Ein Unternehmen erstellt einen Amazon Elastic Kubernetes Service (Amazon EKS)-Cluster für seine Workloads. Alle Secrets, die in Amazon EKS gespeichert sind, müssen im Kubernetes etcd-Schlüssel-Wert-Speicher verschlüsselt werden. Welche Lösung erfüllt diese Anforderungen?

Die korrekte Lösung besteht darin, einen neuen AWS Key Management Service (AWS KMS)-Schlüssel zu erstellen und die Amazon EKS KMS-Secrets-Verschlüsselung auf dem Amazon EKS-Cluster zu aktivieren. Diese Funktion ermöglicht es Amazon EKS, die Kubernetes etcd-Secrets mit einem vom Kunden verwalteten KMS-Schlüssel zu verschlüsseln, was die geforderte Verschlüsselung im etcd-Schlüssel-Wert-Speicher gewährleistet. Die Verwendung von AWS Secrets Manager ist zwar eine gute Praxis für die Verwaltung von Secrets, verschlüsselt aber nicht direkt die Secrets im etcd-Speicher des EKS-Clusters. Der Amazon EBS CSI-Treiber ist für die Bereitstellung von persistentem Speicher für Pods zuständig und hat keinen Einfluss auf die Verschlüsselung von etcd-Secrets. Die standardmäßige Amazon EBS-Volume-Verschlüsselung verschlüsselt zwar die zugrunde liegenden EBS-Volumes, auf denen etcd möglicherweise läuft, bietet aber keine spezifische Verschlüsselung für die Secrets innerhalb des etcd-Speichers selbst, wie es die EKS KMS-Secrets-Verschlüsselung tut.