Rota claves de cuenta de servicio

En esta página, se describe cómo rotar claves para las siguientes cuentas de servicio:

Para rotar las claves de tu cuenta de servicio, sigue estos pasos:

  1. Crea un directorio para almacenar una copia de seguridad de los secretos actuales:

    mkdir backup
  2. Ten en cuenta la siguiente información para la cuenta de servicio relevante:

    Acceso a los componentes

    Clúster Secret Espacio de nombres
    Administrador admin-cluster-creds kube-system
    Administrador user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Admin private-registry-creds kube-system
    Usuario private-registry-creds kube-system
    • Si no usas un registro privado, el Secret private-registry-creds contiene la clave para tu cuenta de servicio de acceso a los componentes.
    • Si usas un registro privado, el secreto private-registry-creds contiene las credenciales de tu registro privado, no la clave de la cuenta de servicio de acceso a los componentes.

    Registro de Connect

    Clúster Secret Espacio de nombres
    Administrador admin-cluster-creds kube-system
    Administrador user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt

    Registro y supervisión

    Clúster Secret Espacio de nombres
    Administrador admin-cluster-creds kube-system
    Administrador user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Usuario google-cloud-credentials kube-system
    Usuario stackdriver-service-account-key knative-serving

    Registros de auditoría

    Clúster Secret Espacio de nombres
    Administrador admin-cluster-creds kube-system
    Administrador user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Admin kube-apiserver CLUSTER_NAME

    Medición de uso

    Clúster Secret Espacio de nombres
    Administrador user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Usuario usage-metering-bigquery-service-account-key kube-system

    Stackdriver

    Clúster Secret Espacio de nombres
    Administrador admin-cluster-creds kube-system
    Administrador user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Usuario google-cloud-credentials kube-system
    Usuario stackdriver-service-account-key knative-serving
  3. Crea una copia de seguridad de cada secreto con el siguiente comando:

    kubectl get secret SECRET --namespace NAMESPACE \
        --kubeconfig KUBECONFIG -o json > backup/SECRET-NAMESPACE.json

    Reemplaza lo siguiente:

    • NAMESPACE: es el espacio de nombres en el que se encuentra el secreto. Por ejemplo, kube-system
    • KUBECONFIG: es la ruta al archivo kubeconfig para el clúster de administrador o del usuario.
    • SECRET: nombre del Secret. Por ejemplo, admin-cluster-creds

    Por ejemplo, ejecuta los siguientes comandos para la cuenta de servicio de registro de auditoría:

    kubectl get secret admin-cluster-creds --namespace kube-system \
            --kubeconfig KUBECONFIG -o json > backup/admin-cluster-creds-kube-system.json
    
    kubectl get secret user-cluster-creds --namespace NAMESPACE \
            --kubeconfig KUBECONFIG -o json > backup/user-cluster-creds-NAMESPACE.json
    
    kubectl get secret kube-apiserver --namespace NAMESPACE \
            --kubeconfig KUBECONFIG -o json > backup/kube-apiserver-NAMESPACE.json
  4. Para crear un nuevo archivo de claves de cuenta de servicio, ejecuta el siguiente comando:

    gcloud iam service-accounts keys create NEW_KEY_FILE --iam-account IAM_ACCOUNT

    Reemplaza lo siguiente:

    • NEW_KEY_FILE: es el nombre del archivo de claves de tu cuenta de servicio nueva.
    • IAM_ACCOUNT: La dirección de correo electrónico de la cuenta de servicio
  5. En el archivo de configuración del clúster de administrador, busca el campo componentAccessServiceAccountKeyPath y las secciones gkeConnect, stackdriver y cloudAuditLogging. En esos lugares, reemplaza las rutas de acceso a los archivos de claves de la cuenta de servicio.

  6. En el archivo de configuración del clúster de usuario, busca el campo componentAccessServiceAccountKeyPath y las secciones gkeConnect, stackdriver, cloudAudigLogging y usageMetering. En esos lugares, reemplaza las rutas de acceso a los archivos de claves de la cuenta de servicio.

  7. Guarda los cambios que hiciste con los siguientes comandos:

    gkectl update credentials COMPONENT \
        --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
        --config ADMIN_CLUSTER_CONFIG \
        --admin-cluster
    
    gkectl update credentials COMPONENT \
        --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
        --config USER_CLUSTER_CONFIG
    

    Reemplaza lo siguiente:

    • COMPONENT: uno de componentaccess, register, cloudauditlogging, usagemetering o stackdriver.

    • ADMIN_CLUSTER_KUBECONFIG: la ruta al archivo kubeconfig para el clúster de administrador.

    • ADMIN_CLUSTER_CONFIG: la ruta al archivo de configuración del clúster de administrador.

    • USER_CLUSTER_CONFIG: la ruta de acceso al archivo de configuración del clúster de usuario.

    Algunas rotaciones de claves de cuentas de servicio pueden tardar más tiempo, ya que se requiere volver a crear los nodos:

    Clave de cuenta de servicio Es necesario volver a crear nodos
    Acceso a los componentes
    Registros de auditoría
    Registro y supervisión No.
    Registro de Connect No.
    Medición de uso No.

Restablecer las copias de seguridad

Si necesitas restablecer las copias de seguridad de los Secrets que creaste antes, ejecuta el siguiente comando:

kubectl apply -f backup/