Zugriff auf Cluster über Automatisierungstools

Verwenden Sie einen IAM-API-Schlüssel oder eine Service-ID von IBM Cloud, um sich über automatisierte Pipelines, CI/CD-Tools oder Skripte, die nicht interaktiv ausgeführt werden, bei einem Cluster anzumelden.

Anmeldung mit einem API-Schlüssel

Ein IAM-API-Schlüssel ist der empfohlene Ansatz für Automatisierung und CI/CD-Pipelines.

  1. Erstellen Sie einen API-Schlüssel und speichern Sie den ausgegebenen Wert – der Schlüsselwert kann nicht erneut abgerufen werden.
    ibmcloud iam api-key-create <name>
  2. Melden Sie sich mit dem API-Schlüssel an.
    ibmcloud login --apikey API_KEY
  3. Legen Sie den Clusterkontext fest.
    ibmcloud oc cluster config -c CLUSTER_NAME_OR_ID
  4. Melden Sie sich am Cluster an.
    oc login -u apikey -p API_KEY [--server=PRIVATE_SERVICE_ENDPOINT]

Anmeldung mit einer Service-ID

Verwenden Sie eine Service-ID, wenn Apps in anderen Clustern oder Clouds auf die Dienste Ihres Clusters zugreifen müssen oder wenn Sie Anmeldedaten benötigen, die nicht an einen bestimmten Benutzer gebunden sind.

  1. Erstellen Sie eine Service-ID.
    ibmcloud iam service-id-create CLUSTER_NAME-id --description "Service ID for cluster CLUSTER_NAME"
  2. Weisen Sie der Service-ID eine IAM-Richtlinie zu.
    ibmcloud iam service-policy-create SERVICE_ID --service-name containers-kubernetes --roles ROLE --service-instance CLUSTER_ID
  3. Erstellen Sie einen API-Schlüssel für die Service-ID.
    ibmcloud iam service-api-key-create CLUSTER_NAME-key SERVICE_ID
  4. Verwenden Sie den API-Schlüssel, um sich anzumelden, indem Sie die Schritte unter Anmeldung mit einem API-Schlüssel befolgen.

Schutz von Clustern durch kontextbasierte Einschränkungen

Whitelists für private Service-Endpunkte werden nicht mehr unterstützt. Stellen Sie so bald wie möglich von Whitelists für private Service-Endpunkte auf kontextbasierte Einschränkungen um. Konkrete Schritte zur Migration finden Sie unter Migration von einer Whitelist für private Service-Endpunkte zu kontextbasierten Einschränkungen (CBR).

Steuern Sie den Zugriff auf Ihre öffentlichen und privaten Service-Endpunkte mithilfe von CBR-Regeln (Context-Based Restriction).

Nachdem Sie Benutzern über das IAM v IBM Cloud Zugriff auf Ihren Cluster gewährt haben, können Sie eine zweite Sicherheitsebene hinzufügen, indem Sie CBR-Regeln für den öffentlichen und den privaten Service-Endpunkt Ihres Clusters erstellen. Es werden nur autorisierte Anfragen an Ihren Cluster-Master zugelassen, die aus Subnetzen stammen, die in den CBR-Regeln aufgeführt sind.

Wenn Sie Anfragen aus einer anderen VPC als derjenigen zulassen möchten, in der sich Ihr Cluster befindet, müssen Sie die IP-Adresse des Cloud-Service-Endpunkts für diese VPC in die CBR-Regeln aufnehmen.

Um z. B. auf den Private-Cloud-Serviceendpunkt Ihres Clusters zugreifen zu können, müssen Sie eine Verbindung zu Ihrem IBM Cloud klassischen Netz oder Ihrem VPC-Netz über ein VPN oder IBM Cloud Direct Link herstellen. Sie können in Ihren CBR-Regeln nur das Subnetz für den VPN- oder Direct Link-Tunnel angeben, sodass nur autorisierte Benutzer in Ihrer Organisation von diesem Subnetz aus auf den Endpunkt des Private-Cloud-Dienstes zugreifen können.

Öffentliche CBR-Regeln (sofern Ihr Cluster über einen öffentlichen Service-Endpunkt verfügt) können ebenfalls dazu beitragen, zu verhindern, dass Benutzer nach dem Entzug ihrer Autorisierung auf Ihren Cluster zugreifen. Wenn Benutzer Ihre Organisation verlassen, entfernen Sie ihre IBM Cloud IAM-Berechtigungen, die ihnen zuvor den Zugriff auf den Cluster ermöglichten. Möglicherweise hat der Benutzer jedoch die Admin-Datei kubeconfig für einen Cluster kopiert, wodurch er Zugriff auf diesen Cluster erhalten hat. Wenn Sie eine öffentliche CBR-Regel eingerichtet haben, die den Zugriff auf Ihre Cluster-Master nur von bekannten öffentlichen Subnetzen zulässt, die Ihrer Organisation gehören, wird der Zugriffsversuch des Benutzers von einer anderen öffentlichen IP-Adresse aus blockiert.

Subnetze von Worker-Knoten werden automatisch zur Backend-CBR-Implementierung hinzugefügt und daraus entfernt (jedoch nicht zu den CBR-Regeln/Zonen), sodass Worker-Knoten stets auf den Cluster-Master zugreifen können und Benutzer diese nicht ausdrücklich zu ihren eigenen CBR-Regeln hinzufügen müssen.

Weitere Informationen zum Schutz Ihres Clusters mithilfe von CBR-Regeln finden Sie unter Schutz von Cluster-Ressourcen durch kontextbasierte Einschränkungen und Beispiele für Szenarien mit kontextbasierten Einschränkungen