Amazon Web Services запустила автоматическую ротацию центра сертификации (CA) со встроенным управлением жизненным циклом для Amazon Elastic Kubernetes Service (Amazon EKS). Это обновление решает критическую операционную задачу для корпоративной инфраструктуры Kubernetes, позволяя администраторам обновлять корневые сертификаты кластера без риска простоя плоскости управления или сбоев связи.
В архитектуре Kubernetes центр сертификации кластера служит основой доверия для внутренних и внешних коммуникаций. Он подписывает TLS-сертификаты, необходимые для сервера API Kubernetes, агента kubelet, работающего на каждом рабочем узле, контроллеров плоскости управления и внешних клиентов управления, таких как CI/CD-пайплайны и утилиты командной строки. Благодаря этой возможности управляемой ротации Amazon EKS предоставляет структурированный путь для бесшовного внедрения преемственных CA и вывода истекающих учетных данных из эксплуатации.
10-летний срок действия и операционное воздействие
Когда Amazon EKS дебютировал в 2018 году, кластеры настраивались со специализированными корневыми CA с фиксированным сроком действия в 10 лет. Поскольку первые производственные развертывания приближаются ко второй половине своего жизненного цикла сертификатов, организации, эксплуатирующие устаревшие кластеры, сталкиваются с приближающимися сроками истечения срока действия. Если CA Kubernetes истекает без замены, сервер API отклоняет сигналы о работоспособности (heartbeats) узлов и административные запросы, что приводит к широкомасштабным сбоям в работе сервисов.
Продление общекластерного корневого сертификата в стандартном Kubernetes исторически было сложной и подверженной ошибкам задачей, часто требующей ручных манипуляций с пакетами сертификатов, последовательных перезагрузок узлов и окон обслуживания с высоким уровнем риска. Новая функция Amazon EKS превращает эту сложную операционную задачу в структурированный жизненный цикл, управляемый платформой.
Модель разделения ответственности при ротации CA
Выполнение ротации CA в Amazon EKS опирается на модель разделения ответственности между AWS и клиентом. Платформа абстрагирует сложность плоскости управления, в то время как операторы инфраструктуры должны обновлять управляемые клиентом вычислительные уровни и внешние интеграции.
- Операции под управлением AWS: Amazon EKS управляет общим рабочим процессом ротации, автоматически настраивая компоненты плоскости управления под управлением AWS для доверья преемственному CA. Бессерверные вычислительные уровни, включая узлы AWS Fargate и инстансы EKS Auto Mode, обновляются AWS автоматически без ручной рециркуляции узлов.
- Ответственность клиента: Инженеры платформы по-прежнему несут ответственность за подготовку обновленных самоуправляемых и управляемых групп узлов для установления доверия с новым CA. Кроме того, команды должны обновить все внешние клиенты, интеграции мониторинга и инструменты развертывания, которые подключаются к серверу API Kubernetes кластера до того, как преемственный CA станет активным.
Автоматизированные средства защиты и аварийное восстановление
Чтобы предотвратить случайные сбои, вызванные пропущенными дедлайнами, Amazon EKS объединяет несколько механизмов автоматической безопасности на протяжении всего жизненного цикла ротации:
- Уведомления заранее: Система предупреждает администраторов до истечения срока действия сертификата, предоставляя достаточный запас времени для планирования обслуживания кластера.
- Автоматическая генерация преемственного CA: Если организация не инициирует ротацию вручную, Amazon EKS автоматически добавляет преемственный CA в цепочку доверия до истечения срока действия.
- Запланированная автоактивация: Если клиент не активирует новый CA в течение операционного окна, платформа принудительно выполнит активацию автоматически, чтобы предотвратить сбои из-за полного истечения срока действия.
- Встроенные возможности отката: Если после инициирования перехода возникают проблемы с подключением клиентов или неправильно настроенные рабочие узлы, администраторы могут вернуться к предыдущему CA для устранения неполадок без продолжительного простоя.
Региональная доступность и инструменты управления
Ротация центра сертификации Amazon EKS доступна немедленно без дополнительных затрат во всех коммерческих регионах AWS. Команды DevOps и платформ могут управлять всем жизненным циклом ротации с помощью существующих рабочих процессов «инфраструктура как код» и инструментов разработчика, включая консоль управления AWS, интерфейс командной строки AWS (AWS CLI), REST API EKS и шаблоны AWS CloudFormation.
Источник: Оригинальная статья
