Aggiornamento dell'agente Connect in un cluster

Questa pagina descrive come aggiornare la versione di Connect Agent o ruotare la chiave dell'account di servizio Connect Agent.

Aggiornamenti di Connect Agent

Periodicamente, l'agente Connect viene aggiornato automaticamente in modo non invasivo.

Tuttavia, puoi anche aggiornare manualmente l'agente Connect alla versione più recente registrando un cluster. gcloud recupera l'agente Connect più recente disponibile e lo reinstalla nel cluster.

Nota: la procedura di aggiornamento manuale elimina lo spazio dei nomi di Connect Agent esistente e reinstalla la versione più recente delle risorse di Connect. Potresti riscontrare una breve disconnessione durante l'aggiornamento. Se la connessione a Google non viene ristabilita dopo cinque minuti, vai alla sezione Risoluzione dei problemi.

Ruota la chiave dell'account di servizio Connect Agent

È buona norma ruotare regolarmente le credenziali a vita lunga, come le chiavi dell'account di servizio. Per ruotare la chiave dell'account di servizio utilizzata da Connect Agent, esegui i seguenti passaggi:

1. Preparati:

   PROJECT=[PROJECT_ID]
   NAMESPACE=$(kubectl get ns -o jsonpath={.items..metadata.name} -l hub.gke.io/project)
   SERVICE_ACCOUNT=$(kubectl get secrets -n $NAMESPACE creds-gcp \
   -o jsonpath='{.data.creds-gcp\.json}' |  base64 -d | grep client_email \
   | awk '{print $2}' | tr -d '",')
   OLD_KEY_ID=$(kubectl get secrets -n $NAMESPACE creds-gcp \
   -o jsonpath='{.data.creds-gcp\.json}' |  base64 -d | grep private_key_id \
   | awk '{print $2}' | tr -d '",')
   

   dove [PROJECT_ID] è l'ID progetto univoco del progetto. Puoi trovarlo nella console Google Cloud o eseguendogcloud config get-value project.

2. Crea una nuova chiave:

   gcloud iam service-accounts keys create --iam-account=$SERVICE_ACCOUNT creds-gcp.json
   

3. Sovrascrivi la chiave esistente sull'agente:

   L'agente verrà riavviato con il nuovo secret e il tunnel verrà ristabilito con le nuove credenziali.

   kubectl create secret -n $NAMESPACE generic creds-gcp \
   --from-file=./creds-gcp.json --dry-run -o yaml  | kubectl replace -f  -
   

4. Controlla i log del pod dell'agente per assicurarti che sia di nuovo connesso:

   kubectl logs -n $NAMESPACE -l app=gke-connect-agent
   

5. Elimina la vecchia chiave:

   gcloud iam service-accounts keys delete --iam-account=$SERVICE_ACCOUNT $OLD_KEY_ID
   

6. Elimina la copia locale della nuova chiave:

   Ti consigliamo di non conservare la chiave. Se perdi la chiave e devi reinstallare l'agente, ti consigliamo di ruotarla.

   shred creds-gcp.json