Ruotare le chiavi di sicurezza del cluster

Rotazione chiavi

La rotazione delle chiavi è l'atto di modificare il materiale crittografico sottostante contenuto in una chiave di crittografia della chiave (KEK). Può essere attivata manualmente, in genere dopo un incidente di sicurezza in cui le chiavi potrebbero essere state compromesse. La rotazione delle chiavi sostituisce solo il singolo campo della chiave che contiene i dati della chiave di crittografia/decrittografia non elaborati.

Per ruotare le chiavi di crittografia gestite dal cliente:

1. Crea una nuova versione della chiave di Azure Key Vault.

2. Dopo la rotazione della chiave, i nuovi secret verranno criptati utilizzando la nuova chiave. I secret precedenti verranno comunque decriptati utilizzando le chiavi precedenti. Il cluster archivia le informazioni sulle chiavi insieme alla crittografia per facilitare la decrittografia dopo rotazione della chiave.

   Forza il cluster a criptare di nuovo tutti i secret utilizzando la nuova chiave:

   kubectl get secrets --all-namespaces -o json | \
   kubectl annotate --overwrite -f - encryption-key-rotation-time=`date +"%Y%m%d-%H%M%S"`