기존 클러스터에서 AWS KMS를 사용하여 Kubernetes 비밀 암호화

https://console.aws.amazon.com/eks/home#/clusters에서 Amazon EKS 콘솔을 엽니다.

KMS 암호화를 추가하려는 클러스터를 선택합니다.

개요(Overview) 탭을 선택합니다(기본적으로 선택되어 있습니다).

아래로 스크롤하여 암호 암호화(Secrets encryption) 단원으로 이동하고 활성화(Enable)를 선택합니다.

드롭다운 목록에서 키를 선택하고 활성화(Enable) 버튼을 선택합니다. 나열된 키가 없으면 먼저 키를 생성해야 합니다. 자세한 내용은 키 생성을 참조하세요.

확인(Confirm) 버튼을 선택하고 선택한 키를 사용합니다.

다음 AWS CLI 명령을 사용하여 비밀 암호화(secrets encryption) 구성을 클러스터와 연결합니다. example values을 사용자의 값으로 교체합니다.

aws eks associate-encryption-config \
    --cluster-name my-cluster \
    --encryption-config '[{"resources":["secrets"],"provider":{"keyArn":"arn:aws:kms:region-code:account:key/key"}}]'

예제 출력은 다음과 같습니다.

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "InProgress",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734,
    "errors": []
  }
}

다음 명령을 사용하여 암호화 업데이트의 상태를 모니터링할 수 있습니다. 이전 출력에서 반환된 특정 cluster name 및 update ID를 사용합니다. Successful 상태가 표시되면 업데이트가 완료됩니다.

aws eks describe-update \
    --region region-code \
    --name my-cluster \
    --update-id 3141b835-8103-423a-8e68-12c2521ffa4d

예제 출력은 다음과 같습니다.

{
  "update": {
    "id": "3141b835-8103-423a-8e68-12c2521ffa4d",
    "status": "Successful",
    "type": "AssociateEncryptionConfig",
    "params": [
      {
        "type": "EncryptionConfig",
        "value": "[{\"resources\":[\"secrets\"],\"provider\":{\"keyArn\":\"arn:aws:kms:region-code:account:key/key\"}}]"
      }
    ],
    "createdAt": 1613754188.734>,
    "errors": []
  }
}

클러스터에서 암호화가 활성화되었는지 확인하려면 describe-cluster 명령를 실행합니다. 응답에는 EncryptionConfig 문자열이 포함됩니다.

aws eks describe-cluster --region region-code --name my-cluster