Çok kiracılı senaryolarda ACK, küme erişimi için kullanıcı kimlik bilgilerini içeren kubeconfig dosyaları verir. Çalışanlar işten ayrıldığında veya kimlik bilgilerinin ifşa olma riski bulunduğunda, küme güvenliğini korumak için dağıtılan kubeconfig kimlik bilgilerini iptal edin. Bu konuda, bir Alibaba Cloud hesabının veya RAM kullanıcısının verilmiş kubeconfig kimlik bilgilerini nasıl iptal edeceği açıklanmaktadır.
Bir RAM kullanıcısını veya RAM rolünü silmek, kubeconfig dosyasındaki RBAC izinlerini otomatik olarak iptal etmez. RAM kullanıcısını silmeden önce her zaman kubeconfig dosyasını iptal edin.
Ön koşullar
Aşağıdaki koşulları karşıladığınızdan emin olun:
-
Aşağıdaki tarihlerden sonra oluşturulmuş bir ACK kümesi:
ACK yönetilen kümesi veya ACK özel kümesi: 15 Ekim 2019
ACK Sunucusuz kümesi: 6 Eylül 2019
ACK konsolu erişimine sahip bir Alibaba Cloud hesabı veya RAM kullanıcısı
Kim neyi iptal edebilir
| Aktör | İptal edilebilecekler |
|---|---|
| Alibaba Cloud hesabı | Hesap altındaki tüm RAM kullanıcılarının ve RAM rollerinin kubeconfig dosyaları |
| RAM kullanıcısı | Yalnızca kendi kubeconfig dosyası |
İptal işleminden sonra ACK, kümeye otomatik olarak yeni bir kubeconfig dosyası atar.
Alibaba Cloud hesabı olarak kubeconfig dosyalarını iptal etme
Örneğin bir çalışan işten ayrıldığında, hesabınız altındaki RAM kullanıcılarının veya RAM rollerinin kubeconfig dosyalarını iptal edin.
Bir Alibaba Cloud hesabı yalnızca kendi yönettiği RAM kullanıcılarının veya RAM rollerinin kubeconfig dosyalarını iptal edebilir.
ACK konsoluna giriş yapın. Sol gezinme bölmesinde Authorizations seçeneğine tıklayın.
RAM Users sekmesinde hedef RAM kullanıcısını bulun ve KubeConfig Management seçeneğine tıklayın.
Actions sütununda Delete KubeConfig File seçeneğine tıklayın ve onaylayın.
RAM kullanıcısı olarak kendi kubeconfig dosyanızı iptal etme
Kubeconfig dosyanıza artık ihtiyaç kalmadığında veya dosya ifşa olduğunda bunu iptal edin.
İptal edilen kubeconfig dosyası ile kümeye erişim sağlanamaz.
ACK konsoluna giriş yapın. Sol gezinme bölmesinde Clusters seçeneğine tıklayın.
Clusters sayfasında hedef kümenin adına tıklayın. Sol gezinme bölmesinde Cluster Information seçeneğine tıklayın.
Connection Information sekmesinde Revoke KubeConfig seçeneğine tıklayın ve OK düğmesine basarak onaylayın.
Kalıcı olarak silinen bir RAM kullanıcısı için kubeconfig iptali
Bir RAM kullanıcısı kubeconfig dosyası iptal edilmeden silindiyse ilgili RBAC bağlamaları sistemde kalır. Temizleme yöntemini, RAM kullanıcısının geri dönüşüm kutusunda olup olmamasına göre seçin.
İptal işleminden önce, hiçbir küme uygulamasının söz konusu kubeconfig dosyasındaki izinlere bağımlı olmadığından emin olun.
RAM kullanıcısı geri dönüşüm kutusunda ise
RAM kullanıcısını geri dönüşüm kutusundan geri yükleyin. AccessKey çiftini geri yüklemenize gerek yoktur.
Alibaba Cloud hesabı olarak, RAM kullanıcısı tarafından oluşturulan tüm kümeler için kubeconfig dosyalarını iptal edin.
RAM kullanıcısı kalıcı olarak silindiyse
Silinen RAM kullanıcısı veya RAM rolü için RBAC bağlamalarını manuel olarak silin.
ACK, bağlamaları RAM kullanıcısı veya rol ID'sine göre adlandırır:
| Bağlama türü | Adlandırma formatı |
|---|---|
| ClusterRoleBinding | xxxxxxx-clusterrolebinding |
| RoleBinding | xxxxxxx-yyyyy-rolebinding |
ID öneki, asıl türünü belirtir: 2 = RAM kullanıcısı, 3 = RAM rolü.
1. Adım: ClusterRoleBinding listesini görüntüleme
Küme yöneticisi olarak aşağıdaki komutu çalıştırın:
kubectl get clusterrolebindingSilinen kullanıcının veya rolün ID'siyle başlayan bağlamaları belirleyin.
2. Adım: RoleBinding listesini görüntüleme
kubectl get rolebinding -A | grep 'cs:ns:'Silinen kullanıcının veya rolün ID'siyle başlayan bağlamaları belirleyin.
3. Adım: RAM kullanıcısının veya rolünün hala var olup olmadığını doğrulama
Öneki
2olan (RAM kullanıcısı) bağlamalar için: RAM konsolunda Users bölümüne gidin ve RAM kullanıcısı ID'sine göre arama yapın. Kullanıcı bulunamazsa bağlamayı silin.Öneki
3olan (RAM rolü) bağlamalar için: ListRoles API'sini çağırın. Yanıtta RAM rolü ID'si görünmüyorsa bağlamayı silin.
4. Adım: Sahipsiz bağlamaları silme
kubectl delete clusterrolebinding xxxxxxx-clusterrolebinding
kubectl delete rolebinding xxxxxxx-yyyyy-rolebinding -n zzzzxxxxxxx yerine RAM kullanıcısı veya rol ID'sini, yyyyy yerine bağlama tanımlayıcısını ve zzzz yerine RoleBinding'in ad alanını yazın.