Aggiornamento dell'agente Connect in un cluster

Questa pagina descrive come aggiornare la versione dell'agente Connect o ruotare la chiave dell'account di servizio dell'agente Connect.

Aggiornamenti di Connect Agent

Periodicamente, l'Agente Connect viene aggiornato automaticamente senza causare interruzioni.

Tuttavia, puoi anche aggiornare manualmente l'agente Connect alla versione più recente registrando un cluster. gcloud recupera l'ultimo agente Connect disponibile e lo reinstalla nel cluster.

Nota: il processo di aggiornamento manuale elimina lo spazio dei nomi agente Connect esistente e reinstalla la versione più recente delle risorse Connect. Durante l'aggiornamento potresti riscontrare una breve disconnessione. Se la connessione a Google non viene ristabilita dopo cinque minuti, vai a Risoluzione dei problemi.

Ruota la chiave dell'account di servizio dell'agente Connect

È consigliabile ruotare regolarmente credenziali di lunga durata come le chiavi degli account di servizio. Per ruotare la chiave dell'account di servizio utilizzata dall'agente Connect, esegui questi passaggi:

1. Preparati:

   PROJECT=[PROJECT_ID]
   NAMESPACE=$(kubectl get ns -o jsonpath={.items..metadata.name} -l hub.gke.io/project)
   SERVICE_ACCOUNT=$(kubectl get secrets -n $NAMESPACE creds-gcp \
   -o jsonpath='{.data.creds-gcp\.json}' |  base64 -d | grep client_email \
   | awk '{print $2}' | tr -d '",')
   OLD_KEY_ID=$(kubectl get secrets -n $NAMESPACE creds-gcp \
   -o jsonpath='{.data.creds-gcp\.json}' |  base64 -d | grep private_key_id \
   | awk '{print $2}' | tr -d '",')
   

   dove [PROJECT_ID] è l'ID progetto univoco del tuo progetto. Puoi trovarlo nella console Google Cloud o eseguendo gcloud config get-value project.

2. Crea una nuova chiave:

   gcloud iam service-accounts keys create --iam-account=$SERVICE_ACCOUNT creds-gcp.json
   

3. Sovrascrivi la chiave esistente nell'agente:

   L'agente verrà riavviato con il nuovo secret e ristabilirà il tunnel con nuove credenziali.

   kubectl create secret -n $NAMESPACE generic creds-gcp \
   --from-file=./creds-gcp.json --dry-run -o yaml  | kubectl replace -f  -
   

4. Controlla i log sul pod dell'agente per assicurarti che sia connesso:

   kubectl logs -n $NAMESPACE -l app=gke-connect-agent
   

5. Elimina la vecchia chiave:

   gcloud iam service-accounts keys delete --iam-account=$SERVICE_ACCOUNT $OLD_KEY_ID
   

6. Elimina la copia locale della nuova chiave:

   Ti suggeriamo di non conservare la chiave. Se perdi la chiave e devi reinstallare l'agente, ti consigliamo di ruotare la chiave.

   shred creds-gcp.json