Em cenários multilocatários, o ACK emite arquivos kubeconfig com informações de identidade do usuário para acesso ao cluster. Para proteger a segurança do cluster, revogue as credenciais kubeconfig distribuídas quando colaboradores saírem da empresa ou houver risco de exposição das credenciais. Este tópico descreve como uma conta Alibaba Cloud ou um usuário RAM pode revogar credenciais kubeconfig emitidas.
Excluir um usuário RAM ou uma função RAM não revoga automaticamente as permissões RBAC no arquivo kubeconfig. Sempre revogue o kubeconfig antes de excluir o usuário RAM.
Pré-requisitos
Verifique os seguintes requisitos:
-
Um cluster ACK criado após as seguintes datas:
Cluster gerenciado ACK ou cluster dedicado ACK: 15 de outubro de 2019
Cluster ACK Serverless: 6 de setembro de 2019
Uma conta Alibaba Cloud ou usuário RAM com acesso ao console ACK
Quem pode revogar o quê
|
Ator |
O que pode ser revogado |
|
Conta Alibaba Cloud |
Arquivos kubeconfig de todos os usuários RAM e funções RAM vinculados à conta |
|
Usuário RAM |
O próprio arquivo kubeconfig do usuário RAM |
Após a revogação, o ACK atribui automaticamente um novo arquivo kubeconfig ao cluster. A revogação invalida apenas as credenciais de acesso do usuário RAM revogado e não afeta a operação normal do cluster.
Revogar arquivos kubeconfig como uma conta Alibaba Cloud
Revogue os arquivos kubeconfig de usuários RAM ou funções RAM sob sua conta, por exemplo, quando um colaborador sair da empresa.
Uma conta Alibaba Cloud só pode revogar arquivos kubeconfig de usuários RAM ou funções RAM que ela gerencia.
Acesse o console ACK. No painel de navegação à esquerda, clique em Authorizations.
Na aba RAM Users, localize o usuário RAM desejado e clique em KubeConfig Management.
Na coluna Actions, clique em Delete KubeConfig File e confirme.
Revogar seu próprio arquivo kubeconfig como usuário RAM
Revogue seu próprio arquivo kubeconfig quando ele não for mais necessário ou tiver sido exposto.
Após a revogação, o arquivo kubeconfig não poderá mais ser usado para acessar o cluster.
Acesse o console ACK. No painel de navegação à esquerda, clique em Clusters.
Na página Clusters, clique no nome do cluster desejado. No painel de navegação à esquerda, clique em Cluster Information.
Na aba Connection Information, clique em Revoke KubeConfig e em OK.
Revogar kubeconfig para um usuário RAM excluído permanentemente
Se um usuário RAM foi excluído antes da revogação do kubeconfig, as associações RBAC correspondentes permanecem ativas. Escolha o método de limpeza com base na presença do usuário RAM na lixeira.
Antes de revogar, certifique-se de que nenhuma aplicação do cluster dependa das permissões contidas nesse arquivo kubeconfig.
Se o usuário RAM estiver na lixeira
Restore the RAM user from the recycle bin. Não é necessário restaurar o par AccessKey.
Como conta Alibaba Cloud, revogue os arquivos kubeconfig de todos os clusters criados pelo usuário RAM.
Se o usuário RAM foi excluído permanentemente
Exclua manualmente as associações RBAC do usuário RAM ou da função RAM excluídos.
O ACK nomeia as associações usando o ID do usuário RAM ou da função RAM:
|
Tipo de associação |
Formato de nomenclatura |
|
ClusterRoleBinding |
|
|
RoleBinding |
|
O prefixo do ID indica o tipo de principal: 2 = usuário RAM, 3 = função RAM.
Etapa 1: Listar ClusterRoleBindings
Como administrador do cluster:
kubectl get clusterrolebindingIdentifique as associações que começam com o ID do usuário ou da função excluídos.
Etapa 2: Listar RoleBindings
kubectl get rolebinding -A | grep 'cs:ns:'Identifique as associações que começam com o ID do usuário ou da função excluídos.
Etapa 3: Verificar se o usuário RAM ou a função RAM ainda existe
Para associações com prefixo
2(usuário RAM): No console RAM, acesse Users e pesquise pelo ID do usuário RAM. Se o usuário não for encontrado, exclua a associação.Para associações com prefixo
3(função RAM): Chame a API ListRoles. Se o ID da função RAM não aparecer na resposta, exclua a associação.
Etapa 4: Excluir as associações órfãs
kubectl delete clusterrolebinding xxxxxxx-clusterrolebinding
kubectl delete rolebinding xxxxxxx-yyyyy-rolebinding -n zzzzSubstitua xxxxxxx pelo ID do usuário RAM ou da função RAM, yyyyy pelo identificador da associação e zzzz pelo namespace do RoleBinding.