Google Distributed Cloud utilizza certificati e chiavi private per autenticare la comunicazione tra i componenti di sistema Kubernetes in un cluster di amministrazione. Quando crei un cluster di amministrazione, vengono creati nuovi certificati dell'autorità di certificazione (CA) e questi certificati radice vengono utilizzati per emettere certificati foglia aggiuntivi per i componenti di sistema Kubernetes.
Questa guida si applica solo alla rotazione dei certificati CA del cluster di amministrazione. Per i cluster utente, consulta Rotazione dei certificati CA del cluster utente.
Esistono tre certificati CA utilizzati dal sistema Kubernetes in un cluster di amministrazione:
Il certificato CA etcd protegge la comunicazione dal server API Kubernetes alle repliche etcd e anche la comunicazione tra le repliche etcd. Questo certificato è autofirmato.
Il certificato CA del cluster protegge la comunicazione tra il server API Kubernetes e tutti i client API Kubernetes interni, ad esempio kubelet, controller manager e scheduler. Questo certificato è autofirmato.
Il certificato CA del proxy front-end protegge la comunicazione con le API aggregate. Questo certificato è autofirmato.
Puoi utilizzare gkectl per attivare una rotazione dei certificati. Durante una rotazione, gkectl sostituisce i certificati CA del sistema principale per il cluster di amministrazione con certificati appena generati. Poi distribuisce i nuovi certificati CA, i certificati foglia e le chiavi private ai componenti di sistema del cluster di amministrazione. La rotazione avviene in modo incrementale, in modo che i componenti di sistema possano continuare a comunicare durante la rotazione. Tieni presente, tuttavia, che i carichi di lavoro e i nodi vengono riavviati durante la rotazione.
Senza rotazione, i certificati CA e i certificati del piano di controllo scadranno dopo un periodo di tempo dalla data di creazione del cluster.
Il periodo di scadenza dipende dal tipo di cluster e dalla versione di creazione:
- Cluster avanzati:
- Scadenza di 10 anni
- Cluster non avanzati:
- Creati prima della versione 1.5: scadenza di 10 anni
- Creati tra le versioni 1.5 e 1.16: scadenza di 5 anni
- Creati dopo la versione 1.16: scadenza di 30 anni
I certificati del piano di controllo vengono ruotati automaticamente durante l'upgrade di un cluster, ma le CA non vengono ruotate automaticamente. Ciò significa che, oltre agli upgrade di versione regolari, è necessario eseguire una rotazione della CA prima della data di scadenza della CA.
Limitazioni
Tieni presente la seguente limitazione con i cluster avanzati:
- Versione 1.31: la rotazione della CA non è supportata nei cluster avanzati.
- Versione 1.32 e successive: la rotazione della CA è supportata nei cluster avanzati, ma esistono alcune piccole differenze indicate, se applicabili, in questo documento.
Rotazione dei certificati CA limitata ai certificati etcd, cluster e proxy front-end menzionati in precedenza.
La rotazione dei certificati CA è limitata ai certificati emessi automaticamente da Google Distributed Cloud. Non aggiorna i certificati emessi manualmente da un amministratore, anche se questi certificati sono firmati dalle CA di sistema.
La rotazione dei certificati CA riavvia più volte il server API Kubernetes, altri processi del piano di controllo e ogni nodo del cluster di amministrazione. Ogni fase di una rotazione procede in modo simile a un upgrade del cluster. Sebbene il cluster di amministrazione e i cluster utente gestiti dal cluster di amministrazione rimangano operativi durante una rotazione dei certificati, dovresti aspettarti che i carichi di lavoro nel cluster di amministrazione vengano riavviati e riprogrammati. Dovresti anche aspettarti brevi periodi di tempo di inattività per il piano di controllo del cluster di amministrazione e il piano di controllo del cluster utente.
Devi aggiornare il file kubeconfig del cluster di amministrazione a metà della rotazione dei certificati e di nuovo al termine della rotazione. Questo perché il vecchio certificato del cluster viene revocato e le credenziali nel file kubeconfig non funzioneranno più.
Una volta avviata, non è possibile eseguire il rollback di una rotazione dei certificati CA.
Il completamento di una rotazione dei certificati CA potrebbe richiedere un tempo considerevole, a seconda delle dimensioni del cluster.
Se viene interrotta, la procedura di rotazione dei certificati può essere ripresa eseguendo di nuovo lo stesso comando. Tuttavia, devi assicurarti che sia in esecuzione un solo comando di rotazione alla volta.
Avvia la rotazione
Per avviare la rotazione dei certificati, esegui questo comando:
gkectl update credentials certificate-authorities rotate \
--admin-cluster \
--config ADMIN_CLUSTER_CONFIG \
--kubeconfig ADMIN_CLUSTER_KUBECONFIG
Sostituisci quanto segue:
ADMIN_CLUSTER_CONFIG: il percorso del file di configurazione del cluster di amministrazione
ADMIN_CLUSTER_KUBECONFIG: il percorso del file kubeconfig del cluster di amministrazione
Il comportamento del comando varia a seconda che il cluster avanzato sia abilitato o meno:
Non abilitato
Il comando gkectl update credentials certificate-authorities rotate avvia ed esegue la prima metà della rotazione. Il comando si mette in pausa per consentirti di eseguire il comando successivo per aggiornare il file kubeconfig.
Aggiorna il file kubeconfig
Quando il comando gkectl update credentials certificate-authorities rotate si mette in pausa, aggiorna il file kubeconfig per il cluster di amministrazione. In questo modo, nel file kubeconfig vengono inseriti un nuovo certificato client e un nuovo certificato CA. Il vecchio certificato client viene rimosso dal file kubeconfig, mentre il vecchio certificato CA rimane nel file kubeconfig.
gkectl update credentials certificate-authorities update-kubeconfig \ --admin-cluster \ --config ADMIN_CLUSTER_CONFIG \ --kubeconfig ADMIN_CLUSTER_KUBECONFIG
Continua la rotazione
Esegui questo comando per eseguire la seconda metà della procedura. Il comando non procede finché gkectl non verifica che il file kubeconfig aggiornato si trovi nella directory corrente.
gkectl update credentials certificate-authorities rotate \ --admin-cluster \ --complete \ --config ADMIN_CLUSTER_CONFIG \ --kubeconfig ADMIN_CLUSTER_KUBECONFIG
Al termine della rotazione, viene segnalata la versione CA corrente.
Aggiorna di nuovo il file kubeconfig
Al termine della seconda metà della rotazione, aggiorna di nuovo il file kubeconfig. In questo modo, il vecchio certificato CA viene rimosso dal file kubeconfig.
gkectl update credentials certificate-authorities update-kubeconfig \ --admin-cluster \ --config ADMIN_CLUSTER_CONFIG \ --kubeconfig ADMIN_CLUSTER_KUBECONFIG
Abilitato
Se il cluster avanzato è abilitato, il comando gkectl update credentials
certificate-authorities rotate è sincrono. Il comando genera messaggi di stato nella workstation di amministrazione man mano che la rotazione della CA procede.
Al termine della rotazione della CA, il comando viene chiuso e viene generato automaticamente un nuovo file kubeconfig. Il file kubeconfig specificato nel comando viene sostituito con uno nuovo. L'output comando è simile al seguente:
Beginning CA rotation with generated CA ... Successfully rotated CA for admin cluster. The kubeconfig file "/home/ubuntu/kubeconfig" has been updated. Done rotating certificate-authorities
Distribuisci il nuovo file kubeconfig
Distribuisci il nuovo file kubeconfig del cluster di amministrazione a tutti gli utenti del cluster.