📘 Encrypting Secret Data at Rest

1. 기본 문제점

• Kubernetes Secret은 etcd에 저장될 때 Base64 인코딩만 적용됨.
• 즉, 누구든 kubectl get secret -o yaml 로 가져오고 base64 --decode 하면 평문(Plaintext) 확인 가능.
• → 보안상 민감한 데이터(DB 비밀번호, 인증키 등)를 그대로 노출될 수 있음.

2. etcd에 저장된 상태 확인

1. Secret 생성:

   kubectl create secret generic my-secret --from-literal=key1=supersecret
   
   

2. etcd에서 직접 확인 (etcdctl 사용):

   ETCDCTL_API=3 etcdctl \
     --cacert=/etc/kubernetes/pki/etcd/ca.crt \
     --cert=/etc/kubernetes/pki/etcd/server.crt \
     --key=/etc/kubernetes/pki/etcd/server.key \
     get /registry/secrets/default/my-secret | hexdump -C
   
   

3. 결과 → “supersecret” 값이 그대로 노출됨.

   👉 암호화되지 않은 상태임을 확인.

3. 암호화 활성화 방법

• kube-apiserver에 -encryption-provider-config 옵션 추가해야 함.
• 설정 파일 작성 후, kube-apiserver 매니페스트 수정.

(1) 암호화 설정 파일 (enc.yaml)

apiVersion: apiserver.config.k8s.io/v1
kind: EncryptionConfiguration
resources:
  - resources:
      - secrets
    providers:
      - aescbc:
          keys:
            - name: key1
              secret: <32-byte-base64-key>
      - identity: {}

🔑 키 생성 (32바이트 랜덤, base64 인코딩):

head -c 32 /dev/urandom | base64

(2) kube-apiserver 매니페스트 수정 (/etc/kubernetes/manifests/kube-apiserver.yaml)

• 다음 옵션 추가: