Cripta i dischi di avvio di etcd e del control plane

.

Questo documento mostra come criptare i dati archiviati nel piano di controllo di Google Kubernetes Engine (GKE) utilizzando chiavi gestite in Cloud Key Management Service (Cloud KMS). Dovresti già avere familiarità con concetti come etcd, l'architettura del cluster GKE e Cloud KMS.

Questa pagina descrive una parte di un insieme di funzionalità facoltative del control plane in GKE che ti consente di eseguire attività come la verifica della postura di sicurezza del control plane o la configurazione della crittografia e della firma delle credenziali nel control plane utilizzando chiavi che gestisci. Per maggiori dettagli, vedi Informazioni sull'autorità del control plane GKE.

Per impostazione predefinita, Cloud de Confiance applica varie misure di sicurezza al piano di controllo gestito. Questa pagina descrive le funzionalità facoltative che ti offrono maggiore visibilità o controllo sul control plane GKE.

Informazioni sul disco di avvio del control plane e sulla crittografia etcd

Per impostazione predefinita, GKE cripta il disco di avvio di un nodo del control plane, il disco che archivia i dati in etcd e il Cloud de Confiance by S3NS backup operativo interno di etcd utilizzando chiavi di crittografia Cloud de Confiance gestite da Google. Per informazioni dettagliate su questa crittografia predefinita, consulta Crittografia at-rest predefinita. Facoltativamente, puoi utilizzare le tue chiavi di crittografia che gestisci utilizzando Cloud KMS per criptare queste risorse. Per scoprire di più, vedi Crittografia del disco di avvio del control plane e di etcd.

Crea chiavi in Cloud KMS che GKE utilizza per criptare le risorse del piano di controllo. Tieni presente quanto segue quando crei queste risorse:

  • Puoi utilizzare un portachiavi per tutte le chiavi di un cluster, indipendentemente dallo scopo di ciascuna chiave. Se hai un portachiavi esistente che hai utilizzato per un altro scopo, ad esempio per configurare le tue autorità di certificazione, puoi utilizzare questo portachiavi per questa guida.
  • Per una latenza migliore, devi creare le chiavi nella stessa località Cloud de Confiance del cluster.
  • Per la maggior parte dei casi d'uso, puoi utilizzare il livello di protezione della chiave Cloud KMS software. Puoi anche utilizzare le chiavi hardware con Cloud HSM.
  • Devi specificare il flag --purpose con il valore encryption perché queste chiavi vengono utilizzate per la crittografia simmetrica.
  • Non devi modificare la durata predefinita per la distruzione delle chiavi.

Utilizzo con altre funzionalità di GKE control plane authority

L'autorità del control plane GKE fornisce le seguenti funzionalità relative alle chiavi autogestite che devi abilitare contemporaneamente alla creazione di un cluster:

Puoi attivare queste funzionalità solo quando crei un nuovo cluster GKE. Non puoi aggiornare i cluster esistenti per utilizzare queste funzionalità. Per utilizzare entrambe queste funzionalità nello stesso cluster, esegui tutte le procedure di configurazione di chiavi e CA in entrambe le guide, poi esegui il comando di creazione del cluster che attiva entrambi i set di funzionalità come descritto nella sezione Crea un cluster.

Prima di iniziare

Prima di iniziare, assicurati di aver eseguito le seguenti operazioni:

  • Attiva l'API Google Kubernetes Engine.
    • Attiva l'API Google Kubernetes Engine
  • Per utilizzare Google Cloud CLI per questa attività, installala e poi inizializza gcloud CLI. Se hai già installato gcloud CLI, scarica l'ultima versione eseguendo il comando gcloud components update. Le versioni precedenti di gcloud CLI potrebbero non supportare l'esecuzione dei comandi in questo documento.
  • Assicurati che il progetto della chiave abbia un keyring Cloud KMS per il tuo cluster. Puoi utilizzare qualsiasi portachiavi esistente nella posizione del cluster. Per creare un nuovo portachiavi, vedi Creare un portachiavi.

  • Abilita l'API Cloud Key Management Service, se non è già abilitata.

