Amazon Web Services, Amazon Elastic Kubernetes Service (Amazon EKS) için yerleşik yaşam döngüsü yönetimine sahip otomatik sertifika otoritesi (CA) rotasyonunu kullanıma sundu. Bu güncelleme, kurumsal Kubernetes altyapıları için kritik bir operasyonel dönüm noktasına hitap ederek yöneticilerin kontrol düzlemi kesintisi veya iletişim kopması riski olmadan küme kök sertifikalarını yenilemesini sağlıyor.
Kubernetes mimarisinde küme Sertifika Otoritesi, dahili ve harici iletişimler için güvenin temelini oluşturur. Kubernetes API sunucusu, her işçi düğümünde çalışan kubelet aracısı, kontrol düzlemi denetleyicileri ve CI/CD hatları ile komut satırı araçları gibi harici yönetim istemcileri tarafından gerekli görülen TLS sertifikalarını imzalar. Amazon EKS, bu yönetilen rotasyon yeteneği sayesinde yeni CA’leri devreye sokmak ve süresi dolan kimlik bilgilerini sorunsuz bir şekilde emekliye ayırmak için yapılandırılmış bir yol sunuyor.
10 Yıllık Geçerlilik Penceresi ve Operasyonel Etki
Amazon EKS 2018 yılında ilk çıkışını yaptığında, kümeler sabit %10 yıllık geçerlilik penceresine sahip özel kök CA’ler ile yapılandırılmıştı. İlk üretim dağıtımları sertifika yaşam döngülerinin ikinci yarısına yaklaşırken, eski kümeleri işleten kuruluşlar yaklaşan son kullanma tarihimleriyle karşı karşıya kalıyor. Bir Kubernetes CA’si yenilenmeden süresini doldurursa, API sunucusu düğüm sinyallerini (heartbeat) ve yönetim taleplerini reddederek yaygın hizmet arızalarını tetikler.
Saf (vanilla) Kubernetes’te küme genelinde bir kök sertifikayı yenilemek, tarihsel olarak karmaşık ve hataya açık bir çaba olmuştur; genellikle manuel sertifika demeti manipülasyonu, aşamalı düğüm yeniden başlatmaları ve yüksek riskli bakım pencereleri gerektirir. Yeni Amazon EKS özelliği, bu karmaşık operasyonel zorluğu yapılandırılmış, platform tarafından yönetilen bir yaşam döngüsüne dönüştürüyor.
CA Rotasyonunda Ortak Sorumluluk Modeli
Amazon EKS’te bir CA rotasyonu gerçekleştirmek, AWS ile müşteri arasında ortak bir sorumluluk modeline dayanır. Platform, kontrol düzlemi karmaşıklığını soyutlarken altyapı operatörlerinin müşteri tarafından yönetilen hesaplama katmanlarını ve harici entegrasyonları güncellemesini gerektirir.
- AWS Tarafından Yönetilen İşlemler: Amazon EKS, genel rotasyon iş akışını yöneterek AWS tarafından yönetilen kontrol düzlemi bileşenlerini halef CA’ye güvenecek şekilde otomatik olarak yapılandırır. AWS Fargate düğümleri ve EKS Auto Mode örnekleri dahil olmak üzere sunucusuz hesaplama katmanları, manuel düğüm geri dönüşümüne gerek kalmadan AWS tarafından otomatik olarak güncellenir.
- Müşteri Tarafından Yönetilen Sorumluluklar: Platform mühendisleri, yeni CA ile güven tesis etmek için güncellenmiş kendi kendine yönetilen ve yönetilen düğüm gruplarını sağlamaktan sorumludur. Ayrıca ekipler, halef CA aktif hale gelmeden önce kümenin Kubernetes API sunucusuna bağlanan tüm harici istemcileri, izleme entegrasyonlarını ve dağıtım araçlarını güncellemelidir.
Otomatik Koruma Önlemleri ve Felaket Kurtarma
Kaçırılan son tarihlerden kaynaklanan kazara kesintileri önlemek için Amazon EKS, rotasyon yaşam döngüsü boyunca çeşitli otomatik güvenlik mekanizmaları entegre eder:
- Ön Bildirimler: Sistem, sertifika süresi dolmadan önce yöneticileri uyararak küme bakımını planlamak için yeterli süre tanır.
- Otomatik Halef CA Üretimi: Bir kuruluş manuel olarak bir rotasyon başlatmazsa, Amazon EKS süre dolmadan önce güven zincirine otomatik olarak bir halef CA ekler.
- Zamanlanmış Otomatik Etkinleştirme: Bir müşteri yeni CA’yi operasyonel pencere içinde etkinleştiremezse, platform sertifikanın süresinin dolmasından kaynaklanan arızaları önlemek için etkinleştirmeyi otomatik olarak zorunlu kılar.
- Entegre Geri Alım (Rollback) Yetenekleri: Geçiş başlatıldıktan sonra istemci bağlantı sorunları veya yanlış yapılandırılmış işçi düğümleri ortaya çıkarsa, yöneticiler uzun süreli kesintiler yaşamadan sorun gidermek için önceki CA’ye geri dönebilirler.
Bölgesel Erişilebilirlik ve Yönetim Araçları
Amazon EKS sertifika otoritesi rotasyonu, ek bir ücret ödemeden tüm ticari AWS Bölgelerinde hemen kullanılabilir durumda. DevOps ve platform mühendisliği ekipleri; AWS Management Console, AWS Command Line Interface (AWS CLI), EKS REST API’leri ve AWS CloudFormation şablonları dahil olmak üzere mevcut altyapı olarak kod (IaC) iş akışlarını ve geliştirici araçlarını kullanarak tüm rotasyon yaşam döngüsünü yönetebilirler.
Kaynak: Orijinal Makale
