Migrowanie do usługi zarządzania kluczami (KMS) w wersji 2 w usłudze Azure Kubernetes Service (AKS) (starsza wersja)

Z tego artykułu dowiesz się, jak przeprowadzić migrację do usługi KMS w wersji 2 dla klastrów z wersjami starszymi niż 1.27. Począwszy od usługi AKS w wersji 1.27, włączenie funkcji usługi KMS powoduje skonfigurowanie usługi KMS w wersji 2. Usługa KMS w wersji 2 nie jest ograniczona do 2000 tajemnic, które są obsługiwane przez wcześniejsze wersje. Aby uzyskać więcej informacji, zobacz Ulepszenia usługi KMS w wersji 2.

Wyłączanie usługi KMS

1. Wyłącz usługę KMS w istniejącym klastrze, używając polecenia az aks update z parametrem --disable-azure-keyvault-kms.

   az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --disable-azure-keyvault-kms
   

2. Zaktualizuj wszystkie wpisy tajne przy użyciu kubectl get secrets polecenia , aby upewnić się, że utworzone wcześniej wpisy tajne nie są już szyfrowane. W przypadku większych klastrów warto rozdzielić wpisy tajne według przestrzeni nazw lub utworzyć skrypt aktualizacji. Jeśli poprzednie polecenie aktualizacji usługi KMS zakończy się niepowodzeniem, nadal uruchom następujące polecenie, aby uniknąć nieoczekiwanego stanu wtyczki usługi KMS.

   kubectl get secrets --all-namespaces -o json | kubectl replace -f -
   

Zaktualizuj klaster AKS i włącz KMS

1. Uaktualnij klaster usługi AKS do wersji 1.27 lub nowszej za pomocą polecenia az aks upgrade z parametrem --kubernetes-version ustawionym na żądaną wersję. Poniższy przykład aktualizuje do wersji 1.27.1:

   az aks upgrade --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --kubernetes-version 1.27.1
   

2. Po zakończeniu aktualizacji można włączyć usługę KMS dla publicznego lub prywatnego magazynu kluczy przy użyciu jednego z następujących zasobów:

   • Włącz Azure Key Vault i usługę KMS w istniejącym klastrze AKS
   • Zaktualizuj istniejący klaster AKS, aby włączyć szyfrowanie etcd przy użyciu KMS dla prywatnego magazynu kluczy

3. Zaktualizuj wszystkie wpisy tajne przy użyciu kubectl get secrets polecenia , aby upewnić się, że utworzone wcześniej wpisy tajne nie są już szyfrowane. W przypadku większych klastrów warto rozdzielić wpisy tajne według przestrzeni nazw lub utworzyć skrypt aktualizacji. Jeśli poprzednie polecenie aktualizacji usługi KMS zakończy się niepowodzeniem, nadal uruchom następujące polecenie, aby uniknąć nieoczekiwanego stanu wtyczki usługi KMS.

   kubectl get secrets --all-namespaces -o json | kubectl replace -f -
   

Dalsze kroki

Aby uzyskać więcej informacji na temat korzystania z usługi KMS z usługą AKS, zobacz następujące artykuły:

• Zaktualizuj tryb Key Vault dla klastra usługi Azure Kubernetes Service (AKS) z szyfrowaniem KMS etcd
• Obserwowalność szyfrowania KMS etcd w usłudze Azure Kubernetes Service (AKS)