine. Si vous souhaitez utiliser le chiffrement KMS inter-comptes, veillez à créer le KMS et la clé racine dans le compte dont vous souhaitez utiliser l'instance KMS.

2. Récupérez l'ID de l'instance KMS que vous avez créée précédemment.

   ibmcloud oc kms instance ls
   

3. Récupérez l'ID de la clé racine que vous avez créée précédemment.

   ibmcloud oc kms crk ls --instance-id KMS_INSTANCE_ID
   

4. Activez le fournisseur KMS pour chiffrer les secrets dans votre cluster. Complétez les options avec les informations que vous avez précédemment récupérées. Le noeud final de service cloud privé du fournisseur KMS est utilisé par défaut pour télécharger les clés de chiffrement. Pour utiliser à la place le point de terminaison du service cloud public, incluez l'option --public-endpoint. Le processus d'activation peut prendre un certain temps.

   ibmcloud oc kms enable -c CLUSTER_NAME_OR_ID --instance-id KMS_INSTANCE_ID --crk ROOT_KEY_ID [--public-endpoint]
   

   Lors de l'activation, vous risquez de ne pas pouvoir accéder au maître Kubernetes, par exemple pour mettre à jour la configuration des fichiers YAML correspondant aux déploiements.

5. Vérifiez que le processus d'activation de KMS est terminé. Ce processus est terminé lorsque le statut du maître (Master Status) passe à Ready et que le service de gestion de clés (Key Management Service) passe au statut enabled.

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   Exemple de sortie lorsque le processus d'activation est en cours

   NAME:                   <cluster_name>
   ID:                     <cluster_ID>
   ...
   Master Status:          Key management service feature enablement in progress.
   

   Exemple de sortie lorsque le maître est prêt

   NAME:                   <cluster_name>
   ID:                     <cluster_ID>
   ...
   Master Status:          Ready (1 min ago)
   ...
   Key Management Service: enabled
   

   Une fois que le fournisseur KMS est activé dans le cluster, tous les secrets de cluster sont automatiquement chiffrés.

6. Facultatif : vérifiez que vos secrets sont chiffrés.

L'activation de la clé, qui est initiée par Red Hat OpenShift, signifie que le chiffrement passe à une nouvelle clé du fournisseur KMS. La rotation des clés, qui est initiée par le fournisseur KMS, signifie que le chiffrement passe à une nouvelle version de la clé existante. Ne supprimez aucune clé racine dans votre instance de KMS si elle a fait l'objet d'une rotation à partir du fournisseur de KMS. Une clé racine ne peut être supprimée que lorsqu'elle n'est plus utilisée. Par exemple, après avoir activé une nouvelle clé et vérifié que le cluster n'utilise plus l'ancienne clé, vous pouvez supprimer cette dernière. Si vous supprimez une clé racine utilisée par un cluster, le cluster devient inutilisable, perd toutes ses données et ne peut pas être récupéré. Lorsque vous faites pivoter une clé racine, vous ne pouvez pas réutiliser une clé racine précédente pour le même cluster. De même, si vous désactivez une clé racine, les opérations qui reposent sur des secrets de lecture échouent. Contrairement à la suppression d'une clé racine, vous pouvez toutefois réactiver une clé désactivée afin de rendre votre cluster à nouveau opérationnel.

Activation du chiffrement des secrets à partir de la console

Vous pouvez activer un fournisseur KMS, mettre à jour l'instance du fournisseur KMS ou mettre à jour la clé racine via la console IBM Cloud.

1. Créez une instance KMS et une clé racine. Si vous souhaitez utiliser le chiffrement KMS inter-comptes, veillez à créer le KMS et la clé racine dans le compte dont vous souhaitez utiliser l'instance KMS.

2. Dans la console, sélectionnez le cluster pour lequel vous souhaitez activer le chiffrement.

3. Dans la section Service de gestion des clés, cliquez sur Activer. Si vous avez déjà activé le fournisseur KMS, cliquez sur Mettre à jour.

4. Sélectionnez l'instance du service de gestion des clés (KMS) et la clé racine que vous souhaitez utiliser pour le chiffrement.

   Lors de l'activation, vous risquez de ne pas pouvoir accéder au maître Kubernetes, par exemple pour mettre à jour la configuration des fichiers YAML correspondant aux déploiements.

5. Cliquez sur Activer (ou Mettre à jour).

6. Vérifiez que le processus d'activation de KMS est terminé. Exemple de sortie lorsque l'activation est en cours.

   Master status   KMS feature enablement in progress.
   

   Exemple de sortie lorsque le maître est prêt.

   Master status   Ready
   

   Une fois que le fournisseur KMS est activé dans le cluster, tous les secrets de cluster sont automatiquement chiffrés.

7. Facultatif : vérifiez que vos secrets sont chiffrés.

L'activation de la clé, qui est initiée par Red Hat OpenShift, signifie que le chiffrement passe à une nouvelle clé du fournisseur KMS. La rotation des clés, qui est initiée par le fournisseur KMS, signifie que le chiffrement passe à une nouvelle version de la clé existante. Ne supprimez aucune clé racine dans votre instance de KMS si elle a fait l'objet d'une rotation à partir du fournisseur de KMS. Une clé racine ne peut être supprimée que lorsqu'elle n'est plus utilisée. Par exemple, après avoir activé une nouvelle clé et vérifié que le cluster n'utilise plus l'ancienne clé, vous pouvez supprimer cette dernière. Si vous supprimez une clé racine utilisée par un cluster, le cluster devient inutilisable, perd toutes ses données et ne peut pas être récupéré. Lorsque vous faites pivoter une clé racine, vous ne pouvez pas réutiliser une clé racine précédente pour le même cluster. De même, si vous désactivez une clé racine, les opérations qui reposent sur des secrets de lecture échouent. Contrairement à la suppression d'une clé racine, vous pouvez toutefois réactiver une clé désactivée afin de rendre votre cluster à nouveau opérationnel.