サービス アカウント キーのローテーション

このページでは、次のサービス アカウント キーをローテーションする方法について説明します。

• コンポーネント アクセス
• Connect-register
• Logging-monitoring
• 監査ロギング
• 使用状況測定

サービス アカウント キーをローテーションするには:

1. 現在のシークレットのバックアップを保存するディレクトリを作成します。

   mkdir backup

2. 関連するサービス アカウントについて、次の情報をメモします。

   コンポーネント アクセス

   クラスタ	シークレット	名前空間
   管理者	admin-cluster-creds	kube-system
   管理者	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   管理者	private-registry-creds	kube-system
   ユーザー	private-registry-creds	kube-system

   • 非公開レジストリを使用していない場合、private-registry-creds Secret はコンポーネント アクセス サービス アカウント キーを保持します。
   • 非公開レジストリを使用している場合は、private-registry-creds Secret には、コンポーネント アクセス サービス アカウント キーではなく、非公開レジストリの認証情報が保持されます。

   Connect-register

   クラスタ	シークレット	名前空間
   管理者	admin-cluster-creds	kube-system
   管理者	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt

   Logging-monitoring

   クラスタ	シークレット	名前空間
   管理者	admin-cluster-creds	kube-system
   管理者	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   ユーザー	google-cloud-credentials	kube-system
   ユーザー	stackdriver-service-account-key	knative-serving

   監査ロギング

   クラスタ	シークレット	名前空間
   管理者	admin-cluster-creds	kube-system
   管理者	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   管理者	kube-apiserver	CLUSTER_NAME

   使用状況測定

   クラスタ	シークレット	名前空間
   管理者	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   ユーザー	usage-metering-bigquery-service-account-key	kube-system

   Stackdriver

   クラスタ	シークレット	名前空間
   管理者	admin-cluster-creds	kube-system
   管理者	user-cluster-creds	CLUSTER_NAME-gke-onprem-mgmt
   ユーザー	google-cloud-credentials	kube-system
   ユーザー	stackdriver-service-account-key	knative-serving

3. 次のコマンドを使用して、各シークレットのバックアップを作成します。

   kubectl get secret SECRET --namespace NAMESPACE \
       --kubeconfig KUBECONFIG -o json > backup/SECRET-NAMESPACE.json

   次のように置き換えます。

   • NAMESPACE は、シークレットが配置されている名前空間です。例: kube-system
   • KUBECONFIG: 管理クラスタまたはユーザー クラスタの kubeconfig ファイルへのパス。
   • SECRET: Secret の名前。例: admin-cluster-creds

   たとえば、監査ロギング サービス アカウントに対する次のコマンドを実行します。

   kubectl get secret admin-cluster-creds --namespace kube-system \
           --kubeconfig KUBECONFIG -o json > backup/admin-cluster-creds-kube-system.json
   
   kubectl get secret user-cluster-creds --namespace NAMESPACE \
           --kubeconfig KUBECONFIG -o json > backup/user-cluster-creds-NAMESPACE.json
   
   kubectl get secret kube-apiserver --namespace NAMESPACE \
           --kubeconfig KUBECONFIG -o json > backup/kube-apiserver-NAMESPACE.json

4. 新しいサービス アカウント キー ファイルを作成するには、次のコマンドを実行します。

   gcloud iam service-accounts keys create NEW_KEY_FILE --iam-account IAM_ACCOUNT

   次のように置き換えます。

   • NEW_KEY_FILE: 新しいサービス アカウント キー ファイルの名前
   • IAM_ACCOUNT: サービス アカウントのメールアドレス。

5. 管理クラスタの構成ファイルで、componentAccessServiceAccountKeyPath フィールド、gkeConnect セクション、stackdriver セクション、cloudAuditLogging セクションを見つけます。これらの場所では、サービス アカウント キー ファイルへのパスを置き換えてください。

6. ユーザー クラスタの構成ファイルで、componentAccessServiceAccountKeyPath フィールド、gkeConnect セクション、stackdriver セクション、cloudAudigLogging、usageMetering を見つけます。これらの場所では、サービス アカウント キー ファイルへのパスを置き換えてください。

7. 次のコマンドを実行して、変更を保存します。一度に 1 つのコンポーネントの鍵をローテーションすることも、コンポーネントを sakeys に設定してすべての鍵を一度にローテーションすることもできます。

   gkectl update credentials COMPONENT \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config ADMIN_CLUSTER_CONFIG \
       --admin-cluster
   
   gkectl update credentials COMPONENT \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config USER_CLUSTER_CONFIG
   

   次のように置き換えます。

   • COMPONENT: 次のいずれか。

     • componentaccess
     • register
     • cloudauditlogging
     • usagemetering
     • stackdriver
     • sakeys（複数のコンポーネントの鍵をローテーションします）

   • ADMIN_CLUSTER_KUBECONFIG は、管理クラスタの kubeconfig ファイルのパスです。

   • ADMIN_CLUSTER_CONFIG: 管理クラスタの構成ファイルへのパス。

   • USER_CLUSTER_CONFIG: ユーザー クラスタの構成ファイルへのパス。

ノードの再作成

一部のサービス アカウント キーのローテーションでは、ノードの再作成が必要なため、さらに時間がかかることがあります。

サービス アカウント	ノードの再作成が必要
コンポーネント アクセス	Container Registry を使用する場合: はい 非公開レジストリを使用する場合: いいえ
監査ロギング	管理クラスタ: はい Contrlplane V2 が有効になっているユーザー クラスタ: はい、ただし、コントロール プレーン ノードのみ。
logging-monitoring	×
connect-register	×
使用状況測定	×

ノードの再作成が必要な鍵のローテーションでは、ノードはローリング アップデート プロセスで置き換えられます。つまり、ノードは 1 つずつ再作成されます。

鍵のローテーション中に発生する可能性のあるダウンタイムは、クラスタのアップグレード時のダウンタイムと同様です。詳細については、アップグレード中のダウンタイムをご覧ください。

バックアップの復元

前の手順で作成したシークレットのバックアップを復元する必要がある場合は、次のコマンドを実行します。

kubectl apply -f backup/