EKS API ಅನ್ನು VPN ಹಿಂದೆ ಇರಿಸಿ: ಕಾರ್ಯಾಚರಣೆಗಳ ಕ್ರಮ

ಖಾಸಗಿ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಸಕ್ರಿಯಗೊಳಿಸಿ, kubectl ಅದನ್ನು ತಲುಪಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಿ, ನಂತರ ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮುಚ್ಚಿ. ಪ್ರತಿ ಹಂತದ ನಡುವಿನ ಆದೇಶಗಳು ಮತ್ತು ಪರಿಶೀಲನೆಗಳೊಂದಿಗೆ ಹಂತಹಂತದ ರನ್‌ಬುಕ್.

ಈ ಬದಲಾವಣೆಯ ಅಪಾಯಕಾರಿ ಆವೃತ್ತಿ ಎಂದರೆ ಒಂದೇ ಆದೇಶವು ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅನ್ನು ತಿರುಗಿಸಿ ಎಲ್ಲಾ ನಿರ್ವಾಹಕರನ್ನು ಒಟ್ಟಿಗೆ ಲಾಕ್ ಮಾಡುತ್ತದೆ. ಸುರಕ್ಷಿತ ಆವೃತ್ತಿ ಎರಡೂ ಮಾರ್ಗಗಳನ್ನು ತೆರೆದಿಡುತ್ತದೆ, ಖಾಸಗಿ ಮಾರ್ಗವು VPN ನಿಂದ ಕೆಲಸ ಮಾಡುತ್ತದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ನಂತರವೇ ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಇರುವ ಕ್ಲಸ್ಟರ್, ಅದರ VPC ಗೆ ಅನುಮೋದಿತ ಸುರಂಗ ಮತ್ತು ಈಗಾಗಲೇ ಕೆಲಸ ಮಾಡುತ್ತಿರುವ kubeconfig ಇದೆ ಎಂದು ಊಹಿಸಿ; ಕೆಲಸವು Kubernetes API ಗೆ ಖಾಸಗಿ ಪ್ರವೇಶ, ಖಾಸಗಿ ನೋಡ್‌ಗಳಲ್ಲ ಮತ್ತು ಹೊಸ ಅನುಮತಿ ಮಾದರಿಯಲ್ಲ. ಕೆಳಗಿನ ಪ್ರತಿ ಹಂತದಲ್ಲೂ ಸುರಕ್ಷಿತವಾಗಿ ವಿಫಲವಾಗಬಹುದಾದ ಪರಿಶೀಲನೆ ಇದೆ.

1. ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅನ್ನು ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಹಿಂತಿರುಗುವ ದಾರಿ ಇಟ್ಟುಕೊಳ್ಳಿ

ಬದಲಾಯಿಸುವ ಮೊದಲು ಪ್ರಸ್ತುತ ಸ್ಥಿತಿಯನ್ನು ದಾಖಲಿಸಿ, ಸಾರ್ವಜನಿಕ CIDR ಅನುಮತಿ ಪಟ್ಟಿ ಮತ್ತು ಕ್ಲಸ್ಟರ್ ಭದ್ರತಾ ಗುಂಪು ಸೇರಿದಂತೆ. ಏನಾದರೂ ಕೆಲಸ ನಿಲ್ಲಿಸಿದಾಗ ನೀವು ಹೋಲಿಸುವುದು ಈ ಎರಡನ್ನೇ, ಮತ್ತು ಖಾಸಗಿ ಮಾರ್ಗ ತಪ್ಪಾಗಿದೆ ಎಂದು ತಿಳಿದರೆ ಅನುಮತಿ ಪಟ್ಟಿಯೇ ನಿಮ್ಮ ರೋಲ್‌ಬ್ಯಾಕ್ ದಾರಿ.

aws eks describe-cluster --region REGION --name CLUSTER \
  --query 'cluster.{endpoint:endpoint,public:resourcesVpcConfig.endpointPublicAccess,private:resourcesVpcConfig.endpointPrivateAccess,cidrs:resourcesVpcConfig.publicAccessCidrs}'

