Rotacionando Credenciais do Cluster

Descubra como rotacionar as credenciais dos clusters que você criou usando o Kubernetes Engine (OKE).

Para ativar a comunicação TLS segura (anteriormente SSL) de, para e dentro de clusters, o Kubernetes usa certificados PKI (Infraestrutura de Chave Pública) para autenticação. Para obter mais informações sobre certificados PKI e clusters do Kubernetes, consulte Certificados e requisitos PKI na documentação do Kubernetes.

Os clusters criados com o Kubernetes Engine têm CAs raiz PKI (Autoridades de Certificação) e chaves privadas para o cluster, o componente etcd e o componente front-proxy. Esses CAs raiz são usados para assinar os certificados e as chaves privadas usados no cluster. As CAs raiz, os certificados assinados e as chaves privadas usadas no cluster são coletivamente conhecidos como credenciais do cluster.

Em clusters que você cria com o Kubernetes Engine, as CAs raiz expiram após cinco anos. Para continuar usando um cluster, você precisa alterar (ou 'rotar') as credenciais do cluster antes do final do período de cinco anos. Além disso, sua organização pode ter diretrizes e políticas de segurança em vigor que exigem que você rotacione as credenciais do cluster com mais frequência (em alguns casos, com muito mais frequência). As mensagens informando sobre a expiração futura da credencial do cluster são mostradas na Console. Você também pode usar a Console, a CLI e a API para descobrir quando as credenciais do cluster estão prestes a expirar.

Ao rotacionar credenciais de cluster, você precisa atualizar clientes da API do Kubernetes que estavam usando as credenciais anteriores para se comunicar com a API do Kubernetes. Esses clientes da API do Kubernetes incluem arquivos kubeconfig e pods que se comunicam diretamente com a API do Kubernetes.

A rotação de credenciais do cluster é um processo de três etapas:

• Etapa 1, Iniciar a fase Iniciar Rotação de Credencial: Durante a fase Iniciar Rotação de Credencial, novas CAs raiz, chaves privadas e certificados são criados. Você pode iniciar a fase Iniciar Rotação de Credencial a qualquer momento, mas deve iniciar a rotação de credencial antes que as credenciais expirem. Iniciar a rotação da credencial antes que as credenciais expirem também evitará a interrupção do serviço.

  Ao iniciar a fase Iniciar Rotação de Credencial, você especifica explicitamente a duração de um 'período de atraso' antes que a fase Concluir Rotação de Credencial seja iniciada automaticamente. O período de atraso permite atualizar clientes da API do Kubernetes (Etapa 2). Durante o período de atraso, as credenciais legadas e as novas credenciais fornecem comunicação segura de, para e dentro do cluster. O período de atraso especificado não deve ser inferior a 1 dia e não superior a 90 dias. Você pode iniciar manualmente a fase Concluir Rotação de Credencial antes do final do período de atraso, desde que as novas credenciais tenham pelo menos 24 horas de duração e você tenha concluído com sucesso a Etapa 2.

  Não inicie a Etapa 2 até que as novas CAs raiz, chaves privadas e certificados tenham sido criados.

  Observação
  
  Ao usar a CLI ou a API para iniciar a fase Iniciar Rotação de Credencial, especifique a duração do período de atraso no formato de duração ISO 8601. Por exemplo:

  • use P5D para especificar cinco dias
  • use P5DT5H para especificar cinco dias e cinco horas
  • use P5DT5H5M para especificar cinco dias, cinco horas e cinco minutos

  Para obter mais informações sobre o formato de duração ISO 8601, pesquise on-line.

• Etapa 2, Atualizar clientes de API do Kubernetes: Quando as novas CAs raiz, chaves privadas e certificados forem criados e dentro do período de atraso especificado (não menos de 1 dia e não mais de 90 dias):
  • Configure novos arquivos kubeconfig para permitir o acesso ao cluster usando as novas credenciais e as credenciais legadas.
  • Recrie ou reinicie os nós de trabalho que hospedam pods que se comunicam diretamente com o Servidor de API do Kubernetes (ou, para evitar a interrupção nos nós de trabalho, simplesmente reinicie os próprios pods). Se o cluster contiver nós virtuais, reinicie todos os pods em execução nos nós virtuais.

  Não inicie a Etapa 3 até que você tenha configurado novos arquivos kubeconfig e tenha recriado ou reiniciado nós de trabalho (ou simplesmente reiniciado os pods).

• Etapa 3, Iniciar a fase Concluir Rotação da Credencial: Quando tiver concluído a Etapa 2 e dentro do período de atraso especificado (não menos de 1 dia e não mais de 90 dias), você poderá iniciar manualmente a fase Concluir Rotação da Credencial. Durante a fase Rotação Completa de Credenciais, os CAs raiz legados, as chaves privadas e os certificados são retirados e removidos. Inicie a fase Concluir Rotação de Credencial até 24 horas depois de iniciar a fase Iniciar Rotação de Credencial e somente depois de concluir a etapa 2. Desde que as novas credenciais tenham pelo menos 24 horas de duração, você poderá iniciar a fase de Rotação Completa de Credenciais assim que estiver pronto.

  Se você não iniciar manualmente a fase Concluir Rotação de Credencial durante o período de atraso especificado (não menos de 1 dia e não mais de 90 dias), a fase Concluir Rotação de Credencial será iniciada automaticamente no final do período de atraso.

  Quando a fase Concluir Rotação de Credencial estiver concluída, recomendamos substituir qualquer arquivo kubeconfig criado durante a etapa 2 (que conterá as credenciais legadas e as novas credenciais) por um novo arquivo kubeconfig que contenha apenas as novas credenciais. Se o cluster contiver nós virtuais, também recomendamos reiniciar todos os pods em execução nos nós virtuais.

A fase Iniciar Rotação da Credencial e a fase Concluir Rotação da Credencial são geradas como solicitações de serviço separadas. Para rastrear o andamento da fase Iniciar Rotação da Credencial e da fase Concluir Rotação da Credencial, exiba o status da solicitação de serviço correspondente. Consulte Exibindo Solicitações de Serviço.

Você pode rotacionar credenciais do cluster usando a Console, a CLI e a API.

Observe o seguinte ao rotacionar credenciais de cluster:

• A rotação de credenciais é suportada para clusters que executam o Kubernetes versão 1.20 ou posterior.
• O simples upgrade da versão do Kubernetes no plano de controle do cluster não rotaciona as credenciais. É necessário concluir todas as etapas do processo de rotação de credenciais.
• A fase Iniciar Rotação de Credencial e a fase Concluir Rotação de Credencial só podem começar quando todos os nós de trabalho no cluster (nós gerenciados, nós virtuais, nós autogerenciados) tiverem um status de PRONTO. Se o status de um ou mais nós de trabalho for alterado para NOT READY durante a rotação da credencial, as operações de rotação da credencial serão pausadas por até 24 horas, aguardando que todos os nós tenham novamente o status READY antes de serem retomados. Se um ou mais nós de trabalho ainda tiverem o status NOT READY após 24 horas, o tempo limite das operações de rotação de credenciais.
• Se a fase Iniciar Rotação de Credencial ou Concluir Rotação de Credencial falhar por algum motivo, as credenciais legadas continuarão funcionando e não serão desativadas até que expirem.
• Se você não iniciar manualmente a fase Concluir Rotação de Credencial dentro do período de atraso especificado (não menos de 1 dia e não mais de 90 dias), a fase Concluir Rotação de Credencial será iniciada automaticamente. Se você não tiver atualizado os clientes da API do Kubernetes antes do final do período de atraso, o cluster experimentará a interrupção do serviço.