    Ruoli richiesti per abilitare le API

    Per abilitare le API, devi disporre dell'autorizzazione serviceusage.services.enable. Se hai creato il progetto, probabilmente disponi già di questa autorizzazione tramite il ruolo Proprietario (roles/owner). In caso contrario, puoi ottenere questa autorizzazione tramite il ruolo Amministratore utilizzo dei servizi (roles/serviceusage.serviceUsageAdmin). Scopri come concedere i ruoli.

    Abilitare l'API

Identificare i progetti

Ti consigliamo di utilizzare progetti Cloud de Confiance separati come segue:

  • Progetto chiave: contiene tutte le chiavi.
  • Progetto cluster: contiene i cluster GKE.

Puoi utilizzare facoltativamente lo stesso progetto per le chiavi e i cluster GKE, ma ti consigliamo di utilizzare progetti separati in modo che i team che gestiscono le chiavi e le operazioni crittografiche siano separati dai team che gestiscono i cluster.

Ruoli e autorizzazioni richiesti

Per ottenere le autorizzazioni necessarie per eseguire le tue chiavi di crittografia, chiedi all'amministratore di concederti i seguenti ruoli IAM:

Per saperne di più sulla concessione dei ruoli, consulta Gestisci l'accesso a progetti, cartelle e organizzazioni.

Potresti anche riuscire a ottenere le autorizzazioni richieste tramite i ruoli personalizzati o altri ruoli predefiniti.

Requisiti

La crittografia del disco del control plane con le tue chiavi presenta i seguenti requisiti:

  • Il cluster deve eseguire GKE versione 1.31.1-gke.1846000 o successiva.

  • Devi creare il cluster in una delle seguenti regioni:

    • asia-east1
    • asia-northeast1
    • asia-southeast1
    • europe-west1
    • europe-west4
    • us-central1
    • us-central2
    • us-east1
    • us-east4
    • us-east5
    • us-south1
    • us-west1
    • us-west3
    • us-west4

Limitazioni

  • Puoi configurare le chiavi di crittografia del disco di avvio e di etcd solo durante la creazione del cluster.

  • Per i cluster in modalità Standard regionali e per i cluster Autopilot, la regione in cui crei un cluster deve avere capacità per la modalità Confidential per Hyperdisk Balanced in almeno tre zone della regione.

    Per i cluster in modalità Standard a livello di zona, la zona del cluster deve avere una capacità Hyperdisk Balanced. Per assistenza in merito alla capacità, contatta l'assistenza clienti Google Cloud.

  • GKE supporta solo le chiavi di Cloud KMS. Non puoi utilizzare un altro provider KMS Kubernetes o un altro provider di crittografia.

  • Le chiavi Cloud External Key Manager (Cloud EKM) non sono supportate.

  • Non puoi accedere o interagire con i backup operativi Cloud de Confiance interni di etcd, che sono solo per il ripristino di emergenza.

  • I portachiavi multiregionali non sono supportati. Devi utilizzare un keyring regionale.

Crea chiavi

In questa sezione, crei una chiave di crittografia per i dischi di avvio e i dischi etcd nel control plane e una chiave di crittografia separata per il backup operativo interno di etcd Cloud de Confiance. Puoi utilizzare un portachiavi per tenere tutte queste chiavi e qualsiasi altra chiave per il cluster.

  1. Crea la chiave di crittografia per i dischi di avvio del control plane e i dischi etcd:

    gcloud kms keys create KCP_DISK_KEY_NAME \
    --keyring=KEYRING_NAME \
    --location=LOCATION \
    --purpose="encryption" \
    --protection-level=PROTECTION_LEVEL \
    --project=KEY_PROJECT_ID

    Sostituisci quanto segue:

    • KCP_DISK_KEY_NAME: il nome della chiave di crittografia per i dischi di avvio del control plane e i dischi etcd.
    • KEYRING_NAME: il nome delle chiavi automatizzate in cui archiviare le chiavi di crittografia per il cluster.
    • LOCATION: la Cloud de Confiance posizione delle chiavi automatizzate. Deve corrispondere alla località del cluster. Per un elenco delle regioni, filtra per "Regione" nella tabella delle località di Cloud KMS.
    • PROTECTION_LEVEL: il livello di protezione per la chiave, ad esempio software o hsm.
    • KEY_PROJECT_ID: l'ID progetto del tuo progetto chiave.

