서비스 계정 키 순환

베어메탈용 GKE의 서비스 계정 키를 순환하려면 bmctl 명령어로 기존 클러스터 사용자 인증 정보를 업데이트합니다. 이 서비스 계정 키 순환은 사용자 인증 정보를 업데이트하는 일반 프로세스 중에 또는 잠재적인 키 노출에 대한 응답으로 수행될 수 있습니다. 클러스터 사용자 인증 정보를 업데이트하면 새 정보가 관리자 또는 하이브리드 클러스터로 전달되거나 관리자 클러스터에서 관리하는 영향을 받는 사용자 클러스터로 자동으로 라우팅됩니다.

업데이트할 수 있는 클러스터 사용자 인증 정보

베어메탈용 GKE 클러스터 생성 시에는 여러 사용자 인증 정보가 필요합니다. 관리자, 독립형 또는 하이브리드 클러스터를 만들 때 클러스터 구성에서 사용자 인증 정보를 설정합니다. 위에서 설명한 것처럼 사용자 클러스터는 관리자 클러스터(또는 관리자 역할을 하는 하이브리드 클러스터)가 관리하며 관리자 클러스터에서 동일한 사용자 인증 정보를 재사용합니다.

클러스터 생성 및 다른 클러스터 유형에 대한 자세한 내용은 설치 개요: 배포 모델 선택을 참조하세요.

bmctl 명령어를 사용하여 베어메탈용 GKE 클러스터에서 다음 사용자 인증 정보와 해당 보안 비밀을 업데이트할 수 있습니다.

  • SSH 비공개 키: 노드 액세스에 사용됩니다.
  • Container Registry 키(anthos-baremetal-gcr): 이미지 가져오기를 위해 Container Registry이 인증하는 데 사용되는 서비스 계정 키입니다.
  • Connect 에이전트 서비스 계정 키(anthos-baremetal-connect): Connect 에이전트 포드에 사용되는 서비스 계정 키입니다.
  • Connect 레지스트리 서비스 계정 키(anthos-baremetal-register): 클러스터를 등록 또는 등록 취소할 때 허브에 인증하는 데 사용되는 서비스 계정 키입니다.
  • Cloud 운영 서비스 계정 키(anthos-baremetal-cloud-ops): Google Cloud Observability(Logging 및 Monitoring) API로 인증하기 위한 서비스 계정 키입니다.

bmctl로 사용자 인증 정보 업데이트

클러스터를 만들면 베어메탈용 GKE가 사용자 인증 정보 키를 기반으로 Kubernetes 보안 비밀을 만듭니다. 새 키를 생성할 때는 다음 단계에 설명된 대로 해당 보안 비밀을 업데이트해야 합니다. 키 이름 또는 경로가 변경되면 해당 클러스터 구성 파일도 업데이트해야 합니다.

  1. 업데이트할 사용자 인증 정보의 새 값을 준비합니다.

    • gcloud 명령어 또는 Google Cloud 콘솔을 통해 새 Google 서비스 계정 키를 생성할 수 있습니다.

    • 관리자 워크스테이션서 새 SSH 비공개 키를 생성하고 클러스터 노드 머신에 해당 공개 키가 포함되는지 확인합니다.

  2. 클러스터 구성 파일의 사용자 인증 정보 섹션을 새 키 경로로 업데이트합니다.

  3. 해당 클러스터 보안 비밀을 bmctl update credentials 명령어로 업데이트하여 아래 설명된 적합한 플래그를 추가합니다.

    예를 들어 이 경우 bmctl은 새로운 SSH 비공개 키의 사용자 인증 정보를 업데이트합니다. 여기서 ADMIN_KUBECONFIG는 관리자, 하이브리드 또는 독립형 클러스터의 kubeconfig 경로를 지정합니다. SSH_KEY_PATH는 새 SSH 비공개 키의 경로를 지정하고 CLUSTER_NAME은 클러스터 이름을 지정합니다.

    bmctl update credentials --kubeconfig ADMIN_KUBECONFIG --ssh-private-key-path
    SSH_KEY_PATH --cluster CLUSTER_NAME
    

bmctl로 다음 플래그를 지정하여 사용자 인증 정보를 업데이트할 수 있습니다.

플래그 설명
--kubeconfig 필수: 관리자, 하이브리드 또는 독립형 클러스터의 kubeconfig 경로
--cluster 필수: 관리자, 하이브리드 또는 독립형 클러스터의 이름
--ssh-private-key-path 새 SSH 비공개 키의 경로
--gcr-key-path 새 Container Registry 서비스 계정 키의 경로
--gke-connect-agent-service-account-key-path 새 Connect Agent 서비스 계정 키의 경로
--gke-connect-register-service-account-key-path 새 Connect register 서비스 계정 키의 경로
--cloud-operations-service-account-key-path 새 Google Cloud Observability 서비스 계정 키의 경로