鍵管理サービス (KMS) プロバイダーのセットアップ

仮想プライベートクラウド クラシック・インフラストラクチャー Satellite

IBM® Key Protect for IBM Cloud® や Hyper Protect Crypto Servicesなどの鍵管理サービス (KMS) プロバイダーを有効にすることで、 Kubernetes のシークレットと、シークレットに保管されているすべての資格情報を保護できます。

新しいキーにローテーションする場合でも、KMSインスタンスのルート・キーは削除しないでください。 クラスターが使用するルート・キーを削除すると、そのクラスターは使用できなくなり、そのクラスターのデータはすべて失われ、そのクラスターはリカバリーできなくなります。 同様に、ルート・キーを無効にすると、シークレットの読み取りに依存する操作は失敗します。 ただし、ルート鍵の削除とは異なり、無効にした鍵を再度有効にして、クラスターを再び使用可能にすることができます。

クラスターで鍵管理サービス (KMS) プロバイダーを有効にするには、まず KMS インスタンスとルート鍵を作成する必要があります。

1. 使用するKMSプロバイダーのインスタンスを作成する。

   • Key Protect.
   • Hyper Protect Crypto Services.

2. KMSインスタンスにルート・キーを作成する。

   • Key Protect ルート鍵。
   • Hyper Protect Crypto Services ルート鍵。 デフォルトでは、ルート・キーは有効期限なしで作成されます。

   Key Protect: 内部セキュリティー・ポリシーに準拠するように有効期限を設定する必要がありますか? API を使用してルート・キーを作成し、expirationDate パラメーターを組み込みます。 重要: ルート・キーの有効期限が切れる前に、これらの手順を繰り返して、新しいルート・キーを使用するようにクラスターを更新します。 ルート鍵の有効期限が切れると、クラスター・シークレットを暗号化解除できなくなり、クラスターが使用できなくなります。 クラスターのバージョンに応じて、ルート・キーの有効期限が切れてからクラスターがシークレットを復号できなくなるまでに約 1 時間の時間差があります。または、マスターがリフレッシュされたときに復号できなくなります。

3. 必要なサービス許可ポリシーが IBM Cloud IAM にあることを確認します。 コンソールの サービス許可 ページにナビゲートし、 Kubernetes サービスとして指定された ソース・サービス 、KMS プロバイダーとして指定された ターゲット・サービス ( Key Protectなど)、およびクラスターが存在するアカウントとして指定された ターゲット・アカウント の許可を探します。 サービス許可が表示されない場合は、以下の手順に従って作成します。

   • Kubernetes Service および KMS プロバイダーに必要なサービス・アクセス・ポリシー
     1. KMS へのアクセスを許可するクラスターが現行アカウントに存在する場合は、 「このアカウント」 の 「ソース・アカウント」 を設定します。そうでない場合は、クラスターが別のアカウントに存在する場合は、 「その他のアカウント」 を選択し、アカウント ID を指定します。
     2. **「ソース・サービス」を「Kubernetes Service」**に設定します。
     3. **「ターゲット・サービス」**を、ご使用の KMS プロバイダー (Key Protect など) に設定します。
     4. **「リーダー」**以上のサービス・アクセス権限を含めます。
     5. ソース・サービスと依存サービスが許可を委任できるようにします。

4. IBM Cloud の ID およびアクセス管理 (IAM) で、クラスターの KMS を有効にするための適切な権限を持っていることを確認します。

   • クラスターに対する管理者の IBM Cloud IAM プラットフォーム・アクセス役割があることを確認してください。
   • クラスターが存在するリージョンおよびリソース・グループを対象に設定された API キーの API キー所有者に、KMS プロバイダーに対する適切な許可が付与されていることを確認します。
     • 例えば、インスタンスとルート鍵を作成するには、少なくとも KMS プロバイダーの編集者プラットフォーム・アクセス役割とライター・サービス・アクセス役割が必要です。
     • 既存の KMS インスタンスとルート鍵を使用する予定の場合は、少なくとも KMS プロバイダーのビューアー・プラットフォーム・アクセス役割とリーダー・サービス・アクセス役割が必要です。

5. オプション ： VPC クラスタにワーカー ノードのディスク暗号化を設定 する場合は、次の追加手順を実行します。

6. クラスターを作成し、シークレット暗号化を有効にします。