Encryption 如何加密Kubernetes环境中容器使用的实际存储/卷？

对于云管理的kubernetes，无论是AWS EKS、Azure AKS还是Google GKE，使用客户管理密钥的选项总是以将客户主密钥存储在云提供商自己的vault/KMS（例如AWS KMS或Azure vault）中为代价。在这种情况下，云提供商仍然可以访问客户加密密钥（或者至少它驻留在云环境中）

---

在k8s环境中部署应用程序并使用客户提供的密钥加密存储时，什么是理想的实现方案，但密钥的知识应仅在客户端，即由于隐私问题，不能存储在云提供商内部的任何位置？

您可以使用第三方kubernetes存储提供商，如portworx，它将带您跨越集群并对数据进行加密。

---

如果云提供商没有秘密，集群也没有秘密，pod是如何获得的？你特别想要加密什么存储？@DavidMaze谢谢你的回复。我希望每个客户端都有一个专用的应用程序实例，这样我的每个客户端公司也将有一个单独的存储。在这种情况下，只有客户端才能对其特定应用程序使用的存储进行加密/解密。部署此应用程序的最佳解决方案是什么，这样我就拥有kubernetes管理控制权，但密钥由客户提供？@DavidMaze，还是最佳实施方案是什么，这样我对密钥的了解就越少，客户的信息就越多？接近零知识加密的东西这意味着portworx将允许使用客户端管理的密钥加密/解密我的k8s群集中客户端应用程序使用的存储？我想是的-请确认，您可以询问他们的解决方案工程师，他们将为您演示