איך מבצעים רוטציה של מפתחות האבטחה של האשכול

רוטציית מפתחות

רוטציית מפתחות היא פעולה של שינוי החומר הקריפטוגרפי הבסיסי שכלול במפתח להצפנת מפתחות הצפנה (KEK). אפשר להפעיל אותו באופן ידני, בדרך כלל אחרי אירוע אבטחה שבו יכול להיות שהמפתחות נפרצו. רוטציה של מפתחות מחליפה רק את השדה היחיד במפתח שמכיל את נתוני המפתח הגולמיים להצפנה/לפענוח.

כדי לבצע רוטציה של מפתחות הצפנה בניהול הלקוח, פועלים לפי השלבים הבאים:

1. יצירת גרסה חדשה של מפתח ב-Azure Key Vault.

2. אחרי רוטציית מפתחות, סודות חדשים יוצפנו באמצעות המפתח החדש. הסודות הישנים עדיין יפוענחו באמצעות המפתחות הישנים. האשכול מאחסן מידע על המפתח יחד עם הצופן כדי לסייע בפענוח אחרי רוטציית המפתחות.

   מכריחים את האשכול להצפין מחדש את כל הסודות באמצעות המפתח החדש:

   kubectl get secrets --all-namespaces -o json | \
   kubectl annotate --overwrite -f - encryption-key-rotation-time=`date +"%Y%m%d-%H%M%S"`