Aggiornamento dell'agente Connect in un cluster

In questa pagina viene descritto come aggiornare la versione dell'agente Connect, o ruotare la chiave dell'account di servizio dell'agente Connect.

Aggiornamenti di Connect Agent

Periodicamente, l'agente Connect viene aggiornato automaticamente senza causare interruzioni.

Tuttavia, puoi anche aggiornare manualmente l'agente Connect alla versione più recente registrando un cluster. gcloud recupera l'agente Connect più recente disponibile e lo reinstalla nel cluster.

Nota: il processo di aggiornamento manuale elimina lo spazio dei nomi di Connect Agent esistente e reinstalla la versione più recente delle risorse Connect. Potresti riscontrare una breve disconnessione durante l'aggiornamento. Se la connessione a Google non viene ristabilita dopo cinque minuti, vai alla sezione Risoluzione dei problemi.

Ruota la chiave dell'account di servizio dell'agente Connect

È buona norma ruotare regolarmente le credenziali a vita lunga, come le chiavi dell'account di servizio. Per ruotare la chiave dell'account di servizio utilizzata da Connect Agent, segui questi passaggi:

1. Preparati:

   PROJECT=[PROJECT_ID]
   NAMESPACE=$(kubectl get ns -o jsonpath={.items..metadata.name} -l hub.gke.io/project)
   SERVICE_ACCOUNT=$(kubectl get secrets -n $NAMESPACE creds-gcp \
   -o jsonpath='{.data.creds-gcp\.json}' |  base64 -d | grep client_email \
   | awk '{print $2}' | tr -d '",')
   OLD_KEY_ID=$(kubectl get secrets -n $NAMESPACE creds-gcp \
   -o jsonpath='{.data.creds-gcp\.json}' |  base64 -d | grep private_key_id \
   | awk '{print $2}' | tr -d '",')
   

   dove [PROJECT_ID] è l'ID progetto univoco del tuo progetto. Puoi trovarlo nella console Google Cloud o eseguendogcloud config get-value project.

2. Crea una nuova chiave:

   gcloud iam service-accounts keys create --iam-account=$SERVICE_ACCOUNT creds-gcp.json
   

3. Sovrascrivi la chiave esistente nell'agente:

   L'agente verrà riavviato con il nuovo secret e il tunnel verrà ristabilito con le nuove credenziali.

   kubectl create secret -n $NAMESPACE generic creds-gcp \
   --from-file=./creds-gcp.json --dry-run -o yaml  | kubectl replace -f  -
   

4. Controlla i log del pod dell'agente per assicurarti che sia di nuovo connesso:

   kubectl logs -n $NAMESPACE -l app=gke-connect-agent
   

5. Elimina la vecchia chiave:

   gcloud iam service-accounts keys delete --iam-account=$SERVICE_ACCOUNT $OLD_KEY_ID
   

6. Elimina la copia locale della nuova chiave:

   Ti consigliamo di non conservare la chiave. Se perdi la chiave e devi reinstallare l'agente, ti consigliamo di ruotarla.

   shred creds-gcp.json