容器服务 Kubernetes 版 ACK：通过KubeConfig回收站管理KubeConfig

注意事项

• 您的账号需为阿里云账号（主账号）或有指定权限的RAM用户或角色。

  如使用RAM用户或角色，请确保您的账号已有AliyunCSFullAccess、AliyunRAMReadOnlyAccess权限。

• 仅支持恢复过去30天内被清除的KubeConfig。超过30天的清除记录无法恢复。关于清除Kubeconfig，请参见清除KubeConfig。

• 在一个ACK集群中，一个阿里云账号、RAM用户或RAM角色只能保有一个正在生效的KubeConfig。如果某集群对应的阿里云账号、RAM用户或角色账号下已存在生效中的KubeConfig，则过往的KubeConfig无法恢复。

使用场景

场景一：误清除某KubeConfig，需恢复该Kubeconfig

因操作失误，管理员A清除了RAM用户B在集群Cluster1中的KubeConfig，用户B随即发现无法连接Cluster1。此时，用户B申请管理员A在回收站中重新恢复误清除的KubeConfig。

场景二：当前KubeConfig不适用，需恢复历史的KubeConfig

管理员A清除了RAM用户B在集群Cluster1中v1版本的KubeConfig，RAM用户B在控制台重新获取了v2版本的KubeConfig用于连接集群。但管理员A发现业务系统中仍然有业务应用依赖v1版本的KubeConfig，且v1版本的KubeConfig关联了许多RBAC权限，故希望恢复v1版本的KubeConfig。

此时，管理员A需要首先清除v2版本的KubeConfig，然后在回收站查询v1、v2两个版本的KubeConfig记录，并选择恢复v1版本的KubeConfig。

恢复KubeConfig

您可以恢复单个或多个KubeConfig及其关联的RBAC权限。

1. 登录容器服务管理控制台，在左侧导航栏选择授权管理。

2. 单击KubeConfig 管理页签，然后单击页面右上角的KubeConfig 回收站。

   KubeConfig回收站展示30天内已被清除的KubeConfig列表。列表字段说明如下。

   列表项	说明
   用户信息	该KubeConfig对应阿里云账号或RAM用户、角色的名称及ID。
   集群信息	该KubeConfig对应集群的名称以及ID。
   证书信息	该KubeConfig的客户端证书CN（CommonName）。关于CN的更多信息，请参见参考资料：客户端证书CN。
   RBAC 权限	该KubeConfig关联的RBAC权限列表。
   回收时间	该KubeConfig被删除的时间，即进入回收站的时间。
   清理时间	该KubeConfig被永久清理的时间。 回收站仅支持恢复过去30天内被清除的KubeConfig。超过30天的待回收条目会被自动清理且无法找回。

3. 单击恢复，恢复目标记录对应的KubeConfig及其关联的RBAC权限。

   您也可以勾选多条记录，批量恢复。批量恢复时，请避免KubeConfig冲突。

删除KubeConfig记录

如充分评估后无需再使用某个KubeConfig，您可以在回收站中删除其对应的记录。删除后，记录无法回滚。

1. 登录容器服务管理控制台，在左侧导航栏选择授权管理。

2. 单击KubeConfig 管理页签，然后单击页面右上角的KubeConfig 回收站。

3. 确认待删除的回收站记录后，单击删除，并在删除前填写证书CN完成确认。

参考资料：客户端证书CN

在KubeConfig中，客户端证书CN (CommonName) 是访问Kubernetes集群的客户端身份信息。不同的KubeConfig对应不同的客户端身份信息。更多信息，请参见kube-apiserver。

ACK集群中，客户端证书CN的组成格式为{UserID}-{后缀ID}。其中，UserID为KubeConfig对应的RAM用户或角色ID；后缀ID为随机字符串，在每次清除或吊销KubeConfig后均会自动更新，防止历史的KubeConfig仍然可以正常访问集群。

常见问题

同一集群下，为什么同一RAM用户在回收站存在多条KubeConfig记录？

由于证书CN的更新，在KubeConfig回收站中，即使是同一集群的同一RAM用户也会存在多个KubeConfig记录。

回收站存在多个KubeConfig记录时，如何识别待恢复的KubeConfig？

您可以查看记录对应的RBAC权限来选择待恢复的KubeConfig，也可以根据证书CN来区分KubeConfig记录，选择恰当的KubeConfig记录进行恢复。您可以通过以下命令查看某一份KubeConfig的CN，然后根据证书CN在回收站中查找对应记录并进行恢复。

openssl x509 -in <(kubectl config view  --kubeconfig {kubeconfig 文件名} --raw --minify --output=jsonpath='{.users[0].user.client-certificate-data}'|base64 -d) -noout -subject

为什么有回收站条目的恢复按钮置灰？

在某一集群中，一个RAM用户或角色只能拥有一个生效中的KubeConfig。因此，当该RAM用户或角色在某一集群中已存在生效中的KubeConfig时，历史的KubeConfig便无法恢复，以避免集群KubeConfig冲突。

如果需要恢复历史的KubeConfig，请将当前生效的KubeConfig清除，然后再恢复历史的KubeConfig。关于如何清除KubeConfig，请参见清除KubeConfig。

有哪些情况可能会导致KubeConfig恢复失败？

• 操作人员的RBAC权限不足：恢复回收站KubeConfig记录时，会连带恢复关联的RBAC权限。如果操作人员没有对应集群的RBAC权限，可能会导致KubeConfig恢复失败。相关授权步骤请参见配置RAM用户或RAM角色RBAC权限。

• 集群状态异常：集群状态异常时可能无法连接集群，继而导致KubeConfig恢复失败。

• KubeConfig冲突：在一个ACK集群中，一个RAM用户或角色只能保有一个正在生效的KubeConfig。如果您在批量恢复KubeConfig记录时KubeConfig存在冲突，ACK默认恢复最近的一条记录，其余记录均会恢复失败。

相关文档

• 当企业内部员工离职或KubeConfig有潜在安全风险时，请及时清理和解除授权。具体操作，请参见清除KubeConfig。

• 当签发的KubeConfig疑似泄露时，请吊销该集群的KubeConfig以生成新的KubeConfig。具体操作，请参见吊销集群的KubeConfig凭证。