ಇಲ್ಲಿ REGION ಮತ್ತು CLUSTER ಪ್ಲೇಸ್‌ಹೋಲ್ಡರ್‌ಗಳು. ಖಾಸಗಿ ಫ್ಲ್ಯಾಗ್ ಈಗ ಏನು ತೋರಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಗಮನಿಸಿ, ಏಕೆಂದರೆ ಈಗಾಗಲೇ ಖಾಸಗಿ ಪ್ರವೇಶ ಸಕ್ರಿಯವಾಗಿರುವ ಕ್ಲಸ್ಟರ್‌ಗೆ ಎಂದೂ ಅದನ್ನು ಹೊಂದಿರದ ಕ್ಲಸ್ಟರ್‌ಗಿಂತ ಬೇರೆ ಮೊದಲ ಹಂತ ಬೇಕು. ಪರಿವರ್ತನೆಯ ಸಮಯದಲ್ಲಿ ಕನಿಷ್ಠ ಒಂದು ಅನುಮೋದಿತ ಆಡಳಿತ ಮಾರ್ಗವನ್ನು ತೆರೆದಿಡಿ; ಅದೇ ಕ್ಲಸ್ಟರ್ ತಲುಪಬಹುದಾದರ ಮೇಲೆ ಅವಲಂಬಿತವಾದ VPN ಚೇತರಿಕೆ ಮಾರ್ಗವಲ್ಲ.

2. ನೆಟ್‌ವರ್ಕ್ ಮಾರ್ಗ ಸಿದ್ಧವಾದಾಗ ಖಾಸಗಿ ಪ್ರವೇಶ ಸಕ್ರಿಯಗೊಳಿಸಿ

ಫ್ಲ್ಯಾಗ್ ಆನ್ ಮಾಡುವುದು ಸುಲಭ ಅರ್ಧ. ಸುರಂಗಕ್ಕೆ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಖಾಸಗಿ ವಿಳಾಸಗಳಿಗೆ ಮಾರ್ಗ ಬೇಕು, ಮತ್ತು ಕ್ಲಸ್ಟರ್ ಭದ್ರತಾ ಗುಂಪಿಗೆ VPN ನಿಜವಾಗಿ ಪ್ರಸ್ತುತಪಡಿಸುವ ಮೂಲದಿಂದ TCP 443 ಬೇಕು. Client VPN ಸಂಯೋಜನೆ, ಸೈಟ್-ಟು-ಸೈಟ್ ಗೇಟ್‌ವೇ ಮತ್ತು ಪೀರ್ ಮಾಡಿದ VPC ಎಲ್ಲವೂ ವಿಭಿನ್ನ ಮೂಲ ವಿಳಾಸಗಳನ್ನು ಪ್ರಸ್ತುತಪಡಿಸಬಹುದು, ಆದ್ದರಿಂದ ಸಾಮಾನ್ಯ ಖಾಸಗಿ ಶ್ರೇಣಿಯ ಬದಲು ನೀವು ನಿಯೋಜಿಸಿದ ಮಾದರಿಯನ್ನು ಬಳಸಿ.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true

aws eks describe-update --region REGION --name CLUSTER --update-id UPDATE_ID

ನವೀಕರಣ ಅಸಿಂಕ್ರೋನಸ್. ನಿಗದಿತ ಸೆಕೆಂಡುಗಳನ್ನು ಕಾಯುತ್ತಾ ಊಹಿಸುವ ಬದಲು ನವೀಕರಣ id ಯಶಸ್ಸನ್ನು ವರದಿ ಮಾಡುವವರೆಗೆ ಕೇಳಿ. ಇದನ್ನು ಮಾಡುವಾಗ ನೋಡ್ ಮತ್ತು ನಿಯಂತ್ರಣ ಸಮತಲದ ಸಂಚಾರವನ್ನು ಬಿಡಿ: ಕ್ಲಸ್ಟರ್‌ನ ಇಡೀ ಭದ್ರತಾ ಗುಂಪನ್ನು ನಿಮ್ಮ ಲ್ಯಾಪ್‌ಟಾಪ್‌ಗಾಗಿ ಒಂದು ನಿಯಮದಿಂದ ಬದಲಾಯಿಸುವುದು ಕೆಲಸ ಮಾಡುತ್ತಿರುವ ಡೇಟಾ ಸಮತಲವನ್ನು ಎರಡನೇ ಘಟನೆಯಾಗಿಸುವ ದಾರಿ.

EKS ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗಳ ದಾಖಲೆ ಒಮ್ಮೆ ಪೂರ್ಣವಾಗಿ ಓದಲು ಯೋಗ್ಯವಾಗಿದೆ, ಏಕೆಂದರೆ ಕೇವಲ-ಖಾಸಗಿ ಪ್ರವೇಶವು VPC ಅಥವಾ ಸಂಪರ್ಕಿತ ನೆಟ್‌ವರ್ಕ್‌ನಿಂದ ಬರಬಹುದು ಎಂದು ಹೇಳುತ್ತದೆ. ಆ ವಾಕ್ಯವೇ ಈ ಸ್ಥಳಾಂತರ ಸಾಧ್ಯವಾಗಲು ಇಡೀ ಕಾರಣ, ಮತ್ತು ಮುಂದಿನ ಹಂತ ಇರಲು ಅದೇ ಕಾರಣ.

