VPC クラスターのワーカー・ノードのディスク暗号化のセットアップ

仮想プライベートクラウド

デフォルトでは、VPCワーカーノードのプライマリディスク1台は、 基盤となるVPCインフラストラクチャプロバイダー によって、保存時に AES-256 ビットで暗号化されています。

Key Protect のシングル・テナント・インスタンスで、ブート・ディスクとクラスタの暗号化に BYOK (Bring Your Own Key) 暗号化を使用する場合、一時的な制限があります。 クラスタでシングル・テナント・インスタンスを使用するには、そのサービス間認証ポリシーが、キーまたはキー・リングではなく、 Key Protect サービスまたはインスタンス・レベルにスコープされていることを確認する必要があります。 この制限は、 Key Protect シングル・テナント・インスタンスにのみ適用されます。

ワーカー・プール・レベルで KMS プロバイダーを有効化してワーカー・ノードの暗号化を管理することができます。

1. KMS インスタンスとルート鍵を作成します。

2. KMS インスタンスが存在するアカウントで作成された以下のサービス許可ポリシーが IBM Cloud IAM にあることを確認します。詳細は以下のとおりです。

   • Kubernetes Service および KMS プロバイダーに必要なサービス・アクセス・ポリシー
     1. KMS へのアクセスを許可するクラスターが現在のアカウントにある場合は、 「このアカウント」 の 「ソース・アカウント」 を設定します。別のアカウントにあるクラスターの場合は、 「その他のアカウント」 を選択して、アカウント ID を指定します。
     2. **「ソース・サービス」を「Kubernetes Service」**に設定します。
     3. **「ターゲット・サービス」**を、ご使用の KMS プロバイダー (Key Protect など) に設定します。
     4. **「リーダー」**以上のサービス・アクセス権限を含めます。
     5. ソース・サービスと依存サービスが許可を委任できるようにします。
   • Cloud Block Storage およびKMSプロバイダーに必要なサービスアクセスポリシー
     1. KMS へのアクセスを許可するクラスターが現在のアカウントにある場合は、 「このアカウント」 の 「ソース・アカウント」 を設定します。別のアカウントにあるクラスターの場合は、 「その他のアカウント」 を選択して、アカウント ID を指定します。
     2. **「ソース・サービス」を「Cloud Block Storage」**に設定します。
     3. **「ターゲット・サービス」**を、ご使用の KMS プロバイダー (Key Protect など) に設定します。
     4. **「リーダー」**以上のサービス・アクセス権限を含めます。

   Red Hat OpenShift on IBM Cloud KMS インスタンスと CRK が存在するアカウント下の KMS プロバイダインスタンスに、 IBM-管理サービスアカウント内の Cloud Block Storage サービスのサービス間委任ポリシーを自動的に作成します。 この委任ポリシーは、VPC インフラストラクチャが、 IBM が管理するアカウント内のワーカーノードのブートボリュームを、お客様お客様 KMS プロバイダーのルートキーを使用して暗号化できるようにするために必要です。 ワーカーノードのデプロイに問題がある場合は、この委任された権限ポリシーが IAM 権限化/ デプロイに存在することを確認してください

3. オプション ：KMSインスタンスでコンテキストベースの制限を有効にしている場合は、以下の手順を実行します。

   1. Block Storage for VPC を含むネットワークゾーンを作成する。

       ibmcloud cbr zone-create --name example-zone-1 --description "Block Storage" --service-ref service_name=server-protect
       ```
   1. 前の手順で作成したネットワーク・ゾーンを参照する新しいCBRルールを作成するか、既存のCBRルールを更新する。 詳細については、 [CLIを使用してルールを作成するを](/docs/iam?topic=iam-context-restrictions-create&interface=cli#context-restrictions-create-rules-cli) 参照してください。
   
   
   

4. KMS インスタンスが存在するアカウント、KMS プロバイダー・インスタンス、およびルート・キーを含むクラスターまたはワーカー・プールを作成します。 これによって、ワーカー・プール内の各ワーカー・ノードが、お客様管理の KMS プロバイダーで暗号化されるようになります。 クラスターのすべてのワーカー・プールで同じ KMS インスタンスとルート鍵を使用することも、KMS インスタンスは同じにしてルート鍵は別々にすることも、インスタンスを別々にすることもできます。

   • クラスターを作成する: default ワーカー・プールのノードのみが暗号化されます。 クラスターを作成した後にワーカー・プールを追加する場合は、追加するプールごとに個別に暗号化を有効にする必要があります。 詳しくは、クラスターの作成または CLI リファレンス資料を参照してください。

   • ワーカー・プールを作成する: 詳しくは、VPC ワーカー・プールの作成または CLI リファレンス資料を参照してください。

5. ワーカー・プールの詳細を確認して、ワーカー・プールが暗号化されていることを確認します。

   • UI ： コンソールからクラスターを選択したら、「 ワーカープール 」をクリックします。 次に、ワーカー・プールをクリックします。
   • CLI: 以下のコマンドの出力に表示される KMS フィールドと CRK フィールドを確認します。 KMS フィールドと CRK フィールドは、BYOK 暗号化が有効になっている場合にのみ表示されることに注意してください。

       ibmcloud oc worker-pool get --worker-pool WORKER_POOL_NAME_OR_ID --cluster CLUSTER_NAME_OR_ID
       ```
   

6. オプション: お客様の会社のセキュリティー遵守ガイドラインに従って、定期的にルート鍵をローテーションします。 詳しくは、VPC 資料の暗号化の管理に関するピックを参照してください。

   KMS インスタンスは削除しないでください。 ワーカー・プールの暗号化に使用される KMS インスタンスは変更できません。 ルート・キーを無効化または削除すると、ルート・キーを復元してワーカー・ノードをリブートするまで、ワーカー・ノードは critical 状態になります。

これで、ワーカー・プールのワーカー・ノードのディスクの暗号化が、お客様の KMS プロバイダーのルート鍵で管理されるようになりました。 クラスターを作成した場合は、このワーカー・プールとは default ワーカー・プールのことです。