Rotar las llaves de seguridad del clúster

Rotación de claves

La rotación de claves es el proceso de cambiar el material criptográfico subyacente contenido en una clave de cifrado de claves (KEK). Se puede activar manualmente, normalmente después de un incidente de seguridad en el que las claves se hayan visto comprometidas. La rotación de claves solo sustituye el campo de la clave que contiene los datos de la clave de cifrado o descifrado sin procesar.

Para rotar las claves de cifrado gestionadas por el cliente, sigue estos pasos:

1. Crea una versión de clave de Azure Key Vault.

2. Después de rotar una clave, los nuevos secretos se cifrarán con la nueva clave. Los secretos antiguos se seguirán descifrando con las claves antiguas. El clúster almacena información clave junto con el cifrado para facilitar el descifrado después de la rotación de claves.

   Fuerza al clúster a volver a cifrar todos los secretos con la nueva clave:

   kubectl get secrets --all-namespaces -o json | \
   kubectl annotate --overwrite -f - encryption-key-rotation-time=`date +"%Y%m%d-%H%M%S"`