3. ಕೆಲಸದ ಕೇಂದ್ರವು ಖಾಸಗಿ ಮಾರ್ಗ ಬಳಸಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಿ

ಎರಡೂ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ಗಳು ಸಕ್ರಿಯವಾಗಿದ್ದಾಗ ಯಶಸ್ವಿ kubectl get ns ಯಾವುದು ಉತ್ತರಿಸಿತು ಎಂಬುದನ್ನು ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಹೋಸ್ಟ್‌ನಾಮ್ ಅನ್ನು ಪರಿಹರಿಸಿ ಮತ್ತು ನೀವು ಪಡೆದ ವಿಳಾಸವು ಖಾಸಗಿ ಶ್ರೇಣಿಗೆ ಸೇರಿದೆಯೇ ಅಥವಾ ಸಾರ್ವಜನಿಕಕ್ಕೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ನಿಮ್ಮ ಸಂಪರ್ಕಿತ ನೆಟ್‌ವರ್ಕ್ DNS ಮೂಲಕ ಖಾಸಗಿ ದೃಶ್ಯವನ್ನು ಪಡೆಯದಿದ್ದರೆ, ಆದೇಶವು ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮೂಲಕ ಯಶಸ್ವಿಯಾಗುತ್ತದೆ ಮತ್ತು ನೀವು ಸುಳ್ಳು ಸಾಕ್ಷ್ಯದ ಮೇಲೆ ಸಾರ್ವಜನಿಕ ಮಾರ್ಗವನ್ನು ನಿಲ್ಲಿಸುತ್ತೀರಿ. ಇದು ಈ ಸ್ಥಳಾಂತರ ತಪ್ಪಾಗುವ ಅತ್ಯಂತ ಸಾಮಾನ್ಯ ದಾರಿ, ಮತ್ತು ಅದು ಯಶಸ್ಸಿನಂತೆಯೇ ಕಾಣುತ್ತದೆ.

nslookup HASH.gr7.REGION.eks.amazonaws.com
kubectl cluster-info
kubectl get ns --request-timeout=10s

ಹೋಸ್ಟ್‌ನಾಮ್ ಮತ್ತು ಪ್ರಮಾಣಪತ್ರ ಪರಿಶೀಲನೆಯನ್ನು ಇರುವಂತೆಯೇ ಇಡಿ. kubeconfig ನಲ್ಲಿ ಖಾಸಗಿ IP ಹಾಕುವುದು ಮತ್ತು TLS ಪರಿಶೀಲನೆಯನ್ನು ಬಿಟ್ಟುಬಿಡುವುದು ನೀವು ಬದಲಾವಣೆ ದಾಖಲೆಯಲ್ಲಿ ವಿವರಿಸಿದ ಸ್ಥಳಾಂತರವಲ್ಲ, ಮತ್ತು ಎಂಡ್‌ಪಾಯಿಂಟ್ ತಿರುಗಿದ ಕ್ಷಣದಲ್ಲಿ ಅದು ಮತ್ತೆ ವಿಫಲವಾಗುತ್ತದೆ.

4. ಸಾರ್ವಜನಿಕ ಪ್ರವೇಶವನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ನಿಲ್ಲಿಸಿ

ಖಾಸಗಿ ಮಾರ್ಗವನ್ನು ತೋರಿಸಿದ ನಂತರ ಮತ್ತು ಚೇತರಿಕೆ ಪ್ರವಾಹ ಅನುಮೋದನೆಗೊಂಡ ನಂತರ, ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಮುಚ್ಚಿ. ಇದು ಮುನ್ನೋಟವಲ್ಲ, ನಿಜವಾದ ಬದಲಾವಣೆ, ಆದ್ದರಿಂದ ನೀವು ನಿಜವಾಗಿ ಉದ್ದೇಶಿಸಿದ ಖಾತೆ ಮತ್ತು ಸೆಟ್ಟಿಂಗ್‌ಗಳ ಮೇಲೆ ಅದನ್ನು ಚಲಾಯಿಸಿ.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=false,endpointPrivateAccess=true

