Chap6. Generating the Data Encryption Config and Key(データ暗号化の設定とキーの生成)

このチャプターでは、etcdの暗号化のために使用する設定ファイルと暗号化キーを利用します。
(作成したconfigファイルはChap8.でAPI Serverの設定時に利用されます。)

暗号化キーの作成

最初にetcdの暗号化のベースとなる暗号化キーを作成します。
ざっくり説明するとランダムな文字列 (32byte) を生成して、それをbase64でエンコードしたものを暗号化キーとして利用します。

~/w/k/h/04 ❯❯❯ ENCRYPTION_KEY=$(head -c 32 /dev/urandom | base64)
~/w/k/h/04 ❯❯❯ echo $ENCRYPTION_KEY
AOSngvXL8pGASyTzG0AqvNzPL6IYk3Spg+Jlhd+pI0Q=

最初のheadコマンドで指定している/dev/urandomはランダムな文字列を出力する擬似デバイスファイルの一種です。
同じようにランダムな文字列を出力するデバイスファイルとしてdev/randomも存在します。

oplern.hatenablog.com

暗号化設定ファイルの作成

次に、暗号化設定ファイルであるEncryptionConfigを作成します。
resources.providersの部分では暗号化アルゴリズムの一つであるAES-CBCを指定しています。

KubernetesのDocumentの中でも、暗号強度の観点からAES-CBC (aescbc)の利用が推奨となっています。

The recommended choice for encryption at rest but may be slightly slower than secretbox

kubernetes.io

~/w/k/h/04 ❯❯❯ cat > encryption-config.yaml <<EOF
kind: EncryptionConfig
apiVersion: v1
resources:
  - resources:
      - secrets
    providers:
      - aescbc:
          keys:
            - name: key1
              secret: ${ENCRYPTION_KEY}
      - identity: {}
EOF

EncryptionConfigを作成したら、各Control Planeに配布していきます。

~/w/k/h/04 ❯❯❯ for instance in controller-0 controller-1 controller-2; do
  gcloud compute scp encryption-config.yaml ${instance}:~/
done
Enter passphrase for key '/Users/.../.ssh/google_compute_engine':
encryption-config.yaml                                                                                                                                 100%  240     0.7KB/s   00:00
Enter passphrase for key '/Users/.../.ssh/google_compute_engine':
encryption-config.yaml                                                                                                                                 100%  240     2.4KB/s   00:00
Enter passphrase for key '/Users/.../.ssh/google_compute_engine':
encryption-config.yaml