Rotazione delle chiavi dell'account di servizio

Mantieni tutto organizzato con le raccolte Salva e classifica i contenuti in base alle tue preferenze.

Questa pagina descrive come ruotare le chiavi per i seguenti account di servizio:

• Accesso ai componenti
• Connect-register
• Monitoraggio dei log
• Registrazione degli audit
• Misurazione dell'utilizzo

Per ruotare le chiavi dell'account di servizio:

1. Crea una directory per archiviare un backup dei tuoi secret attuali:

   mkdir backup

2. Prendi nota delle seguenti informazioni per l'account di servizio pertinente:

   Accesso ai componenti

   Cluster	Secret	Spazio dei nomi
   Amministratore	admin-cluster-creds	kube-system
   Amministratore	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   Amministratore	private-registry-creds	kube-system
   Utente	private-registry-creds	kube-system

   • Se non utilizzi un registro privato, il secret private-registry-creds contiene la chiave per l'account di servizio di accesso al componente.
   • Se utilizzi un registry privato, il secret private-registry-creds contiene le credenziali per il registry privato, non la chiave dell'account di servizio di accesso del componente.

   Connect-register

   Cluster	Secret	Spazio dei nomi
   Amministratore	admin-cluster-creds	kube-system
   Amministratore	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt

   Monitoraggio dei log

   Cluster	Secret	Spazio dei nomi
   Amministratore	admin-cluster-creds	kube-system
   Amministratore	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   Utente	google-cloud-credentials	kube-system
   Utente	stackdriver-service-account-key	knative-serving

   Registrazione degli audit

   Cluster	Secret	Spazio dei nomi
   Amministratore	admin-cluster-creds	kube-system
   Amministratore	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   Amministratore	kube-apiserver	CLUSTER_NAME

   Misurazione dell'utilizzo

   Cluster	Secret	Spazio dei nomi
   Amministratore	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   Utente	usage-metering-bigquery-service-account-key	kube-system

   Stackdriver

   Cluster	Secret	Spazio dei nomi
   Amministratore	admin-cluster-creds	kube-system
   Amministratore	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   Utente	google-cloud-credentials	kube-system
   Utente	stackdriver-service-account-key	knative-serving

3. Crea un backup di ogni secret utilizzando il seguente comando:

   kubectl get secret SECRET --namespace NAMESPACE \
       --kubeconfig KUBECONFIG -o json > backup/SECRET-NAMESPACE.json

   Sostituisci quanto segue:

   • NAMESPACE: lo spazio dei nomi in cui si trova il secret. Ad esempio, kube-system.
   • KUBECONFIG: il percorso del file kubeconfig per il cluster di amministrazione o utente.
   • SECRET: il nome del secret. Ad esempio, admin-cluster-creds.

   Ad esempio, esegui i seguenti comandi per l'account del servizio di logging di controllo:

   kubectl get secret admin-cluster-creds --namespace kube-system \
           --kubeconfig KUBECONFIG -o json > backup/admin-cluster-creds-kube-system.json
   
   kubectl get secret user-cluster-creds --namespace NAMESPACE \
           --kubeconfig KUBECONFIG -o json > backup/user-cluster-creds-NAMESPACE.json
   
   kubectl get secret kube-apiserver --namespace NAMESPACE \
           --kubeconfig KUBECONFIG -o json > backup/kube-apiserver-NAMESPACE.json

4. Per creare un nuovo file della chiave dell'account di servizio, esegui il seguente comando:

   gcloud iam service-accounts keys create NEW_KEY_FILE --iam-account IAM_ACCOUNT

   Sostituisci quanto segue:

   • NEW_KEY_FILE: il nome del nuovo file della chiave dell'account di servizio
   • IAM_ACCOUNT: l'indirizzo email dell'account per il servizio

5. Nel file di configurazione del cluster amministrativo, individua il campo componentAccessServiceAccountKeyPath, la sezione gkeConnect, la sezione stackdriver e la sezione cloudAuditLogging. In queste posizioni, sostituisci i percorsi dei file delle chiavi dell'account di servizio.

6. Nel file di configurazione del cluster utente, individua il campo componentAccessServiceAccountKeyPath, la sezione gkeConnect, la sezione stackdriver, la sezione cloudAudigLogging e la sezione usageMetering. In questi punti, sostituisci i percorsi dei file delle chiavi dell'account di servizio.

7. Salva le modifiche apportate eseguendo i seguenti comandi:

   Puoi ruotare le chiavi per un componente alla volta oppure puoi ruotare tutte le chiavi (tranne la chiave dell'account di servizio di misurazione dell'utilizzo) impostando il componente su sakeys.

   gkectl update credentials COMPONENT \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config ADMIN_CLUSTER_CONFIG \
       --admin-cluster
   
   gkectl update credentials COMPONENT \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config USER_CLUSTER_CONFIG
   

   Sostituisci quanto segue:

   • COMPONENT: uno dei seguenti:

     • componentaccess
     • register
     • cloudauditlogging
     • usagemetering
     • stackdriver
     • sakeys (rotazione di tutte le chiavi dei componenti, ad eccezione della misurazione dell'utilizzo)

   • ADMIN_CLUSTER_KUBECONFIG: il percorso del file kubeconfig per il cluster di amministrazione.

   • ADMIN_CLUSTER_CONFIG: il percorso del file di configurazione del cluster di amministrazione.

   • USER_CLUSTER_CONFIG: il percorso del file di configurazione del cluster utente.

Ricreazione del nodo

Alcune rotazioni delle chiavi dell'account di servizio potrebbero richiedere più tempo perché è necessaria la nuova creazione dei nodi:

Per una rotazione delle chiavi che richiede la ricreazione dei nodi, questi vengono sostituiti in un processo di aggiornamento continuo, ovvero vengono ricreati uno alla volta.

Il possibile tempo di inattività durante una rotazione delle chiavi è simile al tempo di inattività per un upgrade del cluster. Per maggiori dettagli, vedi Tempo di inattività durante gli upgrade.

Ripristino dei backup

Se devi ripristinare i backup dei secret creati in precedenza, esegui il seguente comando:

kubectl apply -f backup/

Differenze avanzate del cluster per la rotazione delle chiavi dell'account di servizio

Il comando gkectl update credentials è supportato solo parzialmente per i cluster avanzati. La tabella seguente elenca le varianti di comando supportate e non supportate:

Per un elenco completo delle funzionalità e delle capacità di Google Distributed Cloud per VMware supportate o meno per i cluster avanzati, consulta Differenze durante l'esecuzione di cluster avanzati.