ACK emite credenciales kubeconfig para cuentas de Alibaba Cloud, usuarios de RAM y roles de RAM. Utilice la papelera de reciclaje de kubeconfig para recuperar archivos kubeconfig eliminados accidentalmente o revertir a una versión anterior de kubeconfig.
Requisitos previos
Asegúrese de cumplir con lo siguiente:
Una cuenta de Alibaba Cloud, o un usuario de RAM o rol de RAM con los permisos AliyunCSFullAccess y AliyunRAMReadOnlyAccess
Casos de uso
Recuperación tras eliminación accidental: El administrador A eliminó por error el archivo kubeconfig del usuario B de RAM correspondiente al clúster 1. El usuario B de RAM puede solicitar al administrador A que lo restaure desde la papelera de reciclaje.
Restauración de una versión anterior con permisos RBAC específicos: El administrador A eliminó kubeconfig v1, que contaba con permisos RBAC específicos. El usuario B de RAM obtuvo kubeconfig v2, pero algunas aplicaciones aún dependen de los permisos de v1. Para restaurar v1, el administrador A debe eliminar primero v2 y luego restaurar v1 desde la papelera de reciclaje.
Restaurar archivos kubeconfig
La papelera de reciclaje conserva los archivos kubeconfig eliminados durante 30 días. Transcurrido ese plazo, los archivos se eliminan permanentemente.
Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Authorizations.
-
Haga clic en la pestaña KubeConfig File Management y luego en KubeConfig File Recycle Bin en la esquina superior derecha.
Columna
Descripción
Username y UID
La cuenta de Alibaba Cloud, el usuario de RAM o el rol de RAM asociados al archivo kubeconfig
Certificate CN
El CommonName del certificado de cliente. Consulte CommonNames de certificados de cliente
Cluster Name y Cluster ID
El clúster de ACK para el cual se emitió el archivo kubeconfig
RBAC Permissions
Los permisos RBAC otorgados por el archivo kubeconfig
Recycled At
Fecha y hora en que el archivo kubeconfig se movió a la papelera de reciclaje
Deletion Interval
Momento en que el registro se eliminará permanentemente. Los registros caducan después de 30 días
-
Haga clic en Restore en la columna Actions. Esta acción restaura el archivo kubeconfig y sus permisos RBAC. Para recuperar varios archivos, selecciónelos y haga clic en Batch Restore. Asegúrese de que los archivos seleccionados no presenten conflictos.
Si Restore aparece atenuado, ya existe un archivo kubeconfig activo para esta cuenta de Alibaba Cloud, usuario de RAM o rol de RAM en el clúster. Cada identidad solo puede tener un kubeconfig activo por clúster. Elimine primero el archivo activo y luego restaure la versión histórica. Consulte Delete kubeconfig files .
Eliminar registros de kubeconfig
Elimine permanentemente los registros de kubeconfig de la papelera de reciclaje. Los registros eliminados no se pueden restaurar.
Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, haga clic en Authorizations.
Haga clic en la pestaña KubeConfig File Management y luego en KubeConfig File Recycle Bin en la esquina superior derecha.
Localice el registro que desea eliminar, haga clic en Delete e introduzca el CommonName del certificado de cliente para confirmar.
CommonNames de certificados de cliente
El CommonName del certificado de cliente identifica al cliente que accede a un clúster de ACK mediante el archivo kubeconfig. Consulte kube-apiserver.
En ACK, los CommonNames siguen el formato {UserID}-{SuffixID}:
UserID: El ID del usuario de RAM o del rol de RAMSuffixID: Una cadena aleatoria que cambia cada vez que se revoca o elimina el kubeconfig, lo que impide la reutilización de versiones anteriores
Preguntas frecuentes
¿Por qué un usuario de RAM tiene varios registros de kubeconfig para el mismo clúster en la papelera de reciclaje?
Cada vez que se revoca o elimina un archivo kubeconfig, el sufijo del CommonName cambia y se crea un nuevo registro. Este comportamiento es esperado; los múltiples registros reflejan el historial de kubeconfig de la identidad.
¿Cómo identifico el registro correcto para restaurar?
Revise la columna RBAC Permissions para encontrar el registro con los permisos que necesita. Si esto no es suficiente, extraiga el CommonName de su archivo kubeconfig actual y compárelo con la columna Certificate CN:
openssl x509 -in <(kubectl config view --kubeconfig {Kubeconfig file name} --raw --minify --output=jsonpath='{.users[0].user.client-certificate-data}'|base64 -d) -noout -subject¿Qué causa que falle la restauración de kubeconfig?
Permisos RBAC insuficientes: La restauración también recupera los permisos RBAC. Si carece de los permisos obligatorios en el clúster, la restauración fallará. Otórguelos primero. Consulte Grant RBAC permissions to RAM users or RAM roles.
Estado anómalo del clúster: La restauración falla si el clúster se encuentra en un estado anómalo y no es accesible.
Conflicto de kubeconfig: Ya existe un archivo kubeconfig activo para la misma identidad en el clúster. Durante la restauración por lotes, ACK restaura el registro más reciente y omite los conflictos.
Siguientes pasos
Elimine los archivos kubeconfig emitidos a ex empleados o que puedan representar riesgos de seguridad. Consulte Delete kubeconfig files.
Si un archivo kubeconfig activo ha quedado expuesto o comprometido, revóquelo y emita uno nuevo. Consulte Revoke a KubeConfig file.