静态加密 Kubernetes 集群的 admin.conf ($KUBECONFIG)

Question

我一直担心将

/etc/kubernetes/admin.conf

（即

$KUBECONFIG

）在磁盘上未加密，因为它本质上包含 Kubernetes 集群的根凭据，而入侵者显然可以对这些造成很大的伤害。

到目前为止，我一直使用

admin.conf

 对 

encfs 进行加密，并且大部分情况下仅在紧急情况下（当我无法再使用管理员 OIDC 登录 Kubernetes 集群时）才采用（手动）解密它令牌）。这已经运行了好几年。但是简单的加密层有其缺点：特别是，它使具有

kubeadm upgrade plan

的集群升级有些脆弱。我刚刚遇到一个错误“无法更新证书 [...] 无法签署证书 admin.conf”，这可能是相关的。我目前的直觉是我最好停用基于

encfs

的机制并研究更合适的替代方案。

因此我想知道：Kubernetes Key Management Service (KMS) 及其提供者（例如 Thales KSM 插件）是否也可以管理

admin.conf

静态加密，或者它们的范围内是否只有秘密（在 etcd 内）？我怀疑是第二种情况，但我想确定一下，因为我正面临一个重要的（重新）设计决定。

附言我还注意到各种安全控制（例如“C-0104 - 确保 admin.conf 文件权限设置为 600”）提出了更轻松的建议。因此，也许“正确”的思路是：

admin.conf

静态加密为时已晚 防御线：重点必须始终保持入侵者远离集群节点。或者 KSM 甚至无法“引导”

admin.conf

被自己加密。