Sicherheitsschlüssel des Clusters rotieren

Schlüsselrotation

Die Schlüsselrotation ist der Vorgang, bei dem das zugrunde liegende kryptografische Material in einem Schlüsselverschlüsselungsschlüssel (Key Encryption Key, KEK) geändert wird. Sie kann manuell ausgelöst werden, normalerweise nach einem Sicherheitsvorfall, bei dem Schlüssel möglicherweise manipuliert wurden. Bei der Schlüsselrotation wird nur das einzelne Feld im Schlüssel ersetzt, das die Rohdaten zum Verschlüsselungs-/Entschlüsselungsschlüssel enthält.

Führen Sie die folgenden Schritte aus, um die vom Kunden verwalteten Verschlüsselungsschlüssel zu rotieren:

  1. Erstellen Sie eine neue Azure Key Vault-Schlüsselversion.

  2. Nach einer Schlüsselrotation werden neue Secrets mit dem neuen Schlüssel verschlüsselt. Alte Secrets werden weiterhin mit alten Schlüsseln entschlüsselt. Der Cluster speichert Schlüsselinformationen zusammen mit der Verschlüsselung, um die Entschlüsselung nach der Schlüsselrotation zu unterstützen.

    Zwingen Sie den Cluster, alle Secrets mit dem neuen Schlüssel neu zu verschlüsseln:

    kubectl get secrets --all-namespaces -o json | \
    kubectl annotate --overwrite -f - encryption-key-rotation-time=`date +"%Y%m%d-%H%M%S"`