O Google Distributed Cloud usa certificados e chaves privadas para autenticar e criptografar
conexões entre componentes do sistema em clusters. A autoridade
certificadora (CA, na sigla em inglês) do cluster gerencia esses certificados e chaves. Quando você executa o
comando bmctl update credentials certificate-authorities rotate,
o Google Distributed Cloud realiza as seguintes ações:
Cria e faz upload de novas autoridades de certificação de cluster (CAs) para a CA do cluster, a CA etcd e a CA do proxy frontal para o namespace do cluster de usuário no cluster de administrador.
Os controladores do cluster de administrador substituem as autoridades de certificação do cluster de usuário pelas recém-geradas.
os controladores do cluster de administrador distribuem os novos certificados de CA públicos e pares de chaves de certificado de folha para os componentes do sistema do cluster de usuário.
Para manter a comunicação segura no cluster, rotacione a CA do cluster de usuário periodicamente e sempre que houver uma possível violação de segurança.
Antes de começar
Antes de fazer a rotação da autoridade de certificação do cluster, planeje-se de acordo com as seguintes condições e impactos:
Verifique se os clusters de administrador e de usuário estão na versão 1.9.0 ou superior antes de iniciar a rotação de CA.
A rotação da CA é incremental, permitindo que componentes do sistema se comuniquem durante a rotação.
O processo de rotação de CA reinicia o servidor da API, os processos do plano de controle e os pods no cluster de usuário.
Espere que as cargas de trabalho sejam reiniciadas e reprogramadas durante a rotação da CA.
Para configurações de cluster que não sejam de alta disponibilidade, espere breves períodos de inatividade no plano de controle durante a rotação da CA.
As operações de gerenciamento de cluster não são permitidas durante a rotação da CA.
A duração da rotação de CA depende do tamanho do cluster. Por exemplo, a rotação de CA pode levar quase duas horas para ser concluída para um cluster com um plano de controle e 50 nós de trabalho.
Limitações
O recurso de rotação da autoridade de certificação tem as seguintes limitações:
A rotação da CA não atualiza os certificados emitidos manualmente por um administrador, mesmo se a CA do cluster assinar os certificados. Atualize e redistribua quaisquer certificados emitidos manualmente após a conclusão da rotação da CA do cluster de usuário;
Depois de iniciada, a rotação de CA não pode ser pausada ou revertida.
Iniciar uma rotação da CA do cluster
Use este comando para iniciar o processo de rotação da CA:
bmctl update credentials certificate-authorities rotate --cluster CLUSTER_NAME \
--kubeconfig KUBECONFIG
Substitua:
CLUSTER_NAME: o nome do cluster em que você quer rotacionar as CAs.KUBECONFIG: o caminho até o arquivo kubeconfig do cluster de administrador. Para o gerenciamento automático de clusters, esse arquivo é o kubeconfig do cluster.
O comando bmctl é encerrado depois que a CA do cluster é rotacionada com êxito e um novo
arquivo kubeconfig é gerado. O caminho padrão para o arquivo kubeconfig é
bmctl-workspace/CLUSTER_NAME/CLUSTER_NAME-kubeconfig.
Resolver problemas com uma rotação de CA do cluster
O comando bmctl update credentials exibe o progresso da rotação da CA.
O arquivo update-credentials.log associado é salvo neste
diretório com carimbo de data/hora:
bmctl-workspace/CLUSTER_NAME/log/update-credentials-TIMESTAMP