将gcloud自加密磁盘与Kubernetes一起使用

Question

我需要加密块设备上的数据，并允许Pod以卷的形式访问它。

我注意到它现在可以在Google云上使用Customer-Supplied Encryption Keys

加密新磁盘

我可以将自加密磁盘与Kubernetes一起使用并将其作为卷附加到Pod吗？

如果没有，是否还有其他方法可以加密块设备（例如LUKS）并将其与Pod一起使用？

Answer 1

我对Google文档（https://cloud.google.com/compute/docs/disks/customer-supplied-encryption）的阅读是，无需密钥即可安装磁盘。密钥仅在磁盘创建时提供。

因此，以下内容应该无需更改kubernetes即可使用：

1. 创建加密磁盘＆＃34; myencrypteddisk＆＃34;每https://cloud.google.com/compute/docs/disks/customer-supplied-encryption
2. 创建一个挂载GCEPD的pod，名为＆＃34; myencrypteddisk＆＃34;。
3. kubelet会将磁盘挂载到VM上。它的计算范围应足以执行装载，IIUC。

Answer 2

目前没有与此功能集成，但我们应该添加它，我提交了：

https://github.com/kubernetes/kubernetes/issues/13493

目前，您必须单独加密每个文件，并使用kubernetes secrets分发密钥以解密这些文件。