KubernetesシークレットのKMS v2への移行

Kubernetesシークレット・オブジェクトをKMSプロバイダ・バージョン2に移行する前に:

• リストア時にKubernetesシークレットを暗号化するために管理するOracle Cloud Infrastructure Vaultサービスのマスター暗号化キーがクラスタで使用されていることを確認します。EtcdでRestにKubernetesシークレットを暗号化するを参照してください。
• クラスタ・コントロール・プレーンをKubernetesバージョン1.36.1以降にアップグレードします。クラスタのコントロール・プレーン・ノードでのKubernetesバージョンのアップに関する項を参照してください。
• クラスタにアクセスするようにkubectlを構成します。クラスタ・アクセスの設定を参照してください。
• Kubernetesアイデンティティに、クラスタ・スコープのstorageversionmigrations.storagemigration.k8s.ioリソースを作成、取得、監視および削除する権限があることを確認します。通常、クラスタ管理者にはこれらの権限があります。
• Veleroなどのバックアップ・ソリューションを使用する場合は、すべてのKubernetesシークレット・オブジェクトを含む現在のバックアップを取得し、バックアップが正常に完了したことを確認します。機密データが含まれているため、組織のセキュリティ要件に従ってバックアップを保護します。
• 移行が成功するまで監視するように計画します。移行では、クラスタ内のすべてのKubernetesシークレット・オブジェクトが読取りおよびリライトされ、追加のKubernetes APIアクティビティを生成できます。クラスタを大きくすると、移行に時間がかかる場合があります。

内部Kubernetes Engine KMSプロバイダ構成は表示できません。かわりに、Kubernetesコントロール・プレーン・バージョンおよびKubernetes API検出を使用して、クラスタを移行する準備ができていることを確認します:

1. 次のように入力して、Kubernetesクライアントおよびサーバーのバージョンを確認します:

   kubectl version

   Server Versionがv1.36.1以降であることを確認します。

   サーバー・バージョンは、クラスタ・コントロール・プレーンで実行されているKubernetesバージョンです。ワーカー・ノードで実行されているKubernetesバージョンは、KMSプロバイダ・バージョン2の移行が使用可能かどうかを決定しません。

2. 次のように入力して、ストレージ・バージョン移行APIが使用可能であることを確認します:

   kubectl api-resources --api-group=storagemigration.k8s.io

   出力に、次のようなstorageversionmigrationsリソースが含まれていることを確認します。

   
   NAME                         SHORTNAMES   APIVERSION                         NAMESPACED   KIND
   storageversionmigrations                  storagemigration.k8s.io/v1beta1    false        StorageVersionMigration

3. 次のように入力して、Kubernetesアイデンティティが移行を作成、監視および削除できることを確認します:

   kubectl auth can-i create storageversionmigrations.storagemigration.k8s.io

   kubectl auth can-i get storageversionmigrations.storagemigration.k8s.io

   kubectl auth can-i watch storageversionmigrations.storagemigration.k8s.io

   kubectl auth can-i delete storageversionmigrations.storagemigration.k8s.io

   各コマンドは、yesを返す必要があります。

   コマンドでnoが返された場合は、クラスタ管理者に移行の実行を依頼するか、必要なKubernetes RBAC権限を付与してください。

次のすべてに該当する場合は、移行を開始できます。

• クラスタでは、管理するマスター暗号化キーを使用してKubernetesシークレット・オブジェクトを暗号化します。
• クラスタ・コントロール・プレーンは、Kubernetesバージョン1.36.1以降を実行しています。
• ストレージ・バージョン移行APIを使用できます。
• Kubernetesアイデンティティに必要な権限があります。

ストレージ・バージョン移行APIが使用できない場合は、別のバルク・リライト・プロシージャを使用しないでください。kubectlが目的のクラスタに接続され、コントロール・プレーンのアップグレードが完了したことを確認します。APIが使用できない場合は、Oracle Supportに連絡してください。

Kubernetesストレージ・バージョン移行APIを使用してストアド・オブジェクトを移行する方法の詳細は、Kubernetesドキュメントのストレージ・バージョン移行を使用したKubernetesオブジェクトの移行を参照してください。

KMSプロバイダ・バージョン2を使用して既存のすべてのKubernetesシークレット・オブジェクトを再暗号化するには:

1. migrate-secrets-to-kms-v2.yamlという名前のファイルを次の内容で作成します。

   apiVersion: storagemigration.k8s.io/v1beta1
   kind: StorageVersionMigration
   metadata:
     name: migrate-secrets-to-kms-v2
   spec:
     resource:
       group: ""
       resource: secrets

   空のgroup値は、KubernetesコアAPIグループを識別します。resource: secrets値は、Kubernetesシークレット・オブジェクトへの移行を制限します。

   StorageVersionMigrationリソースはクラスタ・スコープです。したがって、移行には、すべてのネームスペースにKubernetesシークレット・オブジェクトが含まれます。

2. 移行を作成します。

   kubectl create -f migrate-secrets-to-kms-v2.yaml

   リソースを作成すると、Kubernetesストレージ・バージョン・マイグレータにKubernetesシークレット・オブジェクトの読取りおよびリライトが指示されます。この操作では、シークレット値は意図的に変更されません。各オブジェクトが書き込まれると、Kubernetes APIサーバーはアクティブなKMSプロバイダ・バージョン2構成を使用してそれを暗号化します。

3. 移行を監視し、それが成功するまで待ちます。

   kubectl wait \
     --for=condition=Succeeded \
     storageversionmigration.storagemigration.k8s.io/migrate-secrets-to-kms-v2 \
     --timeout=24h

   成功したコマンドによって、次のような出力が返されます。

   storageversionmigration.storagemigration.k8s.io/migrate-secrets-to-kms-v2 condition met

   タイムアウトは、kubectlが条件を待機する時間を制御します。タイムアウトに達しても、まだ実行されている移行は取り消されません。

移行が正常に完了したことを確認するには:

1. 移行ステータスを取得します。

   kubectl get \
     storageversionmigration.storagemigration.k8s.io/migrate-secrets-to-kms-v2 \
     -o yaml

2. status.conditionsリストで、Succeeded条件の値が次のようにTrueであることを確認します。

   status:
     conditions:
     - type: Succeeded
       status: "True"
       reason: StorageVersionMigrationSucceeded

成功ステータスにより、Kubernetesがシークレット・オブジェクトを書き直したことが確認されます。管理するマスター暗号化キーを使用し、Kubernetesバージョン1.36.1以降を実行しているクラスタの場合、リライトされたオブジェクトはKMSプロバイダ・バージョン2を使用して暗号化されます。

移行が成功したことを確認した後、完了した移行リソースを削除できます。

kubectl delete \
  storageversionmigration.storagemigration.k8s.io/migrate-secrets-to-kms-v2

ローカルのmigrate-secrets-to-kms-v2.yamlファイルを削除することもできます。

StorageVersionMigrationリソースを削除しても、移行は元に戻されず、Kubernetesシークレット・オブジェクトは削除されません。