הוספת דומיינים לאישור של שרת ה-API

שם חלופי של בעלים (subject) (SAN) הוא תכונה של אישורי SSL שמאפשרת להגדיר את שמות הדומיינים ותתי הדומיינים שמוגנים על ידי אישור. באשכול Google Distributed Cloud, ה-SANs שמוגדרים כברירת מחדל לאישור של שרת Kubernetes API כוללים את כתובות ה-IP וה-VIP של צמתי מישור הבקרה ואת שמות ה-DNS של Kubernetes. באמצעות התכונה 'נוספים SANs לאישור שרת API בהתאמה אישית', אתם יכולים להוסיף דומיינים, תתי-דומיינים וכתובות IP נוספים כ-SANs לאישור שרת ה-API של Kubernetes עבור האשכול.

כדי לציין שמות SAN בהתאמה אישית לאישור של שרת ה-API, משתמשים בשדה controlPlane.apiServerCertExtraSANs במפרט של הגדרת האשכול. השדה הזה מקבל רשימה של שמות דומיין וכתובות IP. השדה הזה הוא אופציונלי וניתן לשינוי. אפשר להוסיף את השדה הזה ולעדכן אותו כשיוצרים אשכול או בכל שלב אחר.

...
kind: Cluster
metadata:
  name: sample001
  namespace: cluster-sample001
spec:
  type: user
  ...
  controlPlane:
    apiServerCertExtraSANs:
    - "demo-dns.example.com"
    - "sample-dns.com"
    nodePoolSpec:
      nodes:
      - address: 10.200.0.20
  clusterNetwork:
  ...

הוספת דומיינים במהלך יצירת אשכול

כשמוסיפים עוד שמות SAN כשיוצרים אשכול, האישור של שרת ה-API של Kubernetes כולל את הדומיינים וכתובות ה-IP הנוספים שצוינו כשהאשכול הופך לזמין.

הוספה או עדכון של דומיינים באשכול קיים

מכיוון שהשדה apiServerCertExtraSANs ניתן לשינוי, אפשר להוסיף או לעדכן את השדה בכל שלב עבור אשכולות קיימים. כשמשנים את השדה apiServerCertExtraSANs באשכול, מתבצעות הפעולות הבאות:

  • בקרי האשכול של Google Distributed Cloud יוצרים מחדש את אישור שרת ה-API כדי לכלול את הדומיינים הנוספים ששונו.

  • בקרי האשכול מפעילים מחדש את שרת ה-API כדי לטעון מחדש את האישור החדש.

  • הערכים החדשים של apiServerCertExtraSANs מאומתים על ידי webhook כדי לוודא שהם תואמים למוסכמות של שמות דומיינים ב-RFC 1035.

  • מאגר הצמתים של מישור הבקרה עובר למצב של התאמה.

    Control Plane Node Pool Status:
  Anthos Bare Metal Version:  1.28.0-gke.435
  Anthos Bare Metal Versions:
    1.28.0-gke.435:  3
  Conditions:
    ...
    Last Transition Time:  2023-11-15T18:23:49Z
    Observed Generation:   1
    Reason:                Reconciling
    Status:                True
    Type:                  Reconciling

  • מאגר הצמתים מוכן אחרי שהשינוי מועבר לשרתי ה-API של Kubernetes בכל צומת של מישור הבקרה.

    Control Plane Node Pool Status:
  Anthos Bare Metal Version:  1.28.0-gke.435
  Anthos Bare Metal Versions:
    1.28.0-gke.435:  3
  Conditions:
    . . .
    Last Transition Time:  2023-11-15T18:32:25Z
    Observed Generation:   1
    Reason:                ReconciliationCompleted
    Status:                False
    Type:                  Reconciling

יכול להיות שתחוו השבתה כשמעדכנים את השדה extra SANs של אישור שרת ה-API באשכול פעיל:

  • באשכולות של זמינות גבוהה (HA), מופעים של שרת API מופעלים מחדש באופן עקבי. עדיין אפשר לבצע אינטראקציה עם האשכול במהלך עדכון האישור, כי מאזן העומסים מחלק את הבקשות לכל שרת API. עם זאת, יכול להיות שתראו תגובה שמציינת ששרת ה-API מושבת. אם התשובה הזו מופיעה, צריך לנסות לשלוח שוב את הבקשה.

  • בצבי קבצים שאינם HA, יכול להיות שיהיה הפסקה קצרה של כדקה בזמן ששרת API מופעל מחדש כדי לטעון מחדש את האישור החדש.

השינוי מתעדכן בכל שרתי ה-API תוך 5 עד 20 דקות, בהתאם למספר הצמתים של מישור הבקרה באשכול ולעומס של האשכול.