Migración a Key Management Service (KMS) con claves administradas por la plataforma de cifrado de infraestructura o administradas por el cliente en Azure Kubernetes Service (AKS) (versión preliminar)

Importante

Este artículo se aplica a los clústeres que ejecutan la versión 1.33 o posterior de Kubernetes que necesitan migrar de KMS v2 a la nueva experiencia de cifrado de KMS. Esta experiencia ofrece claves administradas por la plataforma (PMK), claves administradas por el cliente (CMK) con rotación automática de claves y una experiencia de configuración simplificada.

No se admite la migración de KMS v1 a claves administradas por la plataforma o administradas por el cliente. Actualice primero a KMS v2.

La integración de red virtual del apiserver de AKS es necesaria para KMS v2 con Azure Key Vault privado, mientras que no es necesaria para CMK.

Cualquier directiva para bloquear la actualización de secretos debe deshabilitarse primero porque el proceso de migración actualizará los secretos.

En este artículo, aprenderá a migrar desde KMS v2 para clústeres con la versión 1.33 o posterior. La nueva experiencia de KMS proporciona características mejoradas de rendimiento y seguridad, incluida la opción de usar claves administradas por la plataforma que eliminan la necesidad de administrar su propia instancia de Azure Key Vault.

Prerrequisitos

Antes de iniciar la migración, asegúrese de que tiene:

  • Un clúster de AKS que ejecuta Kubernetes versión 1.33.0 o posterior. Para actualizar AKS.
  • Cli de Azure versión 2.73.0 o posterior. Para instalar la CLI de Azure, vaya a Instalación de la CLI de Azure.
  • La aks-previewextensión az versión 19.0.0b13 o posterior.
  • Para migraciones de CMK: identidad administrada asignada por el usuario con los permisos "Key Vault Crypto User" ("Usuario criptográfico de Key Vault") y "Key Vault Reader" ("Lector de Key Vault").

Escenarios de migración

La nueva experiencia de KMS admite dos opciones de gestión de claves:

  • Clave administrada por la plataforma (PMK): Azure administra automáticamente la clave de cifrado. No se requiere ninguna configuración de Key Vault.
  • Clave administrada por el cliente (CMK): proporciona su propio almacén de claves con acceso a la red pública o privada.

Migración desde KMS v2 con Key Vault público o privado a PMK

Esta ruta de migración es ideal si desea simplificar la configuración de cifrado al permitir que AKS administre las claves de cifrado. Después de la migración, el sistema de gestión de claves (KMS) no utiliza el almacén de claves ni la clave administrados por el cliente.

Habilite PMK en el clúster de KMS v2 existente mediante el az aks update comando .

az aks update \
    --name $CLUSTER_NAME \
    --resource-group $RESOURCE_GROUP \
    --kms-infrastructure-encryption "Enabled" \
    --disable-azure-keyvault-kms

Migración de KMS v2 con Key Vault público a CMK

Esta ruta de migración le permite seguir usando el almacén de claves existente mientras obtiene las ventajas de la nueva experiencia de KMS, incluida la compatibilidad con la rotación automática de claves.

  1. Asegúrese de que Key Vault tiene la siguiente configuración:

    • Acceso a la red pública habilitado.
    • La identidad administrada asignada por el usuario tiene roles "Usuario criptográfico de Key Vault" y "Lector de Key Vault".

  2. Habilite CMK en el clúster de KMS v2 existente mediante el az aks update comando .

    az aks update \
    --name $CLUSTER_NAME \
    --resource-group $RESOURCE_GROUP \
    --kms-infrastructure-encryption "Enabled"

Migración de KMS v2 con Key Vault privado a CMK

  1. Asegúrese de que Key Vault tiene la siguiente configuración:

    • Acceso a la red privada habilitado.
    • Permitir que los servicios de Microsoft de confianza omitan este firewall habilitado.
    • La identidad administrada asignada por el usuario tiene roles "Usuario criptográfico de Key Vault" y "Lector de Key Vault".

  2. Habilite CMK en el clúster de KMS v2 existente mediante el az aks update comando para la compatibilidad con Key Vault privado.

    az aks update \
    --name $CLUSTER_NAME \
    --resource-group $RESOURCE_GROUP \
    --kms-infrastructure-encryption "Enabled"

Consideraciones importantes

  • Sin degradación: una vez habilitado el nuevo cifrado de KMS, no se puede deshabilitar ni cambiar a KMS v2.
  • Versión mínima: la nueva experiencia de KMS requiere kubernetes versión 1.33.0 o posterior.

Pasos siguientes

Para obtener más información sobre el uso de KMS con AKS, consulte los siguientes artículos:

  • Última actualización el