クラスタ資格証明のローテーション

Kubernetes Engine (OKE)を使用して作成したクラスタの資格証明をローテーションする方法を確認します。

クラスタとの間でセキュアなTLS (以前のSSL)通信を可能にするために、Kubernetesは認証にPKI (公開キー・インフラストラクチャ)証明書を使用します。PKI証明書およびKubernetesクラスタの詳細は、KubernetesドキュメントのPKI証明書および要件を参照してください。

Kubernetesエンジンで作成するクラスタには、クラスタ、etcdコンポーネントおよびフロント・プロキシ・コンポーネントのPKIルートCA (認証局)と秘密キーがあります。これらのルートCAは、クラスタで使用される証明書および秘密キーに署名するために使用されます。クラスタで使用されるルートCA、署名付き証明書および秘密キーは、まとめてクラスタ資格証明と呼ばれます。

Kubernetesエンジンで作成したクラスタでは、ルートCAは5年後に失効します。クラスタの使用を続行するには、5年間の終了前にクラスタ資格証明を変更(またはローテーション)する必要があります。さらに、組織には、クラスタ資格証明をより頻繁に(場合によっては、はるかに頻繁に)ローテーションする必要があるセキュリティ・ガイドラインおよびポリシーが設定されている場合があります。今後のクラスタ資格証明の有効期限を通知するメッセージがコンソールに表示されます。コンソール、CLIおよびAPIを使用して、クラスタ資格証明の期限が切れるタイミングを確認することもできます。

クラスタ資格証明をローテーションする場合は、以前の資格証明を使用してKubernetes APIと通信していたKubernetes APIクライアントを更新する必要があります。このようなKubernetes APIクライアントには、kubeconfigファイルと、Kubernetes APIと直接通信するポッドが含まれます。

クラスタ資格証明のローテーションは、次の3ステップのプロセスです。

• ステップ1「資格証明のローテーションの開始」フェーズ:資格証明のローテーションの開始フェーズ中に、新しいルートCA、秘密キーおよび証明書が作成されます。資格証明ローテーションの開始フェーズはいつでも開始できますが、資格証明の有効期限が切れる前に資格証明ローテーションを開始する必要があります。資格証明の期限切れ前に資格証明のローテーションを開始すると、サービスの中断も回避されます。

  資格証明ローテーションの開始フェーズを開始する場合は、資格証明ローテーションの完了フェーズが自動的に開始される前の遅延期間の長さを明示的に指定します。遅延期間を使用すると、Kubernetes APIクライアントを更新できます(ステップ2)。遅延期間中、レガシー資格証明と新しい資格証明の両方が、クラスタとの間でセキュアな通信を提供します。指定する遅延期間は、1日以上90日以下にする必要があります。新しい資格証明が24時間以上経過していて、ステップ2を正常に完了している場合、遅延期間の終了前に資格証明ローテーションの完了フェーズを手動で開始できます。

  ステップ2は、新しいルートCA、秘密キーおよび証明書が作成されるまで起動しないでください。

  ノート
  
  CLIまたはAPIを使用して資格証明のローテーションの開始フェーズを開始する場合は、遅延期間の長さをISO 8601の期間形式で指定します。例:

  • 5日を指定するには、P5Dを使用します
  • 5日と5時間を指定するには、P5DT5Hを使用します。
  • P5DT5H5Mを使用して、5日、5時間および5分を指定します

  ISO 8601の期間書式の詳細は、オンラインで検索してください。

• ステップ2、Kubernetes APIクライアントの更新:新しいルートCA、秘密キーおよび証明書が作成され、指定した遅延期間内(1日以内、90日以内):
  • 新しい資格証明とレガシー資格証明の両方を使用してクラスタにアクセスできるように、新しいkubeconfigファイルを設定します。
  • Kubernetes API Serverと直接通信するポッドをホストしているワーカー・ノードを再作成または再起動します(またはワーカー・ノードへの中断を回避するには、ポッド自体を再起動します)。

  新しいkubeconfigファイルを設定し、ワーカー・ノードを再作成または再起動する(または単にポッドを再起動する)まで、ステップ3を開始しないでください。

• ステップ3「資格証明ローテーションの完了」フェーズの開始:ステップ2を終了し、指定した遅延期間(1日以内、90日以内)内に、資格証明ローテーションの完了フェーズを手動で開始できます。資格証明ローテーションの完了フェーズでは、レガシー・ルートCA、秘密キーおよび証明書がリタイアされ、削除されます。資格証明ローテーションの開始フェーズを開始してから24時間以内に、ステップ2を完了した後にのみ、資格証明ローテーションの完了フェーズを開始します。新しい資格証明が24時間以上経過している場合は、準備ができたらすぐに資格証明ローテーションの完了フェーズを開始できます。

  指定した遅延期間(1日以下、90日以下)に資格証明ローテーションの完了フェーズを手動で開始しない場合、資格証明ローテーションの完了フェーズは遅延期間の終了時に自動的に開始されます。

  資格証明のローテーションの完了フェーズが完了したら、ステップ2で作成したkubeconfigファイル(レガシー資格証明と新しい資格証明の両方を含む)を、新しい資格証明のみを含む新しいkubeconfigファイルに置き換えることをお薦めします。

資格証明ローテーションの開始フェーズと資格証明ローテーションの完了フェーズは、個別の作業リクエストとして生成されます。資格証明ローテーションの開始フェーズおよび資格証明ローテーションの完了フェーズの進行状況を追跡するには、対応する作業リクエストのステータスを表示します。作業リクエストの表示を参照してください。

クラスタ資格証明は、コンソール、CLIおよびAPIを使用してローテーションできます。

クラスタ資格証明をローテーションする場合は、次の点に注意してください。

• 資格証明のローテーションは、Kubernetesバージョン1.20以降を実行しているクラスタでサポートされています。
• クラスタ・コントロール・プレーンでKubernetesバージョンをアップグレードするだけで、資格証明はローテーションされません。資格証明のローテーション・プロセスのすべてのステップを完了する必要があります。
• 資格証明ローテーションの開始フェーズおよび資格証明ローテーションの完了フェーズは、クラスタ内のすべてのワーカー・ノードのステータスがREADYの場合にのみ開始できます。資格証明のローテーション中に1つ以上のワーカー・ノードのステータスがNOT READYに変更されると、資格証明のローテーション操作は最大24時間一時停止し、すべてのノードが再びREADYのステータスになるのを待機してから再開します。1つ以上のワーカー・ノードのステータスが24時間後にNOT READYのままの場合、資格証明のローテーション操作はタイムアウトします。
• 資格証明ローテーションの開始フェーズまたは資格証明ローテーションの完了フェーズがなんらかの理由で失敗した場合、レガシー資格証明は引き続き機能し、期限切れになるまでリタイアされません。
• 指定した遅延期間内に資格証明ローテーションの完了フェーズを手動で開始しない場合(1日以下、90日以下)、資格証明ローテーションの完了フェーズが自動的に開始されます。遅延期間の終了前にKubernetes APIクライアントを更新しなかった場合、クラスタはサービスの中断を経験します。
• 資格証明のローテーションは、管理対象ノードを持つクラスタ、および自己管理ノードを持つクラスタでサポートされます。仮想ノードを持つクラスタでは、資格証明のローテーションはまだサポートされていません。