O ACK emite credenciais kubeconfig para contas Alibaba Cloud, usuários RAM e funções RAM. Use o gerenciamento de kubeconfig para visualizar credenciais emitidas no nível do cluster ou do usuário e revogar arquivos kubeconfig arriscados ou não utilizados, evitando acessos não autorizados ao servidor de API.
Gerencie as credenciais kubeconfig com segurança. Revogue imediatamente quaisquer credenciais comprometidas. Consulte o shared responsibility model.
Use ack-ram-authenticator for API server webhook authentication in an ACK managed cluster para controle granular de RBAC e revogação automática de credenciais quando usuários ou funções RAM forem excluídos.
Os arquivos kubeconfig expiram conforme um cronograma definido e revogam o acesso automaticamente. Consulte How do I query the expiration date of the certificate used in a kubeconfig file?
Status dos arquivos kubeconfig
|
Status |
Descrição |
|
Not Issued |
Nenhum arquivo kubeconfig foi emitido para o usuário ou função RAM neste cluster. |
|
Effective |
Emitido e válido. Aplica-se também quando o arquivo kubeconfig é excluído, mas as permissões RBAC não são revogadas. |
|
Expired |
Emitido, porém expirado. |
|
Deleted |
Emitido e excluído. Tanto as informações do kubeconfig quanto a vinculação RBAC foram removidas. |
Impacto da exclusão de um arquivo kubeconfig
Analise as consequências antes de excluir um arquivo kubeconfig:
|
O que acontece |
Detalhes |
|
A credencial é invalidada permanentemente |
O acesso ao servidor de API por meio deste arquivo kubeconfig é desabilitado permanentemente. |
|
A vinculação RBAC é removida |
As informações do kubeconfig e a vinculação RBAC do usuário ou função RAM são eliminadas. |
|
Verificação de acesso de 7 dias executada automaticamente |
O sistema consulta os logs de auditoria do servidor de API para identificar acessos nos últimos 7 dias. Requer cluster auditing. |
|
Recuperação possível |
Arquivos kubeconfig excluídos podem ser restaurados na kubeconfig recycle bin. |
Verifique se não há dependências operacionais antes de excluir um arquivo kubeconfig. Por exemplo, exclua individualmente os arquivos kubeconfig de funcionários desligados para evitar invalidar credenciais ativas.
Pré-requisitos
Certifique-se de ter:
-
Uma conta Alibaba Cloud ou um usuário/função RAM com as seguintes permissões:
Permissão RAM AliyunCSFullAccess
Permissão RAM AliyunRAMReadOnlyAccess
Essas permissões aplicam-se a todas as operações de gerenciamento de kubeconfig: nível de cluster, nível de usuário e limpeza de usuários/funções RAM excluídos.
Excluir um arquivo kubeconfig de um usuário específico
Visualize e revogue credenciais de usuários RAM ou funções RAM individuais em um cluster específico.
Faça login no ACK console. No painel de navegação à esquerda, clique em Authorizations.
-
Na página Authorizations, clique na aba KubeConfig File Management. Localize o cluster desejado e clique em KubeConfig File Management na coluna Actions. A página lista usuários com arquivos kubeconfig ou permissões RBAC históricas. Cada entrada exibe:
Informações do usuário: nome de usuário, ID do usuário, tipo de conta e status da conta
Informações do arquivo kubeconfig: data de expiração e status
Se usuários ou funções RAM excluídos possuírem arquivos kubeconfig ativos, o console exibirá uma notificação.
Confirme que o arquivo kubeconfig não está em uso. Clique em Delete KubeConfig File na coluna Actions correspondente ao usuário ou função RAM alvo.
Excluir arquivos kubeconfig de um usuário RAM em vários clusters
Visualize e revogue credenciais de um usuário RAM específico em múltiplos clusters. Há suporte para exclusão em lote.
Faça login no ACK console. No painel de navegação à esquerda, clique em Authorizations.
-
Na página Authorizations, clique na aba RAM Users. Localize o usuário RAM desejado e clique em KubeConfig Management na coluna Actions. O painel KubeConfig Management exibe o status do kubeconfig para cada cluster. Cada entrada mostra:
Informações do cluster: nome e ID do cluster
Informações do arquivo kubeconfig: data de expiração, status e logs de auditoria de 7 dias (logs de acesso ao certificado)
-
Confirme que os arquivos kubeconfig não estão em uso e, em seguida, exclua-os:
Cluster único: Localize o cluster e clique em Delete KubeConfig File na coluna Actions.
Múltiplos clusters: Selecione os clusters desejados e clique em Delete KubeConfig File no canto inferior esquerdo do painel.
