ACK délivre des identifiants kubeconfig pour les comptes Alibaba Cloud, les utilisateurs RAM et les rôles RAM. Utilisez la corbeille des fichiers kubeconfig pour récupérer des fichiers supprimés par erreur ou revenir à une version précédente.
Prérequis
Vérifiez les conditions suivantes :
Vous disposez d'un compte Alibaba Cloud, ou d'un utilisateur ou rôle RAM ayant les autorisations AliyunCSFullAccess et AliyunRAMReadOnlyAccess.
Cas d'utilisation
Récupération après une suppression accidentelle : l'administrateur A a supprimé par erreur le fichier kubeconfig de l'utilisateur RAM B pour le cluster 1. L'utilisateur RAM B peut demander à l'administrateur A de le restaurer depuis la corbeille.
Restauration d'une version antérieure avec des autorisations RBAC spécifiques : l'administrateur A a supprimé le kubeconfig v1, qui disposait d'autorisations RBAC spécifiques. L'utilisateur RAM B a obtenu le kubeconfig v2, mais certaines applications dépendent encore des autorisations de la version v1. Pour restaurer la version v1, l'administrateur A doit d'abord supprimer la version v2, puis restaurer la version v1 depuis la corbeille.
Restaurer des fichiers kubeconfig
La corbeille conserve les fichiers kubeconfig supprimés pendant 30 jours. Passé ce délai, ils sont définitivement supprimés.
Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Authorizations.
-
Cliquez sur l'onglet KubeConfig File Management, puis sur KubeConfig File Recycle Bin en haut à droite.
Colonne Description Username et UID Compte Alibaba Cloud, utilisateur RAM ou rôle RAM associé au fichier kubeconfig Certificate CN CommonName du certificat client. Voir la section CommonNames des certificats clients Cluster Name et Cluster ID Cluster ACK pour lequel le fichier kubeconfig a été émis RBAC Permissions Autorisations RBAC accordées par le fichier kubeconfig Recycled At Date de déplacement du fichier kubeconfig vers la corbeille Deletion Interval Date de suppression définitive de l'enregistrement. Les enregistrements expirent après 30 jours -
Dans la colonne Actions, cliquez sur Restore pour restaurer le fichier kubeconfig et ses autorisations RBAC. Pour récupérer plusieurs fichiers, sélectionnez-les et cliquez sur Batch Restore. Vérifiez l'absence de conflits entre les fichiers sélectionnés.
Si l'option Restore est grisée, un fichier kubeconfig actif existe déjà pour ce compte Alibaba Cloud, cet utilisateur RAM ou ce rôle RAM sur le cluster. Chaque identité ne peut disposer que d'un seul fichier kubeconfig actif par cluster. Supprimez d'abord le fichier actif, puis restaurez la version historique. Consultez la rubrique Supprimer des fichiers kubeconfig .
Supprimer des enregistrements kubeconfig
Supprimez définitivement les enregistrements kubeconfig de la corbeille. Cette action est irréversible.
Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Authorizations.
Cliquez sur l'onglet KubeConfig File Management, puis sur KubeConfig File Recycle Bin en haut à droite.
Repérez l'enregistrement à supprimer, cliquez sur Delete et saisissez le CommonName du certificat client pour confirmer.
CommonNames des certificats clients
Le CommonName d'un certificat client identifie le client accédant à un cluster ACK via le fichier kubeconfig. Pour plus d'informations, consultez la documentation kube-apiserver.
Dans ACK, les CommonNames suivent le format {UserID}-{SuffixID} :
UserID: ID de l'utilisateur RAM ou du rôle RAMSuffixID: chaîne aléatoire modifiée à chaque révocation ou suppression du kubeconfig, empêchant la réutilisation des anciennes versions
FAQ
Pourquoi un utilisateur RAM dispose-t-il de plusieurs enregistrements kubeconfig pour le même cluster dans la corbeille ?
Chaque révocation ou suppression d'un fichier kubeconfig modifie le suffixe du CommonName et crée un nouvel enregistrement. Ce comportement est normal : plusieurs enregistrements reflètent l'historique des fichiers kubeconfig de l'identité.
Comment identifier l'enregistrement correct à restaurer ?
Consultez la colonne RBAC Permissions pour trouver l'enregistrement disposant des autorisations requises. Si nécessaire, extrayez le CommonName de votre fichier kubeconfig existant et comparez-le avec la colonne Certificate CN :
openssl x509 -in <(kubectl config view --kubeconfig {Kubeconfig file name} --raw --minify --output=jsonpath='{.users[0].user.client-certificate-data}'|base64 -d) -noout -subjectQuelles sont les causes d'échec de la restauration d'un kubeconfig ?
Autorisations RBAC insuffisantes : la restauration rétablit également les autorisations RBAC. Si vous ne disposez pas des autorisations requises sur le cluster, la restauration échoue. Accordez-les préalablement. Consultez la rubrique Accorder des autorisations RBAC aux utilisateurs RAM ou aux rôles RAM.
État anormal du cluster : la restauration échoue si le cluster est dans un état anormal et inaccessible.
Conflit de kubeconfig : un fichier kubeconfig actif existe déjà pour la même identité sur le cluster. Lors d'une restauration groupée, ACK restaure l'enregistrement le plus récent et ignore les conflits.
Étapes suivantes
Supprimez les fichiers kubeconfig délivrés aux anciens employés ou susceptibles de présenter des risques de sécurité. Consultez la rubrique Supprimer des fichiers kubeconfig.
Si un fichier kubeconfig actif est exposé ou compromis, révoquez-le et générez-en un nouveau. Consultez la rubrique Révoquer un fichier KubeConfig.