GKE“etcd”中存储的信息是否已加密？

Question

我正在使用 GKE(Google Kubernetes Engine) 1.13.6-gke.6，我需要提供用于PCI目的的 etcd 加密证据。我按照本
文档使用了--data-encryption-keyflag 并使用KMS密钥来加密机密。

我需要给出一组命令来证明主节点的etcd中存储的信息是加密的。

以下是我们如何验证存储在普通 Kuebrnetes 集群（而不是 GKE ）内的秘密是否已加密。

众所周知，GKE 是一项托管服务，主节点由 GCP 管理。有没有办法访问 GKE“etcd”来查看存储的秘密和静态数据？

Answer 1

为什么要证明信息是加密的？GKE 已获得Google Cloud 的 PCI DSS 认证，并且由于主节点是“集群即服务”的一部分，因此应该超出您需要显示的范围，因为您不（也无法）控制方式其中实现了存储。

您可以做的一件事是使用应用程序层机密加密，使用您自己存储在Cloud KMS中的密钥来加密您的机密。对于您的秘密，您将能够运行命令来证明额外的加密级别。