建立 AWS KMS 金鑰

總覽

GKE on AWS 使用客戶管理的 AWS Key Management Service (KMS) 對稱金鑰加密下列項目：

• etcd 中的 Kubernetes 狀態資料
• EC2 執行個體使用者資料
• EBS 磁碟區，用於控制層和節點集區資料的靜態加密

在正式環境中，建議使用不同的金鑰進行設定和磁碟區加密。如要進一步降低金鑰遭盜用的風險，您也可以為下列項目分別建立金鑰：

• 叢集控制層設定
• 叢集控制層資料庫
• 叢集控制層主要磁碟區
• 叢集控制層根磁碟區
• 節點集區設定
• 節點集區根磁碟區

為進一步提升安全性，您可以建立 AWS KMS 金鑰政策，只指派最低必要權限。詳情請參閱建立具有特定權限的 KMS 金鑰。

建立 AWS KMS 金鑰

如要建立金鑰，請執行下列指令：

aws --region AWS_REGION kms create-key \
    --description "KEY_DESC"

更改下列內容：

• 將 AWS_REGION 替換為 AWS 區域的名稱
• KEY_DESC，並附上金鑰的文字說明

針對您建立的每個金鑰，請儲存這個指令輸出內容中名為 KeyMetadata.Arn 的值，以供日後使用。

建立具備特定權限的 KMS 金鑰

如果您為不同函式建立個別金鑰，則需要為每個金鑰提供 KMS 金鑰政策，授予該金鑰的適當權限。如果您在建立金鑰時未指定金鑰政策，AWS KMS 會建立預設金鑰政策，授予擁有帳戶中的所有主體對金鑰所有作業的無限制存取權。

建立金鑰政策時，您必須允許 AWS IAM 政策存取金鑰政策。金鑰政策也必須授予帳戶使用 IAM 政策的權限。如未取得金鑰政策的授權，允許權限的 IAM 政策不會生效。詳情請參閱「AWS KMS 中的金鑰政策」。

下表說明 GKE on AWS 使用的各項 AWS IAM 角色權限。

後續步驟

• 建立 SSH 金鑰組。