Plano de controle

A criptografia do plano de controle é gerenciada por IBM.

• Os componentes do Red Hat OpenShift master são inicializados em uma unidade criptografada por LUKS usando uma chave gerenciada pelo IBM.
• O componente etcd do principal armazena os arquivos de configuração dos recursos do Kubernetes, tais como implementações e segredos.
• Os dados em etcd são armazenados no disco local do principal do Kubernetes e são submetidos a backup no IBM Cloud Object Storage.
• Os dados são criptografados durante o trânsito para o IBM Cloud Object Storage e em repouso.

Discos do nó do trabalhador:

Os discos anexados são usados para inicializar o nó de trabalho, hospedar o sistema de arquivos do contêiner e armazenar imagens extraídas localmente. A criptografia e o número de discos variam por provedor de infraestrutura.

Há uma limitação temporária ao usar uma instância de locatário único do Key Protect para a criptografia BYOK (bring your own key) para o disco de inicialização do nó de trabalho e a criptografia secreta do cluster. Para usar uma instância de locatário único com seu cluster, você deve garantir que a política de autorização de serviço para serviço tenha o escopo do serviço Key Protect ou do nível de instância e não de uma chave ou de um anel de chaves. Essa limitação se aplica somente às instâncias de locatário único do Key Protect.

Nós do trabalhador de VPC

Por padrão, o único disco primário dos nós de trabalho da VPC é AES-256 bit criptografado em repouso pelo provedor de infraestrutura da VPC subjacente. É possível gerenciar a criptografia dos nós do trabalhador ativando um provedor de KMS no nível do conjunto de trabalhadores. Para obter mais informações, sobre os discos do nó do trabalhador do VPC de criptografia, consulte Configurando a criptografia do disco do nó do trabalhador para clusters do VPC

Nós do trabalhador clássicos

O disco primário tem as imagens do kernel para inicializar seu nó do trabalhador. O disco não está criptografado. O disco secundário tem o sistema de arquivos de contêiner e imagens extraídas localmente. Esse disco é criptografado por AES de 256 bits com uma chave de criptografia LUKS gerenciada pela IBM exclusiva para o nó do trabalhador e armazenada como um segredo de Kubernetes no cluster. Ao recarregar ou atualizar os nós do trabalhador, as chaves LUKS serão giradas.

Nós do trabalhador do Satellite

A criptografia do disco do S.O. e do disco secundário é gerenciadas na camada IAAS da plataforma na qual o Satellite é implementado A criptografia de volumes de armazenamento persistente utilizados dentro do cluster é gerenciada no nível do plug-in de armazenamento persistente e no nível do dispositivo de armazenamento auxiliar Para obter mais informações sobre criptografia para dispositivos de armazenamento ou plug-ins, consulte a documentação do provedor de dispositivo ou a documentação do plug-in de armazenamento.

Segredos do cluster.

Kubernetes segredos são base64 codificados por padrão. Você pode proteger ainda mais os segredos do Kubernetes e todas as credenciais armazenadas nos segredos ativando um provedor de serviço de gerenciamento de chaves (KMS), como o IBM® Key Protect for IBM Cloud®.

Há uma limitação temporária ao usar uma instância de locatário único do Key Protect para a criptografia BYOK (bring your own key) para o disco de inicialização do nó de trabalho e a criptografia secreta do cluster. Para usar uma instância de locatário único com seu cluster, você deve garantir que a política de autorização de serviço para serviço tenha o escopo do serviço Key Protect ou do nível de instância e não de uma chave ou de um anel de chaves. Essa limitação se aplica somente às instâncias de locatário único do Key Protect.

Quando você ativa um provedor de serviço de gerenciamento de chaves (KMS) para seu cluster, você traz sua própria chave raiz. A chave raiz é usada para criptografar as chaves de criptografia de dados (DEKs) que são usadas para criptografar os segredos no cluster. A chave raiz é armazenada na instância do provedor KMS que você controla. As DEKs criptografadas são armazenadas em etcd e só podem ser decriptografadas usando a chave raiz do provedor KMS. Para obter mais informações sobre como a criptografia de chaves funciona, consulte Criptografia de envelope.

Revise as notas a seguir sobre a criptografia de segredo do cluster

• Os segredos de cluster são criptografados usando o seu KMS
• Os segredos de cluster são atualizados automaticamente após as chaves raiz serem giradas.
• Clusters que usam a chave raiz são visualizáveis a partir da interface do provedor KMS.
• Os clusters responderão automaticamente se você desativar, ativar ou restaurar as chaves raiz.
• A desativação de uma chave raiz restringe a funcionalidade do cluster até que você ative novamente a chave.
• A exclusão de uma chave raiz torna o cluster inutilizável e irrecuperável.
• Você pode ter apenas um provedor KMS e uma chave habilitados no cluster por vez.
• Você pode mudar o provedor e a chave KMS.
• Não é possível desativar a criptografia do provedor KMS.

Para configurar a criptografia secreta do cluster, consulte Configurando a criptografia secreta do cluster.

Armazenamento persistente

Dependendo do tipo de armazenamento persistente usado, é possível criptografar os dados gravados nos volumes de armazenamento ativando um provedor KMS. Para obter mais informações sobre os tipos de armazenamento persistente e criptografia disponíveis, consulte Entendendo suas opções de armazenamento..

Próximas etapas

Para continuar o processo de planejamento, escolha uma opção de armazenamento. Se você estiver pronto para começar a usar a criptografia, vá para criação de uma instância KMS e de uma chave raiz.