暗号化の概要
仮想プライベートクラウド クラシック・インフラストラクチャー Satellite
Red Hat® OpenShift® on IBM Cloud® クラスタ内の機密情報を保護し、データの整合性を確保するとともに、鍵管理サービス（KMS）プロバイダを設定することで、データが権限のないユーザーに公開されるのを防ぎます。
Red Hat OpenShift on IBM Cloudクラスター内の複数のレイヤーで暗号化を提供します。 一部のコンポーネントの暗号化は IBM によって管理されますが、その他のコンポーネントについては、独自の KMS プロバイダー資格情報を持参して、自分で暗号化を管理するオプションがあります。
次の表は、暗号化オプションの概要を示しています。 Red Hat OpenShift on IBM Cloudクラスター。
| コンポーネント | デフォルトで暗号化? | キーサポートを持参する？ | 有効化時間 | サポートされる KMS プロバイダー | クロス・アカウント・サポート? |
|---|---|---|---|---|---|
| コントロール・プレーン | ある | いいえ | クラスターの作成中。 | IBM管理されたKey Protect | 該当なし |
| ワーカー・ノードのディスク | ある | ある | クラスターの作成中またはワーカー・プールの作成中。 | Key Protect | ある |
| クラスターのシークレット | いいえ | ある | kms enable を使用してクラスターを作成した後。 |
Key Protect | クロス・アカウントは、クラシック・クラスターと VPC クラスターでのみサポートされます。 |
| 永続ストレージ | ストレージプロバイダーによる | プロバイダーに依存 | クラスターの作成後、ストレージのセットアップ時。 | Key Protect | ストレージプロバイダーによる |
コントロール・プレーン
コントロールプレーンの暗号化は、 IBM。
- Red Hat OpenShift マスターのコンポーネントは、 IBM-管理されたキーを使用して、LUKSで暗号化されたドライブ上で起動する。
- マスターの etcd コンポーネントは、デプロイメントやシークレットなど、Kubernetes リソースの構成ファイルを保管します。
- etcd のデータは Kubernetes マスターのローカル・ディスクに保管され、IBM Cloud Object Storage にバックアップされます。
- IBM Cloud Object Storage に転送中のデータも保存されたデータも暗号化されています。
ワーカー・ノードのディスク
アタッチされたディスクは、ワーカーノードのブート、コンテナファイルシステムのホスト、ローカルにプルされたイメージの保存に使用されます。 ディスクの暗号化と数は、インフラストラクチャー・プロバイダーによって異なります。
Key Protect のシングル・テナント・インスタンスを使用する場合、ワーカー・ノードのブート・ディスクとクラスタ・シークレットの暗号化に BYOK (Bring Your Own Key) 暗号化を使用すると、一時的な制限があります。 クラスタでシングル・テナント・インスタンスを使用するには、そのサービス間認証ポリシーが、キーまたはキー・リングではなく、 Key Protect サービスまたはインスタンス・レベルにスコープされていることを確認する必要があります。 この制限は、 Key Protect シングル・テナント・インスタンスにのみ適用されます。
- VPC ワーカー・ノード
- デフォルトでは、VPCワーカーノードの1つのプライマリディスクは、 基盤となるVPCインフラストラクチャプロバイダによって 静止時に AES-256 ビット暗号化されます。 ワーカー・プール・レベルで KMS プロバイダーを有効化してワーカー・ノードの暗号化を管理することができます。 VPC ワーカー・ノードのディスクの暗号化について詳しくは、 VPC クラスターのワーカー・ノードのディスク暗号化のセットアップ を参照してください。
- クラシック・ワーカー・ノード
- 1 次ディスクには、ワーカー・ノードをブートするためのカーネル・イメージが含まれています。 このディスクは暗号化されません。 2 次ディスクには、コンテナー・ファイル・システムとローカルにプルされたイメージが含まれます。 このディスクは、ワーカー・ノードに固有でありクラスター内に Kubernetes シークレットとして保管される IBM 管理対象 LUKS 暗号鍵を使用して AES 256 ビットで暗号化されます。 ワーカー・ノードを再ロードまたは更新すると、LUKS 鍵はローテーションされます。
- Satellite ワーカー・ノード
- OS ディスクと 2 次ディスクの暗号化は、 Satellite プラットフォームの IAAS 層で管理されます。 クラスター内で使用される永続ストレージ・ボリュームの暗号化は、永続ストレージ・プラグイン・レベルおよびバッキング・ストレージ・デバイス・レベルで管理されます。 ストレージ・デバイスまたはプラグインの暗号化について詳しくは、デバイス・プロバイダーの資料またはストレージ・プラグインの資料を参照してください。
クラスター・シークレット
Kubernetes シークレットは、デフォルトで base64 でエンコードされます。 IBM® Key Protect for IBM Cloud® のような鍵管理サービス（KMS）プロバイダを有効にすることで、 Kubernetes のシークレットと、シークレットに保存された認証情報をさらに保護することができます。
Key Protect のシングル・テナント・インスタンスを使用する場合、ワーカー・ノードのブート・ディスクとクラスタ・シークレットの暗号化に BYOK (Bring Your Own Key) 暗号化を使用すると、一時的な制限があります。 クラスタでシングル・テナント・インスタンスを使用するには、そのサービス間認証ポリシーが、キーまたはキー・リングではなく、 Key Protect サービスまたはインスタンス・レベルにスコープされていることを確認する必要があります。 この制限は、 Key Protect シングル・テナント・インスタンスにのみ適用されます。
クラスタの鍵管理サービス（KMS）プロバイダを有効にすると、自分のルート鍵を持参することになります。 ルート鍵は、クラスター内のシークレットを暗号化するために使用されるデータ暗号鍵 (DEK) を暗号化するために使用されます。 ルート鍵は、お客様が制御する KMS プロバイダー・インスタンスに保管されます。 暗号化された DEK は etcd に保管され、KMS プロバイダーからのルート鍵を使用してのみ非暗号化できます。 鍵の暗号化の仕組みについて詳しくは、エンベロープ暗号化を参照してください。
クラスターのシークレットの暗号化に関する以下の注意事項を確認してください。
- クラスター・シークレットは、KMS を使用して暗号化されます。
- クラスター・シークレットは、ルート鍵のローテーション後に自動的に更新されます。
- ルート鍵を使用するクラスターは、KMS プロバイダー・インターフェースから表示できます。
- ルート鍵を無効化、有効化、または復元すると、クラスターは自動的に応じます。
- ルート鍵を無効にすると、鍵を再度有効にするまでクラスターの機能が制限されます。
- ルート鍵を削除すると、クラスターが使用不能かつ復旧不能になります。
- クラスター内で一度に有効にできる KMS プロバイダーとキーは 1 つだけです。
- KMS プロバイダーとキーを切り替えることができます。
- KMS プロバイダー暗号化は無効にはできません。
クラスタシークレット暗号化を設定するには、クラスターシークレットの暗号化の設定。
永続ストレージ
使用する永続ストレージのタイプに応じて、KMS プロバイダーを有効にすることで、ストレージ・ボリュームに書き込まれるデータを暗号化できます。 使用可能な永続ストレージと暗号化のタイプについて詳しくは、 ストレージ・オプションについて を参照してください。
次のステップ
計画プロセスを続けるには、ストレージオプション を選択します。 暗号化を始める準備ができたら、KMSインスタンスとルート・キーの作成 に進んでください。