在現有叢集上使用 KMS 加密 Kubernetes 秘密

此程序僅適用於執行 Kubernetes 版本 1.27 或更低版本的 EKS 叢集。如需詳細資訊，請參閱 針對所有 Kubernetes API 資料的預設封套加密。

開啟 Amazon EKS 主控台。

選擇您要向其新增 KMS 加密的叢集。

選擇 Overview (概觀) 索引標籤 (預設選取此項)。

向下捲動到 Secrets encryption (私密加密) 區段，然後選擇 Enable (啟用)。

從下拉式清單中選取金鑰，然後選擇 Enable (啟用) 按鈕。如果未列出任何金鑰，您必須先建立一個。如需詳細資訊，請參閱建立金鑰。

選擇 Confirm (確認) 按鈕以使用選擇的金鑰。

此程序僅適用於執行 Kubernetes 版本 1.27 或更低版本的 EKS 叢集。如需詳細資訊，請參閱 針對所有 Kubernetes API 資料的預設封套加密。

使用下列 AWS CLI 命令，將秘密加密組態與叢集建立關聯。使用自己的取代範例值。

aws eks associate-encryption-config \
    --cluster-name my-cluster \
    --encryption-config '[{"resources":["secrets"],"provider":{"keyArn":"arn:aws:kms:region-code:account:key/key"}}]'

範例輸出如下。

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "InProgress",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734,
    "errors": []
  }
}

您可以使用下列命令來監控您的加密更新的狀態。使用之前輸出傳回的特定 cluster name 和 update ID。顯示 Successful 狀態時，即表示更新已完成。

aws eks describe-update \
    --region region-code \
    --name my-cluster \
    --update-id 3141b835-8103-423a-8e68-12c2521ffa4d

範例輸出如下。

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "Successful",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734>,
    "errors": []
  }
}

若要驗證您的叢集中是否已啟用加密，請執行 describe-cluster 命令。回應包含 EncryptionConfig 字串。

aws eks describe-cluster --region region-code --name my-cluster