ಕೇವಲ-ಖಾಸಗಿ ಮೋಡ್‌ನಲ್ಲಿ ಸಾರ್ವಜನಿಕ DNS ಹೆಸರು VPC ಒಳಗಿನಿಂದ ಎಂಡ್‌ಪಾಯಿಂಟ್‌ನ ಖಾಸಗಿ ವಿಳಾಸಗಳಿಗೆ ಪರಿಹರಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪರಿಹಾರ ಮತ್ತು ತಲುಪುವಿಕೆ ಒಂದೇ ವಿಷಯವಾಗುವುದಿಲ್ಲ. ಸಾರ್ವಜನಿಕ ವಿಳಾಸವನ್ನು ಅವಲಂಬಿಸಿದ ಎಲ್ಲವೂ, CI ರನ್ನರ್‌ಗಳು ಅಥವಾ ಬೇರೆ ನೆಟ್‌ವರ್ಕ್‌ನ ಲ್ಯಾಪ್‌ಟಾಪ್ ಸೇರಿದಂತೆ, ಈಗ ತನ್ನದೇ ಪ್ರವೇಶ ಮಾರ್ಗವನ್ನು ಬಯಸುತ್ತದೆ.

5. ನೆಟ್‌ವರ್ಕ್ ನೀತಿ ಮತ್ತು ಗುರುತಿನ ನೀತಿಯನ್ನು ಪ್ರತ್ಯೇಕವಾಗಿಡಿ

ಸಾರ್ವಜನಿಕ ಪ್ರವೇಶ CIDR ಪಟ್ಟಿ ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅನ್ನು ಮಾತ್ರ ನಿಯಂತ್ರಿಸುತ್ತದೆ. ಅದು ಖಾಸಗಿ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಅನ್ನು ನಿರ್ಬಂಧಿಸುವುದಿಲ್ಲ, ಅದನ್ನು ಬದಲಿಗೆ ಕ್ಲಸ್ಟರ್ ಭದ್ರತಾ ಗುಂಪು ಮತ್ತು ಸಂಪರ್ಕಿತ-ನೆಟ್‌ವರ್ಕ್ ನೀತಿ ಮಿತಿಗೊಳಿಸುತ್ತದೆ. ನೀವು ಸಾರ್ವಜನಿಕ ಎಂಡ್‌ಪಾಯಿಂಟ್ ಇಟ್ಟುಕೊಂಡರೆ, ಅದರ ಅನುಮತಿ ಪಟ್ಟಿ ನಿಮ್ಮ API ಕ್ಲೈಂಟ್‌ಗಳು ಮತ್ತು ನೋಡ್‌ಗಳು ನಿಜವಾಗಿ ಬಳಸುವ ಸಾರ್ವಜನಿಕ ಹೊರಹರಿವಿಗೆ ಹೊಂದಿಕೆಯಾಗಬೇಕು; VPN ಪೂಲ್ ವಿಳಾಸ ಅಪರೂಪವಾಗಿ ಆ ಮೂಲವಾಗಿರುತ್ತದೆ.

ಇವುಗಳಲ್ಲಿ ಯಾವುದೂ IAM ಅಥವಾ Kubernetes RBAC ಅನ್ನು ಬದಲಾಯಿಸುವುದಿಲ್ಲ. ಎಂಡ್‌ಪಾಯಿಂಟ್ ಸೆಟ್ಟಿಂಗ್‌ಗಳು ಆಡಳಿತಾತ್ಮಕ ಕ್ರಿಯೆ, ಮತ್ತು ಸಾಮಾನ್ಯ ಬಳಕೆದಾರರು API ತಲುಪಲು ಮಾತ್ರ ಗಡಿಯನ್ನು ಸಡಿಲಗೊಳಿಸುವ ಅನುಮತಿ ಪಡೆಯಬಾರದು. ಅಂತಿಮ ಸ್ಥಿತಿ, ದಿನಾಂಕ ಮತ್ತು ಚೇತರಿಕೆ ಮಾರ್ಗವನ್ನು ರನ್‌ಬುಕ್‌ನಲ್ಲಿ ಬರೆಯಿರಿ, ನಂತರ ಚೇತರಿಕೆ ಮಾರ್ಗವನ್ನು ಇನ್ನೂ ಸುಲಭವಾಗಿರುವಾಗ ಒಮ್ಮೆ ಪರೀಕ್ಷಿಸಿ.

ಸಂಬಂಧಿತ ಲೇಖನಗಳು