Migrar para o Serviço de Gerenciamento de Chaves (KMS) v2 no Serviço de Kubernetes do Azure (AKS) (legado)

Neste artigo, você aprenderá a migrar para KMS v2 para clusters com versões anteriores à 1.27. A partir da versão 1.27 do AKS, ativar o recurso KMS configura o KMS v2. Com o KMS v2, você não está limitado aos 2.000 segredos suportados pelas versões anteriores do KMS. Para obter mais informações, consulte Melhorias KMS v2.

Desativar KMS

1. Desabilite KMS em um cluster existente usando o az aks update comando com o --disable-azure-keyvault-kms parâmetro.

   az aks update --name $CLUSTER_NAME --resource-group $RESOURCE_GROUP --disable-azure-keyvault-kms
   

2. Atualize todos os segredos usando o kubectl get secrets comando para garantir que os segredos criados anteriormente não sejam mais criptografados. Para clusters maiores, talvez você queira subdividir os segredos por namespace ou criar um script de atualização. Se o comando anterior para atualizar o KMS falhar, ainda execute o comando a seguir para evitar um estado inesperado para o plug-in KMS.

   kubectl get secrets --all-namespaces -o json | kubectl replace -f -
   

Atualizar o cluster do AKS e ativar o KMS

1. Atualize o cluster do AKS para a versão 1.27 ou posterior usando o az aks upgrade comando com o --kubernetes-version parâmetro definido para a versão desejada. O exemplo a seguir atualiza para a versão 1.27.1:

   az aks upgrade --resource-group $RESOURCE_GROUP --name $CLUSTER_NAME --kubernetes-version 1.27.1
   

2. Depois que a atualização for concluída, você poderá ativar o KMS para um cofre de chaves público ou privado usando um dos seguintes recursos:

   • Habilitar um cofre de chaves público e KMS em um cluster do AKS existente
   • Atualizar um cluster do AKS existente para ativar a criptografia KMS etcd para um cofre de chaves privado

3. Atualize todos os segredos usando o kubectl get secrets comando para garantir que os segredos criados anteriormente não sejam mais criptografados. Para clusters maiores, talvez você queira subdividir os segredos por namespace ou criar um script de atualização. Se o comando anterior para atualizar o KMS falhar, ainda execute o comando a seguir para evitar um estado inesperado para o plug-in KMS.

   kubectl get secrets --all-namespaces -o json | kubectl replace -f -
   

Próximas etapas

Para obter mais informações sobre como usar KMS com AKS, consulte os seguintes artigos:

• Atualizar o modo de cofre de chaves para um cluster do Serviço de Kubernetes do Azure (AKS) com criptografia etcd KMS
• Observabilidade para criptografia KMS etcd no AKS (Serviço de Kubernetes do Azure)