Configura las credenciales preparadas para un clúster de administrador

En este documento, se muestra cómo configurar credenciales preparadas para un clúster de administrador en Google Distributed Cloud.

Con las credenciales preparadas, puedes almacenar las credenciales del clúster de administrador en un secreto del clúster de administrador. Esto proporciona un elemento de seguridad, ya que no necesitas mantener contraseñas ni claves de cuentas de servicio en tu estación de trabajo de administrador.

Descripción general del procedimiento

  1. Completa el archivo de configuración de Secrets.

  2. En el archivo de configuración del clúster de administrador, establécelo como verdadero.

  3. Ejecución gkectl prepare

  4. Crea el clúster de administrador.

Completa el archivo de configuración de Secrets

Genera una plantilla para un archivo de configuración de Secrets:

gkectl create-config secrets

El comando anterior genera un archivo llamado secrets.yaml. Si lo deseas, puedes cambiar el nombre y la ubicación del archivo.

Para familiarizarte con el archivo de configuración, lee el documento Archivo de configuración de Secrets. Te recomendamos que mantengas este documento abierto en una pestaña o ventana separada.

Este es un ejemplo de un archivo de configuración de Secrets. El grupo Secret tiene valores para las credenciales de vCenter y cuatro claves de cuenta de servicio:

apiVersion: v1
kind: ClusterSecrets
secretGroups:
- secrets
  vCenter:
    username: "my-vcenter-account"
      password: "U$icUKEW#INE"
    componentAccessServiceAccount:
      serviceAccountKeyPath: "my-key-folder/component-access-key.json"
    registerServiceAccount:
      serviceAccountKeyPath: "my-key-folder/connect-register-key.json"
    stackdriverServiceAccount:
      serviceAccountKeyPath: "my-key-folder/log-mon-key.json"
    cloudAuditLoggingServiceAccount:
      serviceAccountKeyPath: "my-key-folder/audit-log-key.json"

Archivo de configuración del clúster de administrador

Crea un archivo de configuración de clúster de administrador como se describe en Crea un clúster de administrador.

En el archivo de configuración del clúster de administrador, establece preparedSecrets.enabled en true:

preparedsecrets:
  enabled: true

En el archivo de configuración del clúster de administrador, no especifiques valores para los siguientes campos. Estos campos no son necesarios, ya que Google Distributed Cloud obtendrá credenciales y claves de los Secrets preparados.

  • vCenter.credentials.fileRef.path
  • componentAccessServiceAccountKeyPath
  • loadBalancer.f5BigIP.credentials.fileRef.path
  • gkeConnect.registerServiceAccountKeyPath
  • stackdriver.serviceAccountKeyPath
  • cloudAuditLogging.serviceAccountKeyPath
  • privateRegistry.credentials.fileRef.path

Inicializa el entorno

Importa imágenes de SO a vSphere y envía imágenes de contenedor a un registro privado, si se especificó uno:

gkectl prepare --config ADMIN_CLUSTER_CONFIG --secret-config SECRETS_CONFIG

Reemplaza lo siguiente:

  • ADMIN_CLUSTER_CONFIG: la ruta de acceso al archivo de configuración del clúster de administrador

  • SECRETS_CONFIG: Es la ruta de acceso del archivo de configuración de Secrets.

Crea el clúster de administrador

Crea el clúster de administrador:

gkectl create admin --config ADMIN_CLUSTER_CONFIG --secret-config SECRETS_CONFIG

Reemplaza lo siguiente:

  • ADMIN_CLUSTER_CONFIG: la ruta de acceso al archivo de configuración del clúster de administrador

  • SECRETS_CONFIG: Es la ruta de acceso del archivo de configuración de Secrets.

Rota las credenciales

Para rotar las credenciales, necesitas un archivo de configuración de Secrets. Puedes adoptar dos enfoques:

  • Ejecuta gkectl create-config secrets para generar un archivo de configuración de Secrets nuevo. Completa el archivo con las claves de cuenta de servicio nuevas.

  • Generar un archivo de configuración de Secrets desde el clúster de administrador Luego, reemplaza las claves de la cuenta de servicio seleccionadas por las nuevas.

    Para generar un archivo de configuración de Secrets desde el clúster de administrador, haz lo siguiente:

    gkectl get-config admin --export-secrets-config \
  --bundle-path BUNDLE \
  --kubeconfig ADMIN_CLUSTER_KUBECONFIG

    Reemplaza lo siguiente:

    • BUNDLE: Es la ruta de acceso del archivo de paquete de Google Distributed Cloud.

    • ADMIN_CLUSTER_KUBECONFIG: la ruta del archivo kubeconfig del clúster de administrador

Rota las credenciales:

gkectl update credentials CREDENTIAL_TYPE \
    --config ADMIN_CLUSTER_CONFIG \
    --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
    --secret-config SECRETS_CONFIG \
    --admin-cluster

Reemplaza lo siguiente:

  • CREDENTIAL_TYPE: Uno de los siguientes: vsphere, f5bigip, privateregistry, componentaccess, register, stackdriver, cloudauditlogging.

  • ADMIN_CLUSTER_CONFIG: la ruta de acceso del archivo de configuración de tu clúster de administrador

  • ADMIN_CLUSTER_KUBECONFIG: la ruta del archivo kubeconfig del clúster de administrador

  • SECRETS_CONFIG: Es la ruta de acceso del archivo de configuración de Secrets.

Actualizar

Para actualizar un clúster de administrador que usa credenciales preparadas, en muchos casos, puedes seguir las instrucciones que se indican en Actualiza un clúster.

Sin embargo, si quieres habilitar Cloud Logging y Cloud Monitoring o los Registros de auditoría de Cloud como parte de la actualización, sigue estos pasos:

  1. Genera un archivo de configuración de Secrets.

  2. En el archivo de configuración de Secrets, proporciona valores para stackdriverServiceAccount.serviceAccountKeyPath y cloudAuditLoggingServiceAccount.serviceAccountKeyPath, o ambos.

  3. Actualiza el clúster:

    gkectl update admin --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
  --config ADMIN_CLUSTER_CONFIG \
  --secret-config SECRETS_CONFIG