Container Service for Kubernetes:Get a kubeconfig and connect to a cluster with kubectl

Por período de validade

Por método de acesso

Um EIP vinculado gera custos de pagamento conforme o uso .

Em clusters dedicados ACK com acesso público, você também pode conectar-se ao nó mestre via SSH para obter o kubeconfig.

Fazer rotação de credenciais antes do vencimento

O kubeconfig de longo prazo tem validade de 3 anos. Obtenha um novo pelo ACK console ou pela API DescribeClusterUserKubeconfig até 180 dias antes do vencimento para evitar interrupções no serviço.

O novo kubeconfig terá validade de 3 anos. O anterior permanecerá válido até a data de expiração original.

Revogar credenciais comprometidas

Se suspeitar que um kubeconfig foi comprometido, revogue as credenciais do kubeconfig do cluster imediatamente. Essa ação invalida todas as conexões existentes e gera um novo kubeconfig.

Limpar permissões de usuários desligados

Quando um usuário não precisar mais de acesso (por exemplo, após o término de um projeto ou desligamento de funcionário), revogue as permissões do kubeconfig em massa: exclua arquivos kubeconfig ou use ack-ram-tool. O sistema não gera um novo kubeconfig após a revogação.

Para restaurar permissões revogadas acidentalmente, use a lixeira de kubeconfig .

Como encontro a identidade associada a um certificado kubeconfig?

Extraia o assunto do certificado:

# Extract the client certificate, decode it from base64,
# then use OpenSSL to display the Subject field
grep client-certificate-data kubeconfig | awk '{print $2}' | base64 -d | openssl x509 -noout -text | grep Subject:

Saída esperada:

        Subject: O=system:users, OU=, CN=1***-1673419473

• O—Grupo de usuários do Kubernetes. Neste exemplo, system:users.

• CN—Identificador do usuário. Neste exemplo, 1***-1673419473, onde 1*** é o ID de usuário da Alibaba Cloud.

Como verifico quando um certificado kubeconfig expira?

Verifique a expiração do certificado:

# Extract the client certificate, decode it from base64,
# then use OpenSSL to print the expiration date
grep client-certificate-data kubeconfig | awk '{print $2}' | base64 -d | openssl x509 -noout -enddate

Saída esperada:

notAfter=Jan 10 06:44:34 2026 GMT

Neste exemplo, o certificado expira em 10 de janeiro de 2026.

Obtenha um novo kubeconfig pelo console ou pela API até 180 dias antes do vencimento ou a qualquer momento após a expiração.

Como extraio o certificado do cliente, a chave privada e a URL do servidor de API de um kubeconfig?

Extraia o certificado, a chave e a URL do servidor de API:

# Extract and decode the client certificate to a PEM file
grep client-certificate-data ./kubeconfig | awk -F ' ' '{print $2}' | base64 -d > ./client-cert.pem

# Extract and decode the client private key to a PEM file
grep client-key-data ./kubeconfig | awk -F ' ' '{print $2}' | base64 -d > ./client-key.pem

# Extract the API server URL into a variable
APISERVER=$(grep server ./kubeconfig | awk -F ' ' '{print $2}')

Como resolvo o erro "certificate is valid for"?

Esse erro ocorre ao vincular um novo endereço IP à instância do Server Load Balancer (SLB) do servidor de API. Comandos kubectl direcionados ao novo IP falham com Error while proxying request: x509: certificate is valid for xxx ou Unable to connect to the server: x509: certificate is valid for xxx.

A correção depende do tipo de cluster:

• Clusters gerenciados ACK: Adicione o novo endereço IP ao Subject Alternative Name (SAN) do certificado do servidor de API.

• Clusters dedicados ACK: Configure o kubectl para ignorar a verificação TLS com um destes métodos:

  Importante

  Ignorar a verificação TLS representa um risco de segurança. Não use esse método em produção. Migre para clusters ACK Pro e adicione o novo endereço IP ao SAN do certificado do servidor de API.

  • Método 1: Passe o parâmetro --insecure-skip-tls-verify:

    kubectl -s https://<IP>:6443 --insecure-skip-tls-verify get ns

  • Método 2: Edite o arquivo kubeconfig. Adicione insecure-skip-tls-verify: true e remova o campo certificate-authority-data:

    apiVersion: v1
    clusters:
    - cluster:
        server: https://<IP>:6443
        insecure-skip-tls-verify: true
      name: kubernetes
    contexts:
    ...

Posso obter a chave do certificado raiz de um cluster gerenciado ACK para gerar um kubeconfig manualmente?

Não. Clusters gerenciados ACK não expõem a chave do certificado raiz. Obtenha o kubeconfig pelo console ou pela API DescribeClusterUserKubeconfig.