Qiegħed l-API tal-EKS wara VPN: l-ordni tal-operazzjonijiet

Attiva l-endpoint privat, uri li kubectl wasal għalih, imbagħad agħlaq dak pubbliku. Runbook pass pass bl-amministrazzjonijiet u l-kontrolli bejn kull pass.

Il-verżjoni perikoluża ta’ din il-bidla hija amministrazzjoni waħda li ddawwar l-endpoint u tissokta lill-amministraturi kollha fl-istess ħin. Il-verżjoni sigura żżomm iż-żewġ toroq miftuħa, turi li dak privat jaħdem mill-VPN, u biss wara tirtira l-endpoint pubbliku. Assumi kluster eżistenti, tunnel approvat fil-VPC tiegħu u kubeconfig li diġà jaħdem; ix-xogħol huwa aċċess privat għall-API ta’ Kubernetes, mhux nodi privati u mhux mudell ġdid ta’ permessi. Kull pass hawn taħt għandu kontroll li fih tista’ tonqos b’mod sigur.

1. Inventarja l-endpoint u żomm triq lura

Irreġistra l-istat attwali qabel ma tibdlu, inkluża l-lista CIDR pubblika tal-permessi u l-grupp tas-sigurtà tal-kluster. Dawk it-tnejn huma li se tqabbel meta xi ħaġa tieqaf taħdem, u l-lista tal-permessi hija wkoll it-triq tal-irkupru tiegħek jekk ir-rotta privata tirriżulta ħażina.

aws eks describe-cluster --region REGION --name CLUSTER \
  --query 'cluster.{endpoint:endpoint,public:resourcesVpcConfig.endpointPublicAccess,private:resourcesVpcConfig.endpointPrivateAccess,cidrs:resourcesVpcConfig.publicAccessCidrs}'

REGION u CLUSTER huma sostituti hawn. Innota x’qed jaqra l-bandiera privata bħalissa, għax kluster maħluq bl-aċċess privat diġà attivat jeħtieġ ewwel pass differenti minn wieħed li qatt ma kellu. Żomm mill-inqas triq amministrattiva approvata miftuħa waqt it-tranżizzjoni; VPN li tiddependi fuq li l-istess kluster jkun aċċessibbli mhix triq tal-irkupru.

2. Attiva l-aċċess privat bit-triq tan-netwerk f’postha

Ix-xegħil tal-bandiera hija n-nofs faċli. It-tunnel jeħtieġ rotta lejn l-indirizzi privati tal-endpoint, u l-grupp tas-sigurtà tal-kluster jeħtieġ TCP 443 mis-sors li l-VPN fil-fatt jippreżenta. Assoċjazzjoni Client VPN, gateway site-to-site u VPC peering jistgħu kollha jippreżentaw indirizzi tas-sors differenti, għalhekk uża l-mudell li ddeployjajt minflok firxa privata ġenerika.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=true,endpointPrivateAccess=true

aws eks describe-update --region REGION --name CLUSTER --update-id UPDATE_ID

L-aġġornament huwa asinkronu. Staqsi l-id tal-aġġornament sakemm jirrapporta suċċess minflok ma tistenna numru fiss ta’ sekondi u tassumi. Ħalli t-traffiku tan-nodi u tal-pjan ta’ kontroll kwiet waqt li tagħmel dan: is-sostituzzjoni tal-grupp tas-sigurtà kollu tal-kluster b’regola għall-laptop tiegħek hija l-mod kif pjan ta’ data li jaħdem isir it-tieni inċident.

Id-dokumentazzjoni tal-endpoints EKS jistħoqqilha qari sħiħ darba, għax tgħid li aċċess biss privat jista’ jiġi mill-VPC jew minn netwerk konness. Dik il-frażi hija r-raġuni kollha għaliex din il-migrazzjoni hija possibbli, u hija wkoll ir-raġuni għaliex jeżisti l-pass li jmiss.

3. Uri li l-istazzjon tax-xogħol uża t-triq privata

B’żewġ endpoints attivati, kubectl get ns b’suċċess ma juri xejn dwar liema wieħed wieġeb. Issolvi l-isem tal-host tal-endpoint u ċċekkja jekk l-indirizz li ksibt jappartjenix għall-firxa privata jew dik pubblika. Jekk in-netwerk konness tiegħek ma jirċevix il-veduta privata permezz tad-DNS, l-amministrazzjoni se tirnexxi fuq l-endpoint pubbliku u se tirtira t-triq pubblika fuq provi foloz. Dan huwa l-aktar mod komuni kif din il-migrazzjoni tmur ħażin, u jidher eżattament bħal suċċess.

nslookup HASH.gr7.REGION.eks.amazonaws.com
kubectl cluster-info
kubectl get ns --request-timeout=10s

Żomm l-isem tal-host u l-validazzjoni taċ-ċertifikat eżattament kif inhuma. Is-sostituzzjoni b’IP privata fil-kubeconfig u l-qbiż tal-verifika TLS mhix il-migrazzjoni li deskrivejt fir-rekord tal-bidla, u se tonqos mill-ġdid fil-mument li l-endpoint idur.

4. Irtira l-aċċess pubbliku b’mod deliberat

Ladarba t-triq privata tintwera u l-fluss tal-irkupru jiġi approvat, agħlaq l-endpoint pubbliku. Din hija bidla vera u mhux preview, għalhekk ħaddimha fuq il-kont u s-settings li tassew qed taħseb għalihom.

aws eks update-cluster-config --region REGION --name CLUSTER \
  --resources-vpc-config endpointPublicAccess=false,endpointPrivateAccess=true

Fil-modalità biss privata l-isem DNS pubbliku jiġi riżolt fl-indirizzi privati tal-endpoint minn ġewwa l-VPC, għalhekk ir-riżoluzzjoni u l-aċċessibbiltà ma jibqgħux l-istess ħaġa. Kull ħaġa li kienet tiddependi fuq l-indirizz pubbliku, inklużi r-runners CI jew laptop fuq netwerk ieħor, issa teħtieġ it-triq tagħha stess ’il ġewwa.

5. Żomm il-politika tan-netwerk u l-politika tal-identità separati

Il-lista CIDR tal-aċċess pubbliku tirregola biss l-endpoint pubbliku. Ma tikkonstringix l-endpoint privat, li minflok huwa mħejji mill-grupp tas-sigurtà tal-kluster u l-politika tan-netwerk konness. Jekk iżżomm l-endpoint pubbliku, il-lista tal-permessi tiegħu trid tqabbel mal-egress pubbliku li l-klijenti API u n-nodi tiegħek fil-fatt jużaw; indirizz tal-pool VPN rarament huwa dak is-sors.

Xejn minn dan ma jbiddel IAM jew Kubernetes RBAC. Is-settings tal-endpoint huma azzjoni amministrattiva, u l-utenti ordinarji m’għandhomx jirċievu permess biex jallentaw il-konfini biss biex jilħqu l-API. Ikteb l-istat finali, id-data u t-triq tal-irkupru fir-runbook, imbagħad ittestja t-triq tal-irkupru darba waqt li għadha faċli.

Artikli relatati