在现有集群中启用密钥加密

从以下位置打开 Amazon EKS 控制台：https://console.aws.amazon.com/eks/home#/clusters。

选择要向其添加 KMS 加密的集群。

选择 Overview（概述）选项卡（默认处于选中状态）。

向下滚动到 Secrets encryption（密钥加密）部分，然后选择 Enable（启用）按钮。

从下拉列表中选择一个密钥，然后选择 Enable（启用）按钮。如果未列出任何密钥，则必须先创建一个密钥。有关更多信息，请参阅创建密钥。

选择 Confirm（确认）按钮以使用选定的密钥。

使用以下 Amazon CLI 命令将密钥加密配置与您的集群相关联。将 example values 替换为您自己的值。

aws eks associate-encryption-config \
    --cluster-name my-cluster \
    --encryption-config '[{"resources":["secrets"],"provider":{"keyArn":"arn:aws:kms:region-code:account:key/key"}}]'

示例输出如下。

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "InProgress",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734,
    "errors": []
  }
}

您可以使用以下命令监控加密更新的状态。使用上一个输出中返回的特定 cluster name 和 update ID。当 Successful 状态显示时，更新完成。

aws eks describe-update \
    --region region-code \
    --name my-cluster \
    --update-id 3141b835-8103-423a-8e68-12c2521ffa4d

示例输出如下。

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "Successful",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734>,
    "errors": []
  }
}

要验证集群已启用加密，请运行 describe-cluster 命令。响应包含 EncryptionConfig 字符串。

aws eks describe-cluster --region region-code --name my-cluster