云上数据安全实践:一键加密K8s集群Secrets,防止高危机密信息泄露-阿里云开发者社区

开发者社区> 阿里云安全> 正文

云上数据安全实践:一键加密K8s集群Secrets,防止高危机密信息泄露

简介: 在Kubernetes集群中,我们通常使用Secrets模型存储和管理业务应用涉及的敏感信息,比如应用密码、TLS证书、Docker镜像下载凭据等敏感信息。Kubernetes会将所有的这些Secrets对象数据存储在集群对应的etcd中。阿里云容器服务Kubernetes版(简称ACK)通过用户指定的KMS主密钥,对K8s集群Secrets进行落盘加密,用户只需要一键配置就可以实现对K8s集群的纵深安全保护。

为什么要加密K8s Secrets?

Kubernetes在强大的运维编排管理能力之下,依赖了大量的跨产品、跨服务、跨模块调用所必须使用的关键、高危机密信息,例如密码、证书、凭据、访问密钥等。K8s使用Secrets模型存储和管理集群系统和集群中业务应用的敏感信息,并且通过内部的Etcd集群进行保存,同时在Etcd集群的副本中进行分布式复制存储。

为了方便您理解K8s集群管理了什么量级的Secrets,笔者部署了一个没有任何业务负载的Kubernetes集群,默认情况下,有约50个Secret项。
Screen Shot 2020-10-20 at 15.38.52.png

这其中任何一个Secret的泄露,都可能带来对Kubernetes集群,对业务系统,甚至是对企业的运行产生不可估量的损失。

因此您在享受K8s为您带来的便利时,也需要承担一定的管理责任,对K8s集群中托管的大量凭据进行必要的保护,防止来自各方面的安全威胁。

怎么做?

幸运的是,阿里云容器服务Kubernetes版(简称ACK)为您实现了大部分的加密解密的集成工作,您只需要一键配置,从而获得云原生的Secrets保护能力

在新建的ACK Pro集群中开启Secret落盘加密

  1. 登录容器服务管理控制台。
  2. 在控制台左侧导航栏中,单击集群
  3. 单击页面右上角的创建集群,在弹出的选择集群模板页面,选择Pro版集群,并单击创建
  4. ACK托管版页签找到Secret落盘加密,选中选择KMS密钥,在下拉框中选择KMS密钥ID。创建ACK Pro集群的其他配置请参见创建Kubernetes Pro版集群
    image.png

在已创建的ACK Pro集群中开启Secret落盘加密

  1. 登录容器服务管理控制台。
  2. 在控制台左侧导航栏中,单击集群
  3. 集群列表页面单击目标Pro集群名称。
  4. 在集群详情页面单击基本信息页签,在基本信息区域中打开Secret落盘加密开关。

当集群状态由更新中变为运行中时,说明该集群Secret落盘加密的特性已变更完成。

背后的机制

Kubernetes的加密过程基于Kubernetes提供的KMS Encryption Provider机制,使用信封加密的方式对存储在etcd中的Kubernetes Secret密钥进行自动加密和解密,信封加密的详细介绍请参见什么是信封加密?以下介绍Kubernetes Secret密钥进行加密和解密的过程:

  • 当一个业务密钥需要通过Kubernetes Secret API存储时,数据会首先被API Server生成的一个随机的数据加密密钥加密,然后该数据密钥会被指定的阿里云KMS密钥加密为一个密文密钥存储在etcd中。
  • 解密Kubernetes Secret密钥时,系统会首先调用阿里云KMS服务的解密OpenAPI进行密文密钥的解密,然后使用解密后的明文密钥对Secret数据解密并最终返回给用户。

您通过授权容器服务账号使用AliyunCSManagedSecurityRole系统角色的权限,来允许容器集群调用您的KMS服务内指定的CMK(用户主密钥)完成Secret的加密保护,因此您具备对K8s Secret数据的完全控制权和加解密动作的审计能力。

如果您登录操作审计控制台,在左侧导航栏单击历史事件查询,在历史事件查询页面有使用aliyuncsmanagedsecurityrole系统角色的加密和解密事件日志,则说明该集群后台已成功开启Secret落盘加密特性。您可以在操作审计服务中查看到对KMS的所有调用记录。
image.png

参考资料

ACK配置Secret加密的帮助文档
KMS创建密钥帮助文档
云产品和KMS集成加密数据的机制
一键加密更多云产品中的数据

版权声明:本文内容由阿里云实名注册用户自发贡献,版权归原作者所有,阿里云开发者社区不拥有其著作权,亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容,填写侵权投诉表单进行举报,一经查实,本社区将立刻删除涉嫌侵权内容。

分享:

让上云更放心,让云上更安全。

官方博客
官网链接