Accesso ai cluster tramite strumenti di automazione

Utilizza una chiave API IAM di IBM Cloud o un ID servizio per accedere a un cluster da pipeline automatizzate, strumenti CI/CD o script eseguiti in modalità non interattiva.

Accedere utilizzando una chiave API

L'uso di una chiave API IAM è l'approccio consigliato per l'automazione e le pipeline CI/CD.

  1. Crea una chiave API e salva il risultato: il valore della chiave non potrà più essere recuperato.
    ibmcloud iam api-key-create <name>
  2. Accedi con la chiave API.
    ibmcloud login --apikey API_KEY
  3. Imposta il contesto del cluster.
    ibmcloud oc cluster config -c CLUSTER_NAME_OR_ID
  4. Accedi al cluster.
    oc login -u apikey -p API_KEY [--server=PRIVATE_SERVICE_ENDPOINT]

Accedere utilizzando un ID servizio

Utilizza un ID servizio quando le app presenti in altri cluster o cloud devono accedere ai servizi del tuo cluster, oppure quando hai bisogno di credenziali non associate a un utente specifico.

  1. Crea un ID servizio.
    ibmcloud iam service-id-create CLUSTER_NAME-id --description "Service ID for cluster CLUSTER_NAME"
  2. Assegnare una policy IAM all'ID del servizio.
    ibmcloud iam service-policy-create SERVICE_ID --service-name containers-kubernetes --roles ROLE --service-instance CLUSTER_ID
  3. Crea una chiave API per l'ID del servizio.
    ibmcloud iam service-api-key-create CLUSTER_NAME-key SERVICE_ID
  4. Utilizza la chiave API per effettuare l'accesso seguendo la procedura descritta nella sezione " Come effettuare l'accesso utilizzando una chiave API".

Protezione dei cluster tramite restrizioni basate sul contesto

Le liste di autorizzazione degli endpoint dei servizi privati non sono più supportate. Passare il prima possibile dalle liste di autorizzazione degli endpoint dei servizi privati alle restrizioni basate sul contesto. Per i passaggi specifici della migrazione, consultare la guida " Migrazione da un elenco di endpoint autorizzati di un servizio privato alle restrizioni basate sul contesto(CBR) ".

Controlla l'accesso agli endpoint dei tuoi servizi pubblici e privati utilizzando le regole di restrizione basata sul contesto (CBR).

Dopo aver concesso agli utenti l'accesso al cluster tramite l'IAM di IBM Cloud, è possibile aggiungere un ulteriore livello di sicurezza creando regole CBR per gli endpoint di servizio pubblici e privati del cluster. Saranno consentite solo le richieste autorizzate al master del cluster provenienti da sottoreti incluse nelle regole CBR.

Se desideri consentire le richieste provenienti da una VPC diversa da quella in cui si trova il tuo cluster, devi includere nelle regole CBR l'indirizzo IP dell'endpoint del servizio cloud relativo a tale VPC.

Ad esempio, per accedere all'endpoint del servizio cloud privato del proprio cluster, è necessario connettersi alla rete classica di IBM Cloud o alla propria rete VPC tramite una VPN o IBM Cloud Direct Link. È possibile specificare nelle regole CBR solo la sottorete per la VPN o il tunnel Direct Link, in modo che solo gli utenti autorizzati della propria organizzazione possano accedere all'endpoint del servizio cloud privato da quella sottorete.

Le regole CBR pubbliche (se il cluster dispone di un endpoint di servizio pubblico) possono inoltre contribuire a impedire agli utenti di accedere al cluster dopo la revoca della loro autorizzazione. Quando un utente lascia la tua organizzazione, devi revocargli le autorizzazioni IAM di IBM Cloud che gli consentono l'accesso al cluster. Tuttavia, l'utente potrebbe aver copiato il file di amministrazione kubeconfig relativo a un cluster, ottenendo così l'accesso a tale cluster. Se disponi di una regola CBR pubblica che consente l'accesso ai master del tuo cluster solo da sottoreti pubbliche note di proprietà della tua organizzazione, il tentativo di accesso da parte dell'utente da un altro indirizzo IP pubblico verrà bloccato.

Le sottoreti dei nodi di lavoro vengono automaticamente aggiunte e rimosse dall'implementazione CBR del backend (ma non dalle regole/zone CBR), in modo che i nodi di lavoro possano sempre accedere al master del cluster e gli utenti non debbano aggiungerle specificatamente alle proprie regole CBR.

Per ulteriori informazioni su come proteggere il cluster con le regole CBR, consulta la sezione " Protezione delle risorse del cluster con restrizioni basate sul contesto " e " Esempi di scenari con restrizioni basate sul contesto "