Migrar a Key Management Service (KMS) v2 en Azure Kubernetes Service (AKS) (legado)

En este artículo, aprenderá a migrar a KMS v2 para clústeres con versiones anteriores a la 1.27. A partir de la versión 1.27 de AKS, la activación de la característica KMS configura KMS v2. Con KMS v2, no está limitado a los 2000 secretos que admiten las versiones anteriores. Para obtener más información, consulte Mejoras de KMS v2.

Desactivación de KMS

1. Deshabilite KMS en un clúster existente mediante el az aks update comando con el --disable-azure-keyvault-kms parámetro .

   az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --disable-azure-keyvault-kms
   

2. Actualice todos los secretos mediante el kubectl get secrets comando para asegurarse de que los secretos creados anteriormente ya no están cifrados. Para clústeres más grandes, es posible que quiera subdividir los secretos por espacio de nombres o crear un script de actualización. Si se produce un error en el comando anterior para actualizar KMS, ejecute el siguiente comando para evitar un estado inesperado para el complemento KMS.

   kubectl get secrets --all-namespaces -o json | kubectl replace -f -
   

Actualización del clúster de AKS y activación de KMS

1. Actualice el clúster de AKS a la versión 1.27 o posterior utilizando el comando az aks upgrade con el parámetro --kubernetes-version establecido en la versión deseada. En el ejemplo siguiente se actualiza a la versión 1.27.1:

   az aks upgrade --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --kubernetes-version 1.27.1
   

2. Una vez completada la actualización, puede activar KMS para un almacén de claves público o privado mediante uno de los siguientes recursos:

   • Habilitación de un almacén de claves pública y KMS en un clúster de AKS existente
   • Actualización de un clúster de AKS existente para activar el cifrado de KMS etcd para un almacén de claves privado

3. Actualice todos los secretos mediante el kubectl get secrets comando para asegurarse de que los secretos creados anteriormente ya no están cifrados. Para clústeres más grandes, es posible que quiera subdividir los secretos por espacio de nombres o crear un script de actualización. Si se produce un error en el comando anterior para actualizar KMS, ejecute el siguiente comando para evitar un estado inesperado para el complemento KMS.

   kubectl get secrets --all-namespaces -o json | kubectl replace -f -
   

Pasos siguientes

Para obtener más información sobre el uso de KMS con AKS, consulte los siguientes artículos:

• Actualización del modo de almacén de claves para un clúster de Azure Kubernetes Service (AKS) con cifrado etcd de KMS
• Observabilidad del cifrado etcd de KMS en Azure Kubernetes Service (AKS)