Obtain a kubeconfig file and connect to a cluster by using kubectl - Container Service for Kubernetes

Prérequis

Avant de commencer :

kubectl est installé. Vérifiez l'installation avec kubectl version --client.
Vous disposez d'un accès à la console ACK
(Pour les utilisateurs RAM) Les permissions nécessaires au niveau du service ACK et du cluster sont accordées.

Choisir le type de kubeconfig

Un fichier kubeconfig contient les informations d'identification permettant d'accéder au cluster.

Selon la durée de validité :

Type	Durée de validité	Cas d'utilisation recommandé
kubeconfig temporaire	30 minutes à 3 jours (configurable)	Opérations quotidiennes, dépannage, pipelines CI/CD
kubeconfig permanent	3 ans (par défaut)	Systèmes automatisés, services de surveillance de longue durée

Les fichiers kubeconfig temporaires expirent automatiquement, ce qui réduit le risque d'exposition des identifiants. Utilisez un kubeconfig permanent uniquement lorsque la rotation fréquente des identifiants n'est pas réalisable.

Selon la méthode d'accès :

Type	Condition requise	Cas d'utilisation recommandé
Accès interne	Machine cliente située dans le même Virtual Private Cloud (VPC) que le cluster	Latence réduite, sécurité renforcée
Accès public	Toute machine disposant d'un accès Internet ; nécessite une adresse IP élastique (EIP) sur le serveur API	Développement local, opérations à distance

Remarque

L'utilisation d'une EIP entraîne des frais. Consultez la section Paiement à l'utilisation.

Important

Dans le cadre du modèle de responsabilité partagée, il vous incombe de sécuriser et de maintenir vos identifiants kubeconfig. Faites pivoter régulièrement votre fichier kubeconfig et appliquez le principe du moindre privilège.

Pour les clusters dédiés ACK avec accès public, vous pouvez également vous connecter au nœud maître via SSH afin de récupérer le fichier kubeconfig.

Obtenir un fichier kubeconfig et se connecter au cluster

Connectez-vous à la console ACK. Dans le volet de navigation de gauche, cliquez sur Clusters.
Sur la page Clusters, cliquez sur le nom du cluster cible ou sur Details dans la colonne Actions.
Sur la page des détails du cluster, cliquez sur l'onglet Connection Information. Sélectionnez Temporary kubeconfig ou Long-term kubeconfig. Pour un fichier temporaire, définissez la durée de validité.
Sélectionnez l'onglet Public Access ou Internal Access, puis cliquez sur Copy.
Collez le contenu obtenu dans le fichier $HOME/.kube/config de votre machine cliente et enregistrez les modifications.
Remarque
Si le fichier ou le répertoire n'existe pas, créez-le :
```
mkdir -p $HOME/.kube
touch $HOME/.kube/config
```

Vérifiez la connexion :

kubectl get namespaces

Exemple de sortie :

NAME              STATUS   AGE
default           Active   4h39m
kube-node-lease   Active   4h39m
kube-public       Active   4h39m
kube-system       Active   4h39m

Révoquer l'accès

Lorsqu'un utilisateur n'a plus besoin d'accéder au cluster, révoquez son fichier kubeconfig. Le système ne générera plus de nouveaux fichiers kubeconfig pour cet utilisateur. Pour révoquer plusieurs utilisateurs simultanément, utilisez l'outil ack-ram-tool.

Remarque

Pour restaurer un fichier kubeconfig révoqué par erreur, utilisez la corbeille kubeconfig.

FAQ

Comment identifier l'identité associée à un certificat kubeconfig ?

Remplacez kubeconfig par le chemin d'accès à votre fichier. Par défaut, kubectl utilise le fichier $HOME/.kube/config. Utilisez la variable KUBECONFIG ou l'indicateur --kubeconfig pour spécifier un autre fichier.

grep client-certificate-data kubeconfig | awk '{print $2}' | base64 -d | openssl x509 -noout -text | grep Subject:

Exemple de sortie :

        Subject: O=system:users, OU=, CN=1***-1673419473

O : groupe d'utilisateurs Kubernetes — dans cet exemple, system:users.
CN : utilisateur associé — dans cet exemple, 1***-1673419473, où 1*** correspond à l'ID utilisateur Alibaba Cloud.

Comment vérifier la date d'expiration d'un certificat kubeconfig ?

Remplacez kubeconfig par le chemin d'accès à votre fichier :

grep client-certificate-data kubeconfig | awk '{print $2}' | base64 -d | openssl x509 -noout -enddate

Exemple de sortie :

notAfter=Jan 10 06:44:34 2026 GMT

Dans cet exemple, le certificat expire le 10 janvier 2026. Vous pouvez le renouveler via la console ou l'API dans les 180 jours précédant l'expiration, ou à tout moment après celle-ci.

Comment extraire le certificat client, la clé privée et l'adresse du serveur API d'un fichier kubeconfig ?

Remplacez kubeconfig par le chemin d'accès à votre fichier :

cat ./kubeconfig | grep client-certificate-data | awk -F ' ' '{print $2}' | base64 -d > ./client-cert.pem
cat ./kubeconfig | grep client-key-data | awk -F ' ' '{print $2}' | base64 -d > ./client-key.pem
APISERVER=`cat ./kubeconfig | grep server | awk -F ' ' '{print $2}'`

Étapes suivantes

Utilisez kubectl pour déployer des charges de travail, inspecter les ressources et gérer vos applications.