Kubernetes
Kopiera länk till sidan “Kubernetes”
Förnyar Kubernetes TLS Secrets och JKS/PKCS#12-lager och kontrollerar certifikatet som Ingress eller applikationen serverar.
Så går det till
- Appliancen ansluter till Kubernetes genom Kubernetes HTTPS API på port 6443.
- Hittar befintliga certifikat, nyckellageridentiteter och Ingress-konsumenter. Secrets som cert-manager eller en annan controller äger ändras inte.
- Validerar certifikat, nyckel och kedja och uppdaterar endast vald TLS-identitet eller nyckellageralias i en befintlig, ändringsbar Secret. Övriga data, alias och metadata bevaras.
- Befintlig Ingress-controller eller applikation läser in ändringen via sin omladdningsmekanism. Agenten kontrollerar serverat leaf-certifikat och hela mellanliggande kedjan mot betrodda rötter. Om det misslyckas: Vid fel återställs tidigare valda data om de fortfarande motsvarar agentens ändring, och tidigare serverat certifikat kontrolleras. Samtidiga ändringar av valda data skrivs inte över.
Tekniska detaljer
- Anslutning
- Paketet körs på appliancen, som ansluter över HTTPS till Kubernetes HTTPS API, port 6443. Ingen agent installeras.
- Ni behöver
- ServiceAccount-token med get/patch på vald Secret, läsåtkomst till relevanta Ingress-resurser och API-discovery. Namespace-inventering kräver list; cert-manager kräver list av Certificates i samma namespace. En Role med resourceNames kan begränsa Secret-åtkomst till ett namn.
- Åtgärder
- Discovery, Installation, Kontroll, Rollback
- Paket
-
kubernetes-api1.0.0 - Observera
-
- Ange API_URL med klustrets HTTPS-port (vanligen 6443 eller 443 via proxy), NAMESPACE och SECRET_NAME. INGRESS_NAME kan begränsa läsning till en Ingress. Agenten väljer API-versionen som klustret annonserar; TLS-bindningar ändras inte och immutable Secrets tas inte bort eller återskapas.
- API-TLS verifieras som standard; privat CA, MANAGEMENT_TLS_PIN_SHA256 eller uttryckligt ignore kan väljas. Serverat certifikat använder separat VERIFY_CA_BUNDLE eller systemets rötter. Vid förnyelse av själva API-certifikatet används CA-tillit för automatisk förnyelse; en leaf-pin måste hållas aktuell.
- En enda konkret Ingress-värd kan väljas automatiskt för kontroll. Annars anges VERIFY_HOST, vid behov VERIFY_PORT och VERIFY_SERVER_NAME för SNI. Wildcard-bindningar kräver en konkret värd. Kontrollen väntar normalt upp till 180 sekunder; VERIFY_TIMEOUT kan vara 1–420 sekunder.
- JKS/PKCS#12 kräver Java keytool med stöd för password-file och OpenSSL på appliance. Ange SECRET_DATA_KEY, lagerlösenord och vid flera identiteter KEYSTORE_ALIAS. Lösenord kan läsas från en annan data-entry i samma Secret. Befintliga lösenord bevaras; tecken måste stödjas av Java-provider. Java 17 SunJCE använder printable ASCII för PKCS#12-lösenord. Äldre och modern PKCS#12-skydd väljs från upptäckt lager.
- Uttrycklig rollback kräver tidigare certifikat och nyckel eller tidigare nyckellager samt kontroll av aktuell certifikatidentitet. Historiklagret kan innehålla endast vald identitet; dess base64-input kan rymma 768 KiB decoded. Agenten startar inte om workloads; Ingress-controllern eller applikationen måste redan kunna läsa in ändrade Secrets.