שימוש במפתח משלכם ממודול אבטחה פיזי

במאמר הזה מוסבר איך אפשר להשתמש במפתח מודול אבטחה לחומרה (HSM) של Azure Key Vault להצפנה במנוחה ב-GKE ב-Azure.

לפני שמתחילים

לפני שמבצעים את השלבים האלה, חשוב להכיר את ארכיטקטורת האבטחה של GKE ב-Azure.

כדי לבצע את השלבים האלה, צריך:

• HSM שנתמך ב-Azure

• ‫Azure Key Vault עם מודל ההרשאות של בקרת גישה מבוססת-תפקיד ב-Azure.

• מפתח שמוגן על ידי HSM ומיובא אל Azure Key Vault

• הנציג הראשי של השירות GKE on Azure עם הרשאות לניהול ההרשאה של Azure Key Vault ולהצפנת נתונים באמצעות המפתח שסופק.

  הדרך הכי פשוטה להקצות את ההרשאות האלה היא להקצות את Key Vault Crypto Officer וUser Access Administrator תפקידים מובנים של Azure למנהל השירות.

שימוש במפתח הצפנה משלכם

כדי להשתמש במפתח משלכם, פועלים לפי השלבים הבאים:

1. שומרים את מזהה המפתח של Azure Key Vault במשתנה סביבה.

   export KEY_VAULT_ID="$(az keyvault show --name ${KEY_VAULT_NAME} \
       --resource-group ${RESOURCE_GROUP} --query id -otsv)"
   export KEY_VAULT_KEY_ID="${KEY_VAULT_ID}/keys/${KEY_NAME}"
   

2. מעבירים את מזהי המפתח בפרמטר --config-encryption-key-id כשיוצרים אשכול.

   gcloud container azure clusters create CLUSTER_NAME \
       --config-encryption-key-id  ${KEY_VAULT_KEY_ID} \
       ...
   

3. ממשיכים לשלבים במאמר יצירת אשכול.

המאמרים הבאים

מידע נוסף זמין במאמר בנושא מפתחות במסמכי התיעוד של Azure.