Kubernetesクラスタで署名付き証明書を取り消すにはどうすればよいですか？

Question

kube-apiserverは、証明書失効リスト（CRL）を使用するオプションを提供していないようです。

それが失われたか、もはや使用されていない場合は、クライアント証明書を失効させる方法はありますか？

Answer 1

は、私の知る限りでは、直接CRLを経由して、証明書を失効させる方法はありません。しかし、どのような作業を行い、そして私たちが現在使用している、（証明書の共通名を介して設定された）ユーザを識別し、それらがKubernetes上の特定のリソースへのアクセス権を持っているかどうかをするABAC policiesです。

たとえば、「random」というユーザーがいるとします。指定された認証局から「ランダム」という一般名でクライアント証明書を生成します。

そこから、各行がJSONのビットであるcsvファイルを持つことができます。ユーザーに「ランダム」のアクセス権が設定されているため、Kubernetes APIへの一定のアクセスレベルが提供されます。すべての名前空間や特定の名前空間やその他のAPIパラメータにアクセスできるようにすることができます。権限を取り消す必要がある場合は、そのユーザをABACポリシーファイルから削除するだけです。これをテストしたところ、うまくいきました。残念なことに、私はあなたがは、これらの変更が有効になるようにKubernetes APIサービスを再起動しなければならないと言います。そのため、この変更が発生するまでに数秒のダウンタイムが発生することがあります。明らかに開発環境では、これは大きな問題ではありませんが、本番環境ではユーザーを追加する時間をスケジュールする必要があります。

うまくいけば、将来的には、単純な「KUBE-apiserverリロード」は、ABACポリシーファイルの再読み込みを可能にします。

最後にもう一つの事は注意する：ABAC認証用のクライアント証明書を使用しているとき、あなたは個別のユーザーの権限を設定する必要があります。 ABACの認証トークンとは異なり、クライアント証明書のユーザーは「グループ」に設定できません。私たちの頭痛を引き起こした何か、それは渡す価値があると考えられた。 :)

これが役に立ちます。