Azure Kubernetes Service (AKS) のホストベースの暗号化

[アーティクル]
08/02/2024

ホストベースの暗号化では、AKS エージェントノードの VM の VM ホストに保存されたデータは、保存時に暗号化され、暗号化された状態でストレージサービスに送られます。つまり、一時ディスクは、プラットフォームマネージドキーを使用して保存時に暗号化されます。 OS ディスクとデータディスクのキャッシュは、ディスクに設定された暗号化のタイプに応じて、プラットフォームマネージドキーまたはカスタマーマネージドキーのどちらかを使用して保存時に暗号化されます。

AKS を使うと、既定では、OS ディスクとデータディスクでプラットフォームマネージドキーによるサーバー側暗号化が使われます。これらのディスクのキャッシュは、プラットフォームマネージドキーを使って保存時に暗号化されます。「Azure Kubernetes Service (AKS) の Azure ディスクに独自のキー (BYOK) を使用する」の説明に従って、独自のマネージドキーを指定できます。これらのディスクのキャッシュは、指定したキーを使っても暗号化されます。

ホストベースの暗号化は、Azure Storage で使用されるサーバー側暗号化 (SSE) とは異なります。 Azure マネージドディスクでは、Azure Storage を使用してデータの保存時に保存データを自動的に暗号化します。ホストベースの暗号化では、VM のホストを使用して、データが Azure Storage を通過する前に暗号化を処理します。

開始する前に

開始する前に、次の前提条件と制限事項を確認してください。

前提条件

CLI 拡張機能 v2.23 以降がインストールされていることを確認します。

制限事項

この機能は、クラスターまたはノードプールの作成時にのみ設定できます。
この機能は、Azure マネージドディスクのサーバー側暗号化がサポートされている Azure リージョンで、特定のサポートされている VM サイズのみを使用して有効にできます。
この機能では、"VM セットの種類" として Virtual Machine Scale Sets に基づいた AKS クラスターとノードプールが必要です。

新しいクラスターでホストベースの暗号化を使用する

新しいクラスターを作成し、--enable-encryption-at-host フラグを指定して az aks create コマンドを使用して、ホストベースの暗号化を使用するようにクラスターエージェントノードを構成します。
```
az aks create \
    --name myAKSCluster \
    --resource-group myResourceGroup \
    --node-vm-size Standard_DS2_v2 \
    --location westus2 \
    --enable-encryption-at-host \
    --generate-ssh-keys
```

既存のクラスターでホストベースの暗号化を使用する

--enable-encryption-at-host フラグを指定して az aks nodepool add コマンドを使用して新しいノードプールを追加することで、既存のクラスターでホストベースの暗号化を有効にします。
```
az aks nodepool add --name hostencrypt --cluster-name myAKSCluster --resource-group myResourceGroup -s Standard_DS2_v2 --enable-encryption-at-host
```

次の手順

AKS クラスターのセキュリティに関するベストプラクティスを確認します。
詳細については、ホストベースの暗号化に関するページを参照してください。

次の方法で共有