Limpar arquivos kubeconfig de usuários ou funções RAM excluídos
Arquivos kubeconfig e permissões RBAC podem permanecer ativos mesmo após a exclusão de um usuário ou função RAM. Remova as credenciais residuais para impedir acessos não autorizados.
ACK console
Faça login no ACK console. No painel de navegação à esquerda, clique em Authorizations.
Caso existam arquivos kubeconfig residuais de usuários ou funções RAM excluídos, a página Authorizations exibirá uma notificação.
Clique em manage the kubeconfig files associated with invalid accounts na mensagem. A página Delete KubeConfig Files of Deleted RAM Users/Roles lista os usuários e funções RAM excluídos que ainda possuem arquivos kubeconfig ativos ou permissões RBAC.
Confirme que o arquivo kubeconfig residual não está em uso. Clique em Delete KubeConfig File para o usuário ou função RAM excluído alvo.
ack-ram-tool
Para limpeza automatizada ou em massa, consulte Use ack-ram-tool to revoke the permissions of specified users on ACK clusters.
Perguntas frequentes
O que é a verificação de registros de acesso de 7 dias?
Ao clicar em Delete KubeConfig File, o sistema verifica se o arquivo kubeconfig acessou o cluster nos últimos 7 dias. Os resultados servem apenas como referência. Sempre confirme que o arquivo kubeconfig não está em uso antes de prosseguir com a exclusão.
Esta verificação requer cluster auditing.
Como interpretar os resultados da verificação de registros de acesso de 7 dias?
|
Resultado da verificação |
Tipo |
Significado |
|
Successful |
Nenhum registro de acesso encontrado |
O arquivo kubeconfig não acessou o servidor de API do cluster nos últimos 7 dias. |
|
Successful |
Registros de acesso encontrados |
O arquivo kubeconfig acessou o servidor de API nos últimos 7 dias. |
|
Failed |
Falha ao consultar registros de acesso |
A auditoria do cluster está desativada. |
|
Failed |
Falha ao consultar registros de acesso |
Outros erros, como falhas de conexão com o cluster ou problemas de rede. |
Quando não é possível excluir um arquivo kubeconfig?
A exclusão é bloqueada nas seguintes situações:
Estados anormais do cluster: Clusters com status Deletion Failed, Deleting, Deleted ou Failed.
Estados anormais do kubeconfig: Arquivos kubeconfig com status Not Issued, Deleted ou Unknown.
Arquivos kubeconfig próprios: Não é permitido excluir seus próprios arquivos kubeconfig.
Arquivos kubeconfig de conta Alibaba Cloud: Arquivos kubeconfig emitidos para contas Alibaba Cloud não podem ser excluídos.
É possível restaurar um arquivo kubeconfig excluído?
Sim. Use a kubeconfig recycle bin para restaurar arquivos kubeconfig excluídos ou reverter para uma versão histórica.
Melhores práticas de segurança
Garanta a segurança no gerenciamento do ciclo de vida das credenciais kubeconfig:
[ ] Adote autenticação via webhook para clusters de produção. Use ack-ram-authenticator permite revogar automaticamente arquivos kubeconfig e permissões RBAC quando um usuário ou função RAM é excluído.
[ ] Aplique o princípio do menor privilégio. Conceda apenas as permissões mínimas necessárias para cada usuário e função RAM.
[ ] Revogue o acesso prontamente após o desligamento de funcionários. Exclua imediatamente os arquivos kubeconfig do funcionário em todos os clusters.
[ ] Audite regularmente o status dos arquivos kubeconfig. Revise a aba KubeConfig File Management para identificar credenciais expiradas, não utilizadas ou órfãs.
[ ] Mantenha a confidencialidade das credenciais. Proteja pares AccessKey, tokens e arquivos kubeconfig contra acessos não autorizados.
[ ] Ative a auditoria do cluster. Habilite o log de auditoria do servidor de API para permitir a verificação de registros de acesso de 7 dias antes da exclusão.
Você é responsável por quaisquer perdas ou consequências decorrentes do vazamento ou expiração de credenciais, como pares AccessKey de usuários RAM e arquivos kubeconfig, causados pelo gerenciamento inadequado dessas credenciais. Leia e compreenda os requisitos descritos no shared responsibility model.
Referências
Revoke the kubeconfig file of a cluster -- Revogue e regenere arquivos kubeconfig após o desligamento de funcionários ou suspeita de vazamento de credenciais.
DescribeClusterUserKubeconfig -- Consulte arquivos kubeconfig por meio da API.
Grant RBAC permissions to RAM users or RAM roles -- Configure as permissões administrativas RBAC necessárias para o gerenciamento de kubeconfig.
Work with cluster auditing -- Ative o log de auditoria para verificar registros de acesso de 7 dias.
Use the kubeconfig recycle bin -- Restaure arquivos kubeconfig excluídos.