Version 1.14. This version is no longer supported. For more information see the version support policy.

轮替服务账号密钥

本页面介绍如何轮替以下服务账号的密钥：

组件访问（在 1.14.0 - 1.14.4 中，如果您使用的是私有注册表，则无法轮替组件访问密钥）。此限制已在 1.14.5 及更高版本中移除。）
Connect-register
Logging-monitoring
审核日志记录
用量计量

如需轮替您的服务账号密钥，请执行以下操作：

创建用于存储当前 Secret 备份的目录：
```
mkdir backup
```

请注意相关服务账号的以下信息：

组件访问权限

集群	Secret	命名空间
管理员	管理员集群凭据	kube-system
管理	user-cluster-creds	`CLUSTER_NAME`-gke-onprem-mgmt
管理	private-registry-creds	kube-system
用户	private-registry-creds	kube-system

如果您不使用私有注册表，则 private-registry-creds Secret 会存储组件访问服务账号密钥。
如果您使用私有注册表，则 private-registry-creds Secret 会存储私有注册表的凭据，而不是组件访问服务账号密钥。

Connect-register

集群	Secret	命名空间
管理员	管理员集群凭据	kube-system
管理	user-cluster-creds	`CLUSTER_NAME`-gke-onprem-mgmt

Logging-monitoring

集群	Secret	命名空间
管理员	管理员集群凭据	kube-system
管理	user-cluster-creds	`CLUSTER_NAME`-gke-onprem-mgmt
用户	google-cloud-credentials	kube-system
用户	stackdriver-service-account-key	knative-serving

审核日志记录

集群	Secret	命名空间
管理员	管理员集群凭据	kube-system
管理	user-cluster-creds	`CLUSTER_NAME`-gke-onprem-mgmt
管理	kube-apiserver	`CLUSTER_NAME`

用量计量

集群	Secret	命名空间
管理	user-cluster-creds	`CLUSTER_NAME`-gke-onprem-mgmt
用户	usage-metering-bigquery-service-account-key	kube-system

Stackdriver

集群	Secret	命名空间
管理员	管理员集群凭据	kube-system
管理	user-cluster-creds	`CLUSTER_NAME`-gke-onprem-mgmt
用户	google-cloud-credentials	kube-system
用户	stackdriver-service-account-key	knative-serving

使用以下命令为每个 Secret 创建备份：

kubectl get secret SECRET --namespace NAMESPACE \
    --kubeconfig KUBECONFIG -o json > backup/SECRET-NAMESPACE.json

替换以下内容：

NAMESPACE：Secret 所在的命名空间。例如 kube-system。
KUBECONFIG：管理员集群或用户集群的 kubeconfig 文件的路径。
SECRET：Secret 的名称。例如 admin-cluster-creds。

例如，为审核日志服务账号运行以下命令：

kubectl get secret admin-cluster-creds --namespace kube-system \
        --kubeconfig KUBECONFIG -o json > backup/admin-cluster-creds-kube-system.json

kubectl get secret user-cluster-creds --namespace NAMESPACE \
        --kubeconfig KUBECONFIG -o json > backup/user-cluster-creds-NAMESPACE.json

kubectl get secret kube-apiserver --namespace NAMESPACE \
        --kubeconfig KUBECONFIG -o json > backup/kube-apiserver-NAMESPACE.json

如需创建新的服务账号密钥文件，请运行以下命令：
```
gcloud iam service-accounts keys create NEW_KEY_FILE --iam-account IAM_ACCOUNT
```
替换以下内容：
- NEW_KEY_FILE：新的服务账号密钥文件的名称
- IAM_ACCOUNT：服务账号的电子邮件地址
在管理员集群配置文件中，找到 componentAccessServiceAccountKeyPath 字段、gkeConnect 部分、stackdriver 部分和 cloudAuditLogging 部分。在这些位置，替换服务账号密钥文件的路径。
在用户集群配置文件中，找到 componentAccessServiceAccountKeyPath 字段、gkeConnect 部分、stackdriver 部分、cloudAudigLogging 部分以及 usageMetering 部分。在这些位置，替换服务账号密钥文件的路径。
使用以下命令保存您所做的更改：
```
gkectl update credentials COMPONENT \
    --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
    --config ADMIN_CLUSTER_CONFIG \
    --admin-cluster

gkectl update credentials COMPONENT \
    --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
    --config USER_CLUSTER_CONFIG
```
替换以下内容：
- COMPONENT：componentaccess、register、cloudauditlogging、usagemetering、stackdriver 之一。
- ADMIN_CLUSTER_KUBECONFIG：管理员集群的 kubeconfig 文件的路径。
- ADMIN_CLUSTER_CONFIG：管理员集群配置文件的路径。
- USER_CLUSTER_CONFIG：用户集群配置文件的路径。

恢复备份

如果您需要恢复之前创建的 Secret 的备份，请运行以下命令：

kubectl apply -f backup/