Dienstkontoschlüssel rotieren

Auf dieser Seite wird beschrieben, wie Sie Schlüssel für die folgenden Dienstkonten rotieren:

So rotieren Sie Ihre Dienstkontoschlüssel:

  1. Erstellen Sie ein Verzeichnis zum Speichern einer Sicherung Ihrer aktuellen Secrets:

    mkdir backup

  2. Beachten Sie die folgenden Informationen für das entsprechende Dienstkonto:

    Komponentenzugriff

    Cluster Secret Namespace
    Admin admin-cluster-creds kube-system
    Admin user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Admin private-registry-creds kube-system
    Nutzer private-registry-creds kube-system
    • Wenn Sie keine private Registry verwenden, enthält das private-registry-creds-Secret den Schlüssel für Ihr Dienstkonto für den Komponentenzugriff.
    • Wenn Sie eine private Registry verwenden, enthält das private-registry-creds-Secret die Anmeldedaten für Ihre private Registry, jedoch nicht den Dienstkontoschlüssel für den Komponentenzugriff.

    Connect-register

    Cluster Secret Namespace
    Admin admin-cluster-creds kube-system
    Admin user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt

    Logging-monitoring

    Cluster Secret Namespace
    Admin admin-cluster-creds kube-system
    Admin user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Nutzer google-cloud-credentials kube-system
    Nutzer stackdriver-service-account-key knative-serving

    Audit-Logging

    Cluster Secret Namespace
    Admin admin-cluster-creds kube-system
    Admin user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Admin kube-apiserver CLUSTER_NAME

    Nutzungsmessung

    Cluster Secret Namespace
    Admin user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Nutzer usage-metering-bigquery-service-account-key kube-system

    Stackdriver

    Cluster Secret Namespace
    Admin admin-cluster-creds kube-system
    Admin user-cluster-creds CLUSTER_NAME-gke-onprem-mgmt
    Nutzer google-cloud-credentials kube-system
    Nutzer stackdriver-service-account-key knative-serving

  3. Erstellen Sie mit dem folgenden Befehl eine Sicherung jedes Secrets:

    kubectl get secret SECRET --namespace NAMESPACE \
    --kubeconfig KUBECONFIG -o json > backup/SECRET-NAMESPACE.json

    Dabei gilt:

    • NAMESPACE: der Namespace, in dem sich das Secret befindet. Beispiel: kube-system.
    • KUBECONFIG: der Pfad zur kubeconfig-Datei für den Administrator- oder Nutzercluster.
    • SECRET: der Name des Secrets. Beispiel: admin-cluster-creds.

    Führen Sie beispielsweise die folgenden Befehle für das Audit-Logging-Dienstkonto aus:

    kubectl get secret admin-cluster-creds --namespace kube-system \
        --kubeconfig KUBECONFIG -o json > backup/admin-cluster-creds-kube-system.json

kubectl get secret user-cluster-creds --namespace NAMESPACE \
        --kubeconfig KUBECONFIG -o json > backup/user-cluster-creds-NAMESPACE.json

kubectl get secret kube-apiserver --namespace NAMESPACE \
        --kubeconfig KUBECONFIG -o json > backup/kube-apiserver-NAMESPACE.json

  4. Führen Sie den folgenden Befehl aus, um eine neue Dienstkonto-Schlüsseldatei zu erstellen:

    gcloud iam service-accounts keys create NEW_KEY_FILE --iam-account IAM_ACCOUNT

    Dabei gilt:

    • NEW_KEY_FILE: der Name Ihrer neuen Dienstkonto-Schlüsseldatei.
    • IAM_ACCOUNT: die E-Mail-Adresse des Dienstkontos.

  5. Suchen Sie in der Konfigurationsdatei des Administratorclusters das Feld componentAccessServiceAccountKeyPath, den Abschnitt gkeConnect, den Abschnitt stackdriver und den Abschnitt cloudAuditLogging. Ersetzen Sie an diesen Stellen die Pfade zu den Dienstkontoschlüsseldateien.

  6. Suchen Sie in der Konfigurationsdatei des Nutzerclusters das Feld componentAccessServiceAccountKeyPath, den Abschnitt gkeConnect, den Abschnitt stackdriver, den Abschnitt cloudAudigLogging und den Abschnitt usageMetering. Ersetzen Sie an diesen Stellen die Pfade zu den Dienstkontoschlüsseldateien.

  7. Speichern Sie die Änderungen, die Sie mit den folgenden Befehlen vorgenommen haben. Sie können die Tasten für eine Komponente nacheinander oder alle Tasten gleichzeitig drehen, indem Sie die Komponente auf sakeys setzen:

    gkectl update credentials COMPONENT \
    --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
    --config ADMIN_CLUSTER_CONFIG \
    --admin-cluster

gkectl update credentials COMPONENT \
    --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
    --config USER_CLUSTER_CONFIG

    Dabei gilt:

    • COMPONENT: eine der folgenden Optionen:

      • componentaccess
      • register
      • cloudauditlogging
      • usagemetering
      • stackdriver
      • sakeys (Schlüssel für mehrere Komponenten rotieren.)

    • ADMIN_CLUSTER_KUBECONFIG: der Pfad zur kubeconfig-Datei für den Administratorcluster.

    • ADMIN_CLUSTER_CONFIG: der Pfad zur Konfigurationsdatei des Administratorclusters.

    • USER_CLUSTER_CONFIG: der Pfad zur Konfigurationsdatei des Nutzerclusters.

Knoten neu erstellen

Einige Dienstkontoschlüsselrotationen können länger dauern, da der Knoten neu erstellt werden muss:

Dienstkonto Knoten müssen neu erstellt werden
Komponentenzugriff Bei Verwendung der Container Registry: Ja
Bei Verwendung einer privaten Registry: Nein
Audit-Logging Administratorcluster: Ja
Nutzercluster mit aktivierter Steuerungsebene V2: Ja, aber nur Knoten der Steuerungsebene
Logging-monitoring Nein
Connect-register Nein
Nutzungsmessung Nein

Bei einer Schlüsselrotation, bei der Knoten neu erstellt werden müssen, werden die Knoten in einem schrittweisen Aktualisierungsprozess ersetzt, d. h., die Knoten werden einzeln neu erstellt.

Die mögliche Ausfallzeit bei einer Schlüsselrotation ist mit der Ausfallzeit bei einem Clusterupgrade vergleichbar. Weitere Informationen finden Sie unter Ausfallzeiten bei Upgrades.

Sicherungen wiederherstellen

Wenn Sie die Sicherungen der zuvor erstellten Secrets wiederherstellen müssen, führen Sie den folgenden Befehl aus:

kubectl apply -f backup/