Cifrado en reposo

QuasarSDS puede cifrar cada volumen con AES-XTS-256. El cifrado se activa solo por StorageClass: un pool nunca lo aplica por herencia.

1. Crear el Secret con las claves

AES-XTS necesita dos claves distintas de 32 bytes aleatorios cada una. El Secret debe estar en el namespace quasarsds-system:

openssl rand 32 > encryption_key
openssl rand 32 > encryption_key2
kubectl -n quasarsds-system create secret generic quasarsds-volume-key \
  --from-file=encryption_key=encryption_key \
  --from-file=encryption_key2=encryption_key2

aviso

Guarda una copia segura de las claves. Sin ellas, los datos del volumen son irrecuperables.

2. StorageClass cifrada

apiVersion: storage.k8s.io/v1
kind: StorageClass
metadata:
  name: quasarsds-rf3-cifrado
provisioner: quasarsds.io
volumeBindingMode: WaitForFirstConsumer
parameters:
  poolName: fast-pool
  strategy: RF3
  encryptionProtection: "true"
  encryptionKeySecret: quasarsds-volume-key