Abilitazione della crittografia segreta dalla CLI

È possibile abilitare un fornitore KMS, aggiornare l'istanza del fornitore KMS o aggiornare la chiave root tramite la CLI.

La configurazione della crittografia tra account utilizzando un KMS in un account differente è supportata nella CLI o nell'API.

1. Crea una chiave root e un'istanza KMS. Se vuoi utilizzare la crittografia KMS tra account, assicurati di creare il KMS e la chiave root nell'account di cui vuoi utilizzare l'istanza KMS.

2. Ottieni l'ID dell'istanza KMS che hai creato in precedenza.

   ibmcloud oc kms instance ls
   

3. Ottieni l'ID della chiave root che hai creato in precedenza.

   ibmcloud oc kms crk ls --instance-id KMS_INSTANCE_ID
   

4. Abilita il provider KMS per crittografare i segreti nel tuo cluster. Completare le opzioni con le informazioni recuperate in precedenza. Per il download delle chiavi di crittografia viene utilizzato per impostazione predefinita l'endpoint del servizio cloud privato del provider KMS. Per utilizzare invece l'endpoint del servizio cloud pubblico, includere l'opzione --public-endpoint. Il completamento del processo di abilitazione potrebbe richiedere alcuni minuti.

   ibmcloud oc kms enable -c CLUSTER_NAME_OR_ID --instance-id KMS_INSTANCE_ID --crk ROOT_KEY_ID [--public-endpoint]
   

   Durante l'abilitazione, potresti non essere in grado di accedere al master Kubernetes, ad esempio, per aggiornare le configurazioni YAML per le distribuzioni.

5. Verifica che il processo di abilitazione KMS sia terminato. Il processo è terminato quando Stato master è Pronto e Servizio di gestione chiavi è abilitato.

   ibmcloud oc cluster get -c CLUSTER_NAME_OR_ID
   

   Esempio di output quando l'abilitazione è in corso

   NAME:                   <cluster_name>
   ID:                     <cluster_ID>
   ...
   Master Status:          Key management service feature enablement in progress.
   

   Esempio di output quando il master è pronto

   NAME:                   <cluster_name>
   ID:                     <cluster_ID>
   ...
   Master Status:          Ready (1 min ago)
   ...
   Key Management Service: enabled
   

   Una volta abilitato il provider KMS nel cluster, tutti i segreti del cluster vengono crittografati automaticamente.

6. Facoltativo: Verifica che i tuoi segreti siano crittografati.

L'abilitazione della chiave, avviata tramite Red Hat OpenShift, significa che la crittografia passa a una nuova chiave del provider KMS. La rotazione delle chiavi, avviata dal provider KMS, significa che la crittografia passa a una nuova versione della chiave esistente. Non eliminare alcuna chiave principale nell'istanza KMS se questa viene ruotata dal provider KMS. Una chiave principale può essere eliminata solo quando non è più in uso. Ad esempio, dopo aver abilitato una nuova chiave e verificato che il cluster non utilizza più la vecchia chiave, è possibile eliminare la vecchia chiave. Se si elimina una chiave radice utilizzata da un cluster, quest'ultimo diventa inutilizzabile, perde tutti i propri dati e non può essere ripristinato. Quando si ruota una chiave root, non è possibile riutilizzare una chiave root precedente per lo stesso cluster. Allo stesso modo, se si disabilita una chiave root, le operazioni che si basano sulla lettura dei segreti non riescono. A differenza dell'eliminazione di una chiave root, tuttavia, è possibile riabilitare una chiave disabilitata per rendere nuovamente utilizzabile il cluster.

Abilitazione della codifica segreta dalla console

Puoi abilitare un provider KMS, aggiornare l'istanza del provider KMS o aggiornare la chiave root tramite la console IBM Cloud.

1. Crea una chiave root e un'istanza KMS. Se vuoi utilizzare la crittografia KMS tra account, assicurati di creare il KMS e la chiave root nell'account di cui vuoi utilizzare l'istanza KMS.

2. Dalla console, selezionare il cluster per il quale si desidera abilitare la crittografia.

3. Nella sezione Servizio di gestione delle chiavi, fare clic su Abilita. Se hai già abilitato il provider KMS, fai clic su Update.

4. Seleziona l'istanza del servizio di gestione chiavi (Key management service instance) e la chiave root (Root key) che vuoi utilizzare per la crittografia.

   Durante l'abilitazione, potresti non essere in grado di accedere al master Kubernetes, ad esempio, per aggiornare le configurazioni YAML per le distribuzioni.

5. Fai clic su Enable (o Update).

6. Verifica che il processo di abilitazione KMS sia terminato. Esempio di output quando l'abilitazione è in corso.

   Master status   KMS feature enablement in progress.
   

   Esempio di output quando il master è pronto.

   Master status   Ready
   

   Una volta abilitato il provider KMS nel cluster, tutti i segreti del cluster vengono crittografati automaticamente.

7. Facoltativo: Verifica che i tuoi segreti siano crittografati.

L'abilitazione della chiave, avviata tramite Red Hat OpenShift, significa che la crittografia passa a una nuova chiave del fornitore KMS. La rotazione delle chiavi, avviata dal provider KMS, significa che la crittografia passa a una nuova versione della chiave esistente. Non eliminare alcuna chiave principale nell'istanza KMS se questa viene ruotata dal provider KMS. Una chiave principale può essere eliminata solo quando non è più in uso. Ad esempio, dopo aver abilitato una nuova chiave e verificato che il cluster non utilizza più la vecchia chiave, è possibile eliminare la vecchia chiave. Se si elimina una chiave radice utilizzata da un cluster, quest'ultimo diventa inutilizzabile, perde tutti i propri dati e non può essere ripristinato. Quando si ruota una chiave root, non è possibile riutilizzare una chiave root precedente per lo stesso cluster. Allo stesso modo, se si disabilita una chiave root, le operazioni che si basano sulla lettura dei segreti non riescono. A differenza dell'eliminazione di una chiave root, tuttavia, è possibile riabilitare una chiave disabilitata per rendere nuovamente utilizzabile il cluster.