サービス アカウント キーのローテーション

このページでは、次のサービス アカウント キーをローテーションする方法について説明します。

サービス アカウント キーをローテーションするには:

  1. 現在のシークレットのバックアップを保存するディレクトリを作成します。

    mkdir backup
  2. 関連するサービス アカウントについて、次の情報をメモします。

    コンポーネント アクセス

    クラスタ シークレット 名前空間
    管理者 admin-cluster-creds kube-system
    管理者 user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    管理者 private-registry-creds kube-system
    ユーザー private-registry-creds kube-system
    • 非公開レジストリを使用していない場合、private-registry-creds Secret はコンポーネント アクセス サービス アカウント キーを保持します。
    • 非公開レジストリを使用している場合は、private-registry-creds Secret には、コンポーネント アクセス サービス アカウント キーではなく、非公開レジストリの認証情報が保持されます。

    Connect-register

    クラスタ シークレット 名前空間
    管理者 admin-cluster-creds kube-system
    管理者 user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt

    Logging-monitoring

    クラスタ シークレット 名前空間
    管理者 admin-cluster-creds kube-system
    管理者 user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    ユーザー google-cloud-credentials kube-system
    ユーザー stackdriver-service-account-key knative-serving

    監査ロギング

    クラスタ シークレット 名前空間
    管理者 admin-cluster-creds kube-system
    管理者 user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    管理者 kube-apiserver CLUSTER_NAME

    使用状況測定

    クラスタ シークレット 名前空間
    管理者 user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    ユーザー usage-metering-bigquery-service-account-key kube-system

    Stackdriver

    クラスタ シークレット 名前空間
    管理者 admin-cluster-creds kube-system
    管理者 user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    ユーザー google-cloud-credentials kube-system
    ユーザー stackdriver-service-account-key knative-serving
  3. 次のコマンドを使用して、各シークレットのバックアップを作成します。

    kubectl get secret SECRET --namespace NAMESPACE \
        --kubeconfig KUBECONFIG -o json > backup/SECRET-NAMESPACE.json

    次のように置き換えます。

    • NAMESPACE は、シークレットが配置されている名前空間です。例: kube-system
    • KUBECONFIG: 管理クラスタまたはユーザー クラスタの kubeconfig ファイルへのパス。
    • SECRET: Secret の名前。例: admin-cluster-creds

    たとえば、監査ロギング サービス アカウントに対する次のコマンドを実行します。

    kubectl get secret admin-cluster-creds --namespace kube-system \
            --kubeconfig KUBECONFIG -o json > backup/admin-cluster-creds-kube-system.json
    
    kubectl get secret user-cluster-creds --namespace NAMESPACE \
            --kubeconfig KUBECONFIG -o json > backup/user-cluster-creds-NAMESPACE.json
    
    kubectl get secret kube-apiserver --namespace NAMESPACE \
            --kubeconfig KUBECONFIG -o json > backup/kube-apiserver-NAMESPACE.json
  4. 新しいサービス アカウント キー ファイルを作成するには、次のコマンドを実行します。

    gcloud iam service-accounts keys create NEW_KEY_FILE --iam-account IAM_ACCOUNT

    次のように置き換えます。

    • NEW_KEY_FILE: 新しいサービス アカウント キー ファイルの名前
    • IAM_ACCOUNT: サービス アカウントのメールアドレス。
  5. 管理クラスタの構成ファイルで、componentAccessServiceAccountKeyPath フィールド、gkeConnect セクション、stackdriver セクション、cloudAuditLogging セクションを見つけます。これらの場所では、サービス アカウント キー ファイルへのパスを置き換えてください。

  6. ユーザー クラスタの構成ファイルで、componentAccessServiceAccountKeyPath フィールド、gkeConnect セクション、stackdriver セクション、cloudAudigLoggingusageMetering を見つけます。これらの場所では、サービス アカウント キー ファイルへのパスを置き換えてください。

  7. 次のコマンドを実行して、変更を保存します。一度に 1 つのコンポーネントの鍵をローテーションすることも、コンポーネントを sakeys に設定してすべての鍵を一度にローテーションすることもできます。

    gkectl update credentials COMPONENT \
        --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
        --config ADMIN_CLUSTER_CONFIG \
        --admin-cluster
    
    gkectl update credentials COMPONENT \
        --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
        --config USER_CLUSTER_CONFIG
    

    次のように置き換えます。

    • COMPONENT: 次のいずれか。

      • componentaccess
      • register
      • cloudauditlogging
      • usagemetering
      • stackdriver
      • sakeys(複数のコンポーネントの鍵をローテーションします)
    • ADMIN_CLUSTER_KUBECONFIG は、管理クラスタの kubeconfig ファイルのパスです。

    • ADMIN_CLUSTER_CONFIG: 管理クラスタの構成ファイルへのパス。

    • USER_CLUSTER_CONFIG: ユーザー クラスタの構成ファイルへのパス。

ノードの再作成

一部のサービス アカウント キーのローテーションでは、ノードの再作成が必要なため、さらに時間がかかることがあります。

サービス アカウント ノードの再作成が必要
コンポーネント アクセス Container Registry を使用する場合: はい
非公開レジストリを使用する場合: いいえ
監査ロギング 管理クラスタ: はい
Contrlplane V2 が有効になっているユーザー クラスタ: はい、ただし、コントロール プレーン ノードのみ。
logging-monitoring ×
connect-register ×
使用状況測定 ×

ノードの再作成が必要な鍵のローテーションでは、ノードはローリング アップデート プロセスで置き換えられます。つまり、ノードは 1 つずつ再作成されます。

鍵のローテーション中に発生する可能性のあるダウンタイムは、クラスタのアップグレード時のダウンタイムと同様です。詳細については、アップグレード中のダウンタイムをご覧ください。

バックアップの復元

前の手順で作成したシークレットのバックアップを復元する必要がある場合は、次のコマンドを実行します。

kubectl apply -f backup/