Container Service for Kubernetes:[Alteração de product] Migrar portas de monitoramento de clusters ACK de versões anteriores para portas autenticadas

Aviso de risco

Atacantes podem invadir um nó e utilizar a porta somente leitura 10255 do kubelet para obter informações sobre as aplicações nesse nó, resultando em vazamento de dados. Para resolver essa questão, o ACK não abre mais a porta somente leitura 10255 do kubelet por padrão em clusters ACK com Kubernetes 1.26 ou superior. Agora, a porta de autenticação 10250 é aberta e usada pelo kubelet.

• Caso seu cluster execute uma versão do Kubernetes anterior à 1.26, recomendamos seguir as instruções deste tópico para atualizar os componentes de monitoramento relevantes e fechar manualmente a porta somente leitura 10255 do kubelet. Para mais detalhes, consulte Update the related monitoring components and manually close the read-only port 10255 for the kubelet.

• Se a porta 10255 estiver em uso ou for necessária para suas aplicações, avalie os possíveis riscos de segurança. No Kubernetes 1.26 e versões posteriores, é possível modificar os parâmetros do kubelet para reabrir a porta 10255. Para mais informações, veja Manually open the read-only port 10255 for the kubelet.

Escopo de impacto

Clusters ACK que executam versões do Kubernetes anteriores à 1.26 são afetados caso o kubelet utilize ou venha a utilizar a porta 10255.

Atualize os componentes de monitoramento relevantes e feche manualmente a porta somente leitura 10255 do kubelet

Se a versão original do Kubernetes no seu cluster for anterior à 1.26, recomenda-se atualizar os componentes de monitoramento associados e fechar manualmente a porta somente leitura 10255 do kubelet no cluster.

Precauções

Se o seu cluster contiver nós virtuais (ack-virtual-node) ou se você utilizar um cluster ACK Serverless com uma versão do Kubernetes anterior à 1.26, envie um ticket para entrar em contato com o suporte técnico e solicitar o fechamento da porta 10255.

Procedimento

1. Faça login no console do ACK e clique em Clusters no painel de navegação à esquerda.

2. Na página Clusters, clique no nome do cluster desejado e escolha Operations > Add-ons no painel de navegação à esquerda.

3. Localize e atualize os componentes pertinentes.

   • Atualize o metrics-server para a versão 0.3.9.4-ff225cd-aliyun ou superior. Caso o metrics-server não esteja instalado no cluster, nenhuma ação é necessária.

   • Se o ack-arms-prometheus estiver instalado, atualize-o para a versão 1.1.15 ou posterior. Se ele não estiver presente no cluster, ignore esta etapa.

   Nota

   Essa atualização não compromete o desempenho do monitoramento do cluster nem afeta as aplicações em execução.

4. No painel de navegação à esquerda, escolha Nodes > Node Pools. Na lista de node pools, siga os passos abaixo para fechar a porta 10255 em todos os nós do cluster.

   • Na coluna Actions do node pool, escolha More > Configure kubelet.

   • Na seção Custom Parameters, defina readOnlyPort como 0 e clique em Submit para fechar a porta 10255.

   Importante

   Ao fechar a porta 10255, não modifique manualmente o arquivo de configuração do kubelet /etc/kubernetes/kubelet-customized-args.conf nos nós. A configuração feita via console do ACK sobrescreverá automaticamente o arquivo de configuração do kubelet.

Abra manualmente a porta somente leitura 10255 do kubelet

Caso a porta 10255 esteja sendo usada ou seja necessária para suas aplicações, avalie cuidadosamente os riscos de segurança envolvidos. No Kubernetes 1.26 e versões posteriores, você pode ajustar os parâmetros do kubelet para habilitar novamente a porta 10255.

Procedimento

1. Faça login no console do ACK. No painel de navegação à esquerda, clique em Clusters.

2. Na página Clusters, clique no nome do cluster que deseja gerenciar e escolha Nodes > Node Pools no painel de navegação à esquerda.

3. Na coluna Actions do node pool, realize os passos a seguir para abrir a porta 10255 em todos os nós do cluster.

   • Escolha More > Configure kubelet para o node pool correspondente.

   • Na seção Custom Parameters, defina readOnlyPort como 10255 e clique em Submit para abrir a porta 10255.