Għaliex kubectl jaħdem fuq il-VPN iżda AKS jieqaf milli jikber

Il-firxiet IP awtorizzati jaraw l-egress pubbliku tas-server VPN, mhux l-iżviluppatur. Żid il-firxiet tal-pjattaforma, inkella l-awtomatizzazzjoni u l-iskalar jonqsu wara l-bidla.

Żżid l-indirizz pubbliku tal-VPN tal-uffiċċju mal-lista awtorizzata tas-server AKS API, u kubectl jaħdem. Ġimgħa wara, l-iskalar ta' node pool jonqos, xogħol CI ma jistax jilħaq il-cluster, u l-portal juri żball li ma jsemmi xejn dwar firxiet IP. Ħadd ma bidel il-lista awtorizzata. Il-kontroll li attivajt huwa filtru IP pubbliku quddiem is-server API, u ma jafx min qed iċempel, biss minn liema indirizz ġie s-sejħa. Il-VPN huwa indirizz wieħed fost diversi li l-cluster jeħtieġ, u rari huwa dak li jinqasam l-ewwel.

Il-lista awtorizzata taqbel ma' indirizz, mhux ma' persuna

--api-server-authorized-ip-ranges tieħu blokki CIDR, mhux utenti jew gruppi. Meta talba ta' żviluppatur titlaq mis-server VPN lejn Azure, l-indirizz tas-sors fis-server API huwa l-egress pubbliku tas-server VPN. Għalhekk kull persuna fuq dak il-VPN taqsam entrata waħda, u kull min huwa barra mill-VPN jiġi miċħud qabel ma sseħħ l-awtentikazzjoni.

Dan ifisser ukoll li l-entrata tħalli aktar nies milli beħsiebek. Kuntrattur b'aċċess għall-VPN, laptop personali fuq l-istess konċentratur, u kont kompromess kollha jaslu mill-istess indirizz. L-awtorizzazzjoni tal-cluster ma nbidlitx, għalhekk il-kontroll tal-aċċess ibbażat fuq ir-rwoli għadu jiddeċiedi x'jista' jagħmel min iċempel, iżda l-lista awtorizzata mhijiex kontroll tal-identità u qatt m'għandha tiġi deskritta bħala tali.

L-ewwel ħaġa li tinqasam normalment mhijiex kubectl

Il-lista awtorizzata tapplika għall-punt tat-tmiem pubbliku tas-server API, għalhekk kull ħaġa barra mill-indirizzi elenkati tieqaf taħdem mill-ewwel. Il-vittmi ovvji huma t-tieni uffiċċju mingħajr rotta VPN, runner CI fi pipeline ospitat, u laptop li nesa jgħaqqad. Dawn huma faċli biex tagħrafhom għax hemm bniedem jistenna.

Il-każ inqas ovvju huwa l-awtomatizzazzjoni li tmexxi Azure jew l-għodod tiegħek stess. Xi operazzjonijiet li jibdew mill-pjattaforma jaslu għas-server API minn indirizzi li mhumiex il-VPN tiegħek, u meta wieħed minnhom jibda jonqos eżatt wara li l-lista tissaħħaħ, il-ħin huwa l-ħjiel. Tassumix li l-lista hija sħiħa għax l-aċċess interattiv jaħdem; iċċekkja x'jeħtieġ il-karatteristika għar-reġjun u s-sottoskrizzjonijiet tiegħek qabel ma tikkonkludi li l-cluster maħmuġ.

Is-sinjal tal-falliment jgħin. Jekk it-talba qatt ma tasal għall-awtentikazzjoni, huwa l-filtru. Jekk tawtentika u mbagħad tieħu żball ta' permess, il-filtru għamel xogħlu u l-problema hija l-kontroll tal-aċċess ibbażat fuq ir-rwoli, li l-lista awtorizzata qatt ma tmiss.

