在现有集群上使用 KMS 加密 Kubernetes 密钥

此过程仅适用于运行 Kubernetes 版本 1.27 或更低版本的 EKS 集群。有关更多信息，请参阅 所有 Kubernetes API 数据默认启用信封加密。

打开 Amazon EKS 控制台。

选择要向其添加 KMS 加密的集群。

选择 Overview（概述）选项卡（默认处于选中状态）。

向下滚动到 Secrets encryption（密钥加密）部分，然后选择 Enable（启用）按钮。

从下拉列表中选择一个密钥，然后选择 Enable（启用）按钮。如果未列出任何密钥，则必须先创建一个密钥。有关更多信息，请参阅创建密钥。

选择 Confirm（确认）按钮以使用选定的密钥。

此过程仅适用于运行 Kubernetes 版本 1.27 或更低版本的 EKS 集群。有关更多信息，请参阅 所有 Kubernetes API 数据默认启用信封加密。

使用以下 Amazon CLI 命令将密钥加密配置与您的集群相关联。将 example values 替换为您自己的值。

aws eks associate-encryption-config \
    --cluster-name my-cluster \
    --encryption-config '[{"resources":["secrets"],"provider":{"keyArn":"arn:aws-cn:kms:region-code:account:key/key"}}]'

示例输出如下。

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "InProgress",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws-cn:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734,
    "errors": []
  }
}

您可以使用以下命令监控加密更新的状态。使用上一个输出中返回的特定 cluster name 和 update ID。当 Successful 状态显示时，更新完成。

aws eks describe-update \
    --region region-code \
    --name my-cluster \
    --update-id 3141b835-8103-423a-8e68-12c2521ffa4d

示例输出如下。

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "Successful",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws-cn:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734>,
    "errors": []
  }
}

要验证集群已启用加密，请运行 describe-cluster 命令。响应包含 EncryptionConfig 字符串。

aws eks describe-cluster --region region-code --name my-cluster