TLS-verschlüsselte Kubernetes-Cluster mit ACM Private CA und Amazon EKS

Amazon Web Services (AWS) hat die Sicherheitsfunktionen seines Dienstes Amazon Elastic Kubernetes Service (EKS) erweitert und ermöglicht nun die Implementierung von TLS-Verschlüsselung. Dieses Update erlaubt die durchgängige Verschlüsselung von Datenverkehr, der von einem Client ausgeht und an einem Ingress-Controller-Server innerhalb eines EKS-Clusters terminiert.

Die Lösung nutzt ein Open-Source-Plugin für cert-manager, das sich in AWS Private CA integriert. Dies bietet eine sicherere Alternative für die Verwaltung von Zertifizierungsstellen in Kubernetes-Umgebungen im Vergleich zur Standardmethode von cert-manager, welche private Schlüssel im Klartext im Arbeitsspeicher des Servers speichert. Dieser Ansatz unterstützt Kunden mit regulatorischen Anforderungen an die Überprüfung von CA-Operationen und die Zugriffskontrolle.

Die Implementierungsdetails zeigen die Konfiguration eines NGINX Ingress Controllers auf Amazon EKS. Vor diesem Controller ist ein AWS Network Load Balancer (NLB) konfiguriert, um HTTPS-Verkehr zu verarbeiten, wobei die Zertifikate über ACM Private CA ausgestellt werden.

Amazon EKS ist ein verwalteter Dienst, der die Bereitstellung und den Betrieb von Kubernetes auf AWS vereinfacht, ohne dass Benutzer die Kubernetes-Steuerungsebene verwalten müssen. Cert-manager ist ein weit verbreitetes Open-Source-Tool zur Verwaltung von TLS-Zertifikaten in Kubernetes-Clustern.