  2. Crea la chiave di crittografia del backup interno di etcd:

    gcloud kms keys create ETCD_BACKUP_KEY_NAME \
    --keyring=KEYRING_NAME \
    --location=LOCATION \
    --purpose="encryption" \
    --protection-level=PROTECTION_LEVEL \
    --project=KEY_PROJECT_ID

    Sostituisci ETCD_BACKUP_KEY_NAME con un nome per la chiave di crittografia del backup interno di etcd.

Concedi ruoli IAM al service agent GKE

In questa sezione, concedi i ruoli IAM sulle chiavi che hai creato al service agent GKE nel progetto del cluster. Il service agent GKE richiede questi ruoli per utilizzare queste chiavi per criptare le risorse del control plane corrispondenti.

  1. Trova il numero del progetto del cluster:

    gcloud projects describe CLUSTER_PROJECT_ID \
    --format='value(projectNumber)'

    Sostituisci CLUSTER_PROJECT_ID con l'ID progetto del tuo progetto cluster GKE.

    L'output è simile al seguente:

    1234567890

  2. Concedi il ruolo Cloud KMS CryptoKey Encrypter/Decrypter (roles/cloudkms.cryptoKeyEncrypterDecrypter) sulla chiave di crittografia per i dischi di avvio e i dischi etcd al service agent GKE nel progetto cluster:

    gcloud kms keys add-iam-policy-binding KCP_DISK_KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:service-CLUSTER_PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com" \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypter \
    --project=KEY_PROJECT_ID

    Sostituisci quanto segue:

    • KCP_DISK_KEY_NAME: il nome della chiave di crittografia del disco.
    • LOCATION: la posizione Cloud de Confiance della chiave.
    • KEYRING_NAME: il nome delle chiavi automatizzate che contengono la chiave di crittografia.
    • CLUSTER_PROJECT_NUMBER: il numero di progetto numerico del progetto cluster, che hai trovato nel passaggio precedente.
    • KEY_PROJECT_ID: l'ID progetto del tuo progetto chiave.

  3. Concedi il ruolo Cloud KMS CryptoKey Encrypter/Decrypter tramite delega (roles/cloudkms.cryptoKeyEncrypterDecrypterViaDelegation) sulla chiave di crittografia per i dischi di avvio e i dischi etcd al service agent GKE nel progetto cluster:

    gcloud kms keys add-iam-policy-binding KCP_DISK_KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:service-CLUSTER_PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com" \
    --role=roles/cloudkms.cryptoKeyEncrypterDecrypterViaDelegation \
    --project=KEY_PROJECT_ID

  4. Concedi il ruolo Utente chiave Cloud KMS per le chiavi di crittografia per i dischi di avvio e i dischi etcd all'agente di servizio GKE nel progetto del cluster per la rotazione della chiave:

    gcloud kms keys add-iam-policy-binding KCP_DISK_KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:service-CLUSTER_PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com" \
    --role=roles/container.cloudKmsKeyUser \
    --project=KEY_PROJECT_ID

  5. Concedi il ruolo Cloud KMS CryptoKey Encrypter (roles/cloudkms.cryptoKeyEncrypter) alla chiave di crittografia di backup interna di etcd all'agente di servizio GKE nel progetto del cluster:

    gcloud kms keys add-iam-policy-binding ETCD_BACKUP_KEY_NAME \
    --location=LOCATION \
    --keyring=KEYRING_NAME \
    --member="serviceAccount:service-CLUSTER_PROJECT_NUMBER@container-engine-robot.s3ns-system.iam.gserviceaccount.com" \
    --role=roles/cloudkms.cryptoKeyEncrypter \
    --project=KEY_PROJECT_ID

    Sostituisci ETCD_BACKUP_KEY_NAME con il nome della chiave di crittografia di backup operativo di etcd.

