Ruotare le chiavi di sicurezza del cluster

Rotazione chiavi

La rotazione della chiave è l'azione di modificare il materiale crittografico sottostante contenuto in una chiave di crittografia della chiave (KEK). Può essere attivata manualmente, di solito dopo un incidente di sicurezza in cui le chiavi potrebbero essere state compromesse. La rotazione della chiave sostituisce solo il singolo campo della chiave che contiene i dati della chiave di crittografia/decrittografia non elaborati.

Per ruotare le chiavi di crittografia gestite dal cliente, segui questi passaggi:

1. Crea una nuova versione della chiave di Azure Key Vault.

2. Dopo la rotazione di una chiave, i nuovi secret verranno criptati utilizzando la nuova chiave. I secret precedenti verranno comunque decriptati utilizzando le chiavi precedenti. Il cluster memorizza le informazioni chiave insieme alla crittografia per facilitare la decrittografia dopo la rotazione della chiave.

   Forza il cluster a criptare nuovamente tutti i secret utilizzando la nuova chiave:

   kubectl get secrets --all-namespaces -o json | \
   kubectl annotate --overwrite -f - encryption-key-rotation-time=`date +"%Y%m%d-%H%M%S"`