D’EKS-API hannert engem VPN setzen: d’Reihefolleg vun den Operatiounen

Aktivéiert den private Endpunkt, bewisen datt kubectl en erreecht huet, a schléisst dann deen öffentlechen. E Runbook a Schrëtt mat den Kommandoen an de Kontrollen tëscht all Schrëtt.

Déi geféierlech Versioun vun dëser Ännerung ass een eenzegen Kommando, deen den Endpunkt ëmdréit an all Administrateuren zur selwechter Zäit ausschléisst. Déi sécher Versioun hält béid Weeër op, bewisen datt dee private vum VPN aus fonctionnéiert, an zitt eréischt duerno den öffentlechen Endpunkt zréck. Gitt vun engem bestoeenden Cluster, engem genehmegten Tunnel an säin VPC an engem kubeconfig aus, deen schonn fonctionnéiert; d’Aufgab ass de private Zougang zu der Kubernetes-API, net privat Nodes an och net en neit Berechtegungsmodell. All Schrëtt hei drënner huet eng Kontroll, op där Dir sécher kënnt feelen.

1. Den Endpunkt inventariséieren an e Wee zréck behalen

Hält den aktuellen Zoustand fest, ier Dir en ännert, inklusiv der öffentlecher CIDR-Erlaabnislëscht an der Sécherheetsgrupp vum Cluster. Genau déi zwee wäert Dir vergläichen, wann eppes ophält ze fonctionnéieren, an d’Erlaabnislëscht ass och Äre Wee zréck, wann de private Wee sech als falsch erweist.

aws eks describe-cluster --region REGION --name CLUSTER \
  --query 'cluster.{endpoint:endpoint,public:resourcesVpcConfig.endpointPublicAccess,private:resourcesVpcConfig.endpointPrivateAccess,cidrs:resourcesVpcConfig.publicAccessCidrs}'

REGION a CLUSTER si Justierplazen hei. Kuckt wat de private Fändel elo liest, well en Cluster, dee mat schonn aktivéiertem private Zougang erstallt gouf, en aneren éischte Schrëtt brauch wéi een, deen en ni hat. Hält wärend der Iwwergangsphas op d’mannst ee genehmegte Verwaltungswee op; e VPN, dee vun der Erreechbarkeet vum selwechte Cluster ofhänkt, ass kee Wee zréck.

2. Den private Zougang aktivéieren, wann de Netzwee stäht

De Fändel anzeschalten ass déi einfach Halschent. Den Tunnel brauch eng Route zu de privaten Adresse vum Endpunkt, an d’Sécherheetsgrupp vum Cluster brauch TCP 443 vun der Quell, déi de VPN wierklech presentéiert. Eng Client VPN-Associatioun, en Site-to-Site-Gateway an en gepeertes VPC kënnen all ënnerschiddlech Quelladresse présentéieren, also benotzt de Modell, deen Dir deployéiert hutt, amplaz engem allgemenge private Beräich.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true

aws eks describe-update --region REGION --name CLUSTER --update-id UPDATE_ID

D’Aktualiséierung ass asynchron. Frot d’Update-ID of, bis se Erfolleg mellt, amplaz eng fix Zuel vu Sekonnen ze waarden an et unzehuelen. Loosst den Traffic vun den Nodes an der Kontrollfläch a Rou, während Dir dat maacht: d’ganz Sécherheetsgrupp vum Cluster duerch eng Regel fir Ären Laptop ersetzen ass de Wee, wéi eng funktionéierend Datefläch en zweeten Tëschefall gëtt.

D’Dokumentatioun zu den EKS-Endpunkten ass eng Kéier ganz ze liesen wäert, well se seet, datt nëmme-private Zougang aus dem VPC oder engem ugeschlossene Reseau ka kommen. Dee Saz ass de ganzen Grond, firwat dës Migratioun méiglech ass, an et ass och de Grond, firwat den nächste Schrëtt existéiert.

3. Beweist, datt d’Aarbechtsstatioun de private Wee benotzt huet

Mat béiden Endpunkten aktivéiert, bewisen e gelungene kubectl get ns näischt doruewer, wien geäntwert huet. Léist den Hostnumm vum Endpunkt op a kontrolléiert, ob déi kritt Adress zum private oder zum öffentleche Beräich gehéiert. Wann Ären ugeschlossene Reseau d’privat Vue net iwwer DNS kritt, wäert de Kommando iwwer den öffentlechen Endpunkt geléngen an Dir zitt de öffentleche Wee op Basis vu falsche Beweiser zréck. Dat ass deen heefegste Wee, wéi dës Migratioun schief geet, an et gesäit genee aus wéi en Erfolleg.

nslookup HASH.gr7.REGION.eks.amazonaws.com
kubectl cluster-info
kubectl get ns --request-timeout=10s

Hält den Hostnumm an d’Zertifikatsvalidatioun genee sou, wéi se sinn. Eng privat IP an de kubeconfig setzen an d’TLS-Prüfung iwwersprangen ass net d’Migratioun, déi Dir an der Ännerungsnotiz beschriwwen hutt, an et wäert erëm feelen, soubal den Endpunkt sech dréit.

4. Den öffentlechen Zougang bewosst zréckzéien

Soubal de private Wee bewisen an den Erhuelungsprozess genehmegt ass, schléisst den öffentlechen Endpunkt. Dëst ass eng richteg Ännerung an net eng Virausschaung, also féiert se op deem Kont a mat deene Astellungen aus, déi Dir wierklech mengt.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=false,endpointPrivateAccess=true

Am Modus nëmme privat léist den öffentlechen DNS-Numm sech zu de privaten Adresse vum Endpunkt vun innerhalb vum VPC op, also hale Resolutioun an Erreechbarkeet op datselwecht ze sinn. Alles, wat sech op déi öffentlech Adress verlooss huet, dorënner CI-Runner oder en Laptop an engem aneren Netz, brauch elo säin eegene Wee Eraus.

5. Netzpolitik an Identitéitspolitik getrennt halen

D’CIDR-Lëscht vum öffentlechen Zougang regelt nëmmen den öffentlechen Endpunkt. Se beänkelt net de privaten Endpunkt, deen amplaz vun der Sécherheetsgrupp vum Cluster an der Politik vum ugeschlossene Reseau begrenzt gëtt. Wann Dir den öffentlechen Endpunkt behält, muss seng Erlaabnislëscht zur öffentlecher Egress passen, déi Är API-Clienten an Nodes tatsächlech benotzen; eng Adress aus engem VPN-Pool ass selten déi Quell.

Näischt dovun ännert IAM oder Kubernetes RBAC. Endpunktastellungen sinn eng administrativ Aktioun, a gewéinlech Benotzer sollten keng Erlaabnis kréien, d’Grenz ze läschen just fir d’API z’erreechen. Schreift den Endzoustand, den Datum an de Wee zréck an de Runbook, an testt dann de Wee zréck eng Kéier, wärend en nach einfach ass.

Ähnlech Artikelen