    La concessione del ruolo roles/cloudkms.cryptoKeyEncrypter impedisce a GKE di eseguire ripristini del database per tuo conto e aumenta notevolmente il tempo necessario per ripristinare la funzionalità quando si verifica un problema con il database. Per consentire a GKE di eseguire i ripristini per te, assegna invece il ruolo roles/cloudkms.cryptoKeyEncrypterDecrypter.

Utilizzare le chiavi di crittografia in un cluster

Questa sezione mostra come identificare i percorsi delle chiavi di crittografia.

  1. Identifica il percorso della chiave di crittografia del disco:

    gcloud kms keys describe KCP_DISK_KEY_NAME \
    --keyring=KEYRING_NAME \
    --location=LOCATION \
    --project=KEY_PROJECT_ID \
    --format="value(name)"

    Sostituisci quanto segue:

    • KCP_DISK_KEY_NAME: il nome della chiave di crittografia per i dischi di avvio del control plane e i dischi etcd.
    • KEYRING_NAME: il nome del portachiavi che contiene la chiave.
    • LOCATION: la Cloud de Confiance posizione della chiave.
    • KEY_PROJECT_ID: l'ID progetto del tuo progetto chiave.

    L'output è simile al seguente:

    projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/KEYRING_NAME/cryptoKeys/disk-encryption-key

  2. Identifica il percorso della chiave di crittografia di backup interno di etcd:

    gcloud kms keys describe ETCD_BACKUP_KEY_NAME \
    --keyring=KEYRING_NAME \
    --location=LOCATION \
    --project=KEY_PROJECT_ID \
    --format="value(name)"

    Sostituisci ETCD_BACKUP_KEY_NAME con il nome della chiave di crittografia di backup operativo di etcd.

    L'output è simile al seguente:

    projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/KEYRING_NAME/cryptoKeys/etcd-backup-encryption-key

Crea un cluster

In questa sezione, crei un cluster con diverse opzioni specificate a seconda delle funzionalità di GKE control plane authority che vuoi configurare. Puoi configurare queste funzionalità su un cluster solo durante la creazione del cluster. I seguenti comandi creano cluster in modalità Standard. Per creare cluster in modalità Autopilot, utilizza gli stessi flag con il comando gcloud container clusters create-auto.

  • Per creare un cluster che configuri la crittografia del disco ed esegua le tue CA e le chiavi di firma dell'account di servizio, segui questi passaggi:

    1. Esegui tutti i passaggi di configurazione della chiave e della CA in Esegui le tue chiavi e le tue autorità di certificazione.
    2. Trova i percorsi di ciascuna chiave del account di servizio e delle CA utilizzando le istruzioni riportate in Configura CA e chiavi su un nuovo cluster.

    3. Crea un cluster:

      gcloud container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --project=CLUSTER_PROJECT_ID \
    --control-plane-disk-encryption-key=PATH_TO_DISK_KEY \
    --gkeops-etcd-backup-encryption-key=PATH_TO_ETCD_BACKUP_KEY \
    --service-account-signing-keys=PATH_TO_SIGNING_KEY_VERSION \
    --service-account-verification-keys=PATH_TO_VERIFICATION_KEY_VERSION \
    --cluster-ca=PATH_TO_CLUSTER_CA \
    --etcd-peer-ca=PATH_TO_ETCD_PEER_CA \
    --etcd-api-ca=PATH_TO_ETCD_API_CA \
    --aggregation-ca=PATH_TO_AGGREGATION_CA

      Sostituisci quanto segue:

      • CLUSTER_NAME: il nome del nuovo cluster.
      • LOCATION: la posizione del nuovo cluster.
      • CLUSTER_PROJECT_ID: l'ID progetto del tuo progetto cluster.
      • PATH_TO_DISK_KEY: il percorso della chiave di crittografia del disco dai passaggi precedenti di questo documento.
      • PATH_TO_ETCD_BACKUP_KEY: il percorso della chiave di crittografia di backup interno di etcd dai passaggi precedenti di questo documento.
      • PATH_TO_SIGNING_KEY_VERSION: il percorso della versione della chiave di firma di ServiceAccount Kubernetes in Cloud KMS.
      • PATH_TO_VERIFICATION_KEY_VERSION: il percorso della versione della chiave di verifica di Kubernetes ServiceAccount in Cloud KMS.
      • PATH_TO_CLUSTER_CA: il percorso del pool CA del cluster.
      • PATH_TO_ETCD_PEER_CA: il percorso del pool di CA peer etcd.
      • PATH_TO_ETCD_API_CA: il percorso del pool di CA dell'API etcd.
      • PATH_TO_AGGREGATION_CA: il percorso del pool di CA di aggregazione.