Ibni l-lista kollha f'ordni waħda

Il-parametru tal-aġġornament jissostitwixxi l-lista kollha minflok ma jżid entrata, għalhekk ordni li jġorr biss l-indirizz tal-VPN jitfa' bil-kwiet kull ħaġa oħra li kienet hemm. Aqra l-valur attwali l-ewwel, żommu, u ibgħat l-unjoni:

az aks show -g rg-app -n aks-prod \
  --query apiServerAccessProfile.authorizedIpRanges -o tsv

az aks update -g rg-app -n aks-prod \
  --api-server-authorized-ip-ranges 203.0.113.10/32,198.51.100.0/24

Uża IP pubbliku riżervat għas-server VPN qabel ma tiddependi fuq dan. Indirizz dinamiku jinbidel meta jerġa' jgħaqqad, u kull bidla tissakkar lit-tim barra mill-cluster bil-kwiet sakemm xi ħadd jaġġorna l-lista minn netwerk li għadu awtorizzat. Jekk għandek żewġ punti ta' egress VPN għar-redundanza, elenkahom it-tnejn, għax il-filtru m'għandux kunċett ta' rotta preferuta.

Irranġa l-bidla sabiex l-ewwel tentattiv awtorizzat ikun ukoll it-test. Ħabbar il-lista l-ġdida, applikaha, u qabbad mill-VPN mill-ewwel; li tagħmilha bl-ordni l-oħra jħalli tieqa fejn ħadd ma jista' jilħaq is-server API biex jissewwi żball tat-tip f'blokk CIDR.

X'qatt ma kopriet il-lista awtorizzata

Ma tagħmilx is-server API privat. Cluster privat juża punt tat-tmiem privat u DNS privat, u l-lista tal-firxiet awtorizzati mhijiex il-kontroll li tissostitwixxiha. Lanqas ma tibdel x'jista' jagħmel min iċempel ammess, għalhekk kubeconfig amministrattiv li nġibed għad għandu jaħdem minn kwalunkwe indirizz permess. Qis il-kredenzjali bħala l-fruntiera tas-sigurtà u l-lista bħala kumdità tan-netwerk.

M'għandhiex x'taqsam mal-piżijiet tax-xogħol. Pods u Services ikomplu jaħdmu bil-lista attivata, u jilħaq applikazzjoni mill-VPN hija problema separata: Service li għandu biss IP tal-cluster għadu jeħtieġ bilancer tat-tagħbija intern, ingress jew port-forward qabel laptop ikun jista' jiftħu. Li tħallat dawn iż-żewġ disinji tipproduċi ticket tal-bidla li jgħid li jirrestrinġi l-iżviluppaturi u fil-fatt ma jirrestrinġi xejn dwar l-applikazzjonijiet.

Ivverifika miż-żewġ naħat, imbagħad wettaq operazzjoni waħda reali

Ittestja b'klijent ġdid fuq il-VPN u b'klijent barra minnu. It-tentattiv minn barra għandu jiġi miċħud fis-server API, mhux fis-soluzzjoni tal-ismijiet; jekk l-isem ma jiġix solvut, qed tittestja d-DNS u ma tgħallimt xejn dwar il-filtru. Imbagħad wettaq operazzjoni li mhijiex sejħa kubectl interattiva, bħal skalar ta' node pool jew verifika ta' aġġornament, u kkonferma li tlestiet minflok ma tassumi li se tlestiet.

Żomm il-valur preċedenti tal-lista rreġistrat ħdejn il-bidla, u erġa' aqra l-valur effettiv wara l-aġġornament minflok ma tafda l-ordni li nktebet. Id-dokumentazzjoni tal-AKS dwar il-firxiet IP awtorizzati telenka l-parametri appoġġjati u r-rekwiżiti tal-pjattaforma li jagħmlu parti mill-istess lista, u dan huwa l-parti li ħafna mill-karatteristiċi tat-tickets iħallu barra.

Artikli relatati