Container Service for Kubernetes:[Évolution du produit] Migration des ports de surveillance des clusters ACK de versions anciennes vers des ports authentifiés

Avertissement concernant les risques

Des attaquants peuvent s'introduire dans un nœud et exploiter le port en lecture seule 10255 du kubelet pour obtenir des informations sur les applications hébergées sur ce nœud, ce qui entraîne une fuite de données. Pour résoudre ce problème, ACK n'ouvre plus par défaut le port en lecture seule 10255 pour le kubelet dans les clusters ACK exécutant Kubernetes 1.26 ou une version ultérieure. Le kubelet utilise désormais le port d'authentification 10250.

• Si votre cluster exécute une version de Kubernetes antérieure à la 1,26, nous vous recommandons de suivre les instructions de cette rubrique pour mettre à jour les composants de surveillance concernés et fermer manuellement le port en lecture seule 10255 pour le kubelet. Pour plus d'informations, consultez la section Mettre à jour les composants de surveillance concernés et fermer manuellement le port en lecture seule 10255 pour le kubelet.

• Si le port 10255 est utilisé ou sera utilisé par vos applications, évaluez les risques de sécurité potentiels. Dans Kubernetes 1.26 et versions ultérieures, vous pouvez modifier les paramètres du kubelet pour ouvrir le port 10255. Pour plus d'informations, consultez la section Ouvrir manuellement le port en lecture seule 10255 pour le kubelet.

Périmètre d'impact

Les clusters ACK exécutant des versions de Kubernetes antérieures à la 1,26 sont concernés si le kubelet de ces clusters utilise ou utilisera le port 10255.

Mettre à jour les composants de surveillance concernés et fermer manuellement le port en lecture seule 10255 pour le kubelet

Si la version Kubernetes initiale de votre cluster est antérieure à la 1,26, nous vous recommandons de mettre à jour les composants de surveillance concernés et de fermer manuellement le port en lecture seule 10255 pour le kubelet dans votre cluster.

Précautions

Si votre cluster contient des nœuds virtuels (ack-virtual-node) ou si vous utilisez un cluster ACK Serverless exécutant une version de Kubernetes antérieure à la 1,26, soumettez un ticket pour contacter le support technique afin de fermer le port 10255.

Procédure

1. Connectez-vous à la console ACK et cliquez sur Clusters dans le volet de navigation de gauche.

2. Sur la page Clusters, cliquez sur le nom du cluster que vous souhaitez gérer et choisissez Operations > Add-ons dans le volet de navigation de gauche.

3. Recherchez et mettez à jour les composants pertinents.

   • Mettez à jour metrics-server vers la version 0.3.9.4-ff225cd-aliyun ou ultérieure. Si metrics-server n'est pas installé dans votre cluster, aucune action n'est requise.

   • Si ack-arms-prometheus est installé, mettez à jour le composant vers la version 1.1.15 ou ultérieure. Si ack-arms-prometheus n'est pas installé dans votre cluster, aucune action n'est requise.

   Remarque

   La mise à jour ne compromet pas les performances de surveillance de votre cluster et n'affecte pas les applications.

4. Dans le volet de navigation de gauche, choisissez Nodes > Node Pools. Dans la liste des pools de nœuds, effectuez les étapes suivantes pour fermer le port 10255 sur tous les nœuds du cluster.

   • Dans la colonne Actions du pool de nœuds, choisissez More > Configure kubelet.

   • Dans la section Custom Parameters, définissez readOnlyPort sur 0 et cliquez sur Submit pour fermer le port 10255.

   Important

   Lorsque vous fermez le port 10255, ne modifiez pas manuellement le fichier de configuration du kubelet /etc/kubernetes/kubelet-customized-args.conf sur les nœuds. La configuration du kubelet dans la console ACK écrasera automatiquement le fichier de configuration du kubelet.

Ouvrir manuellement le port en lecture seule 10255 pour le kubelet

Si le port 10255 est utilisé ou sera utilisé par vos applications, évaluez les risques de sécurité potentiels. Dans Kubernetes 1.26 et versions ultérieures, vous pouvez modifier les paramètres du kubelet pour ouvrir le port 10255.

Procédure

1. Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.

2. Sur la page Clusters, cliquez sur le nom du cluster que vous souhaitez gérer et choisissez Nodes > Node Pools dans le volet de navigation de gauche.

3. Dans la colonne Actions du pool de nœuds, effectuez les étapes suivantes pour ouvrir le port 10255 sur tous les nœuds du cluster.

   • Choisissez More > Configure kubelet pour le pool de nœuds.

   • Dans la section Custom Parameters, définissez readOnlyPort sur 10255 et cliquez sur Submit pour ouvrir le port 10255.