  • Per creare un cluster che configuri solo la crittografia del disco utilizzando le chiavi create in questa guida, esegui questo comando:

    gcloud container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --project=CLUSTER_PROJECT_ID \
    --control-plane-disk-encryption-key=PATH_TO_DISK_KEY \
    --gkeops-etcd-backup-encryption-key=PATH_TO_ETCD_BACKUP_KEY

    Sostituisci quanto segue:

    • CLUSTER_NAME: il nome del nuovo cluster.
    • LOCATION: la posizione del nuovo cluster.
    • CLUSTER_PROJECT_ID: l'ID progetto del tuo progetto cluster.
    • PATH_TO_DISK_KEY: il percorso della chiave di crittografia del disco dei passaggi precedenti.
    • PATH_TO_ETCD_BACKUP_KEY: il percorso della chiave di crittografia di backup interno di etcd dei passaggi precedenti.

Puoi anche specificare tutti questi flag quando crei un nuovo cluster in modalità Standard.

Verifica lo stato della chiave di crittografia

Questa sezione mostra come verificare la chiave di crittografia utilizzata durante la creazione del cluster. Puoi eseguire questa verifica utilizzando Cloud Logging o Google Cloud CLI.

Utilizzare il logging per verificare le chiavi

Per verificare le chiavi utilizzando Logging:

  1. Nella Cloud de Confiance console, vai alla pagina Esplora log:

    Vai a Esplora log

  2. Recupera il log di creazione del cluster specificando la seguente query:

    resource.type="gke_cluster"
resource.labels.cluster_name="CLUSTER_NAME"
resource.labels.location="CLUSTER_LOCATION"
protoPayload.serviceName="container.googleapis.com"
protoPayload.methodName=~"google.container.v(1|1alpha1|1beta1).ClusterManager.CreateCluster"
protoPayload.request.cluster.userManagedKeysConfig:*

  3. Fai clic su Esegui query.

Nell'output, verifica che i parametri di creazione del cluster includano un percorso della chiave che corrisponda alla chiave configurata in Cloud KMS, come nell'esempio seguente:

# lines omitted for clarity
userManagedKeysConfig: {
  controlPlaneDiskEncryptionKey: "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_NAME/cryptoKeys/KCP_DISK_KEY_NAME"
  gkeopsEtcdBackupEncryptionKey: "projects/KEY_PROJECT_ID/locations/LOCATION/keyRings/KEY_RING_NAME/cryptoKeys/ETCD_BACKUP_KEY_NAME"
}

Utilizza gcloud CLI per verificare le chiavi

Per utilizzare gcloud CLI per verificare la chiave di crittografia:

  1. Per la chiave di crittografia del disco, esegui questo comando:

    gcloud container clusters describe CLUSTER_NAME \
    --location=LOCATION \
    --format="value(userManagedKeysConfig.controlPlaneDiskEncryptionKey)"

  2. Per la chiave di crittografia del backup interno di etcd, esegui questo comando:

    gcloud container clusters describe CLUSTER_NAME \
    --location=LOCATION \
    --format="value(userManagedKeysConfig.gkeopsEtcdBackupEncryptionKey)"

Ruota le chiavi di crittografia del disco di etcd e del control plane

Le chiavi di crittografia che crei non scadono. Per migliorare la tua postura di sicurezza, ruota regolarmente queste chiavi e crittografa nuovamente le risorse con nuove versioni delle chiavi. Per saperne di più, vedi Rotazione delle chiavi di crittografia del disco di avvio di etcd e del control plane.

Passaggi successivi