Acesso a clusters a partir de ferramentas de automação

Use uma chave da API do IAM do IBM Cloud ou um ID de serviço para fazer login em um cluster a partir de pipelines automatizados, ferramentas de CI/CD ou scripts executados de forma não interativa.

Fazer login usando uma chave de API

Uma chave de API do IAM é a abordagem recomendada para automação e pipelines de CI/CD.

  1. Crie uma chave de API e salve o resultado — o valor da chave não poderá ser recuperado posteriormente.
    ibmcloud iam api-key-create <name>
  2. Efetue login com a chave API.
    ibmcloud login --apikey API_KEY
  3. Configure o contexto do cluster.
    ibmcloud oc cluster config -c CLUSTER_NAME_OR_ID
  4. Efetue login no cluster.
    oc login -u apikey -p API_KEY [--server=PRIVATE_SERVICE_ENDPOINT]

Fazer login usando um ID de serviço

Utilize um ID de serviço quando aplicativos em outros clusters ou nuvens precisarem acessar os serviços do seu cluster, ou quando você precisar de credenciais que não estejam vinculadas a um usuário específico.

  1. Crie um ID de serviço.
    ibmcloud iam service-id-create CLUSTER_NAME-id --description "Service ID for cluster CLUSTER_NAME"
  2. Atribua uma política do IAM ao ID do serviço.
    ibmcloud iam service-policy-create SERVICE_ID --service-name containers-kubernetes --roles ROLE --service-instance CLUSTER_ID
  3. Crie uma chave de API para o ID de serviço.
    ibmcloud iam service-api-key-create CLUSTER_NAME-key SERVICE_ID
  4. Use a chave da API para fazer login, seguindo as etapas descritas na seção “Como usar uma chave da API para fazer login ”.

Proteção de clusters por meio de restrições baseadas no contexto

As listas de endereços permitidos para pontos de extremidade de serviços privados não são mais suportadas. Migre das listas de endereços permitidos dos pontos de extremidade de serviços privados para restrições baseadas no contexto o mais rápido possível. Para conhecer as etapas específicas da migração, consulte “Migração de uma lista de endpoints de serviço privados autorizados para restrições baseadas em contexto(CBR) ”.

Controle o acesso aos seus pontos de extremidade de serviços públicos e privados usando regras de restrição baseadas no contexto (CBR).

Depois de conceder acesso aos usuários ao seu cluster por meio do IAM d IBM Cloud, você pode adicionar uma camada secundária de segurança criando regras CBR para os endpoints de serviço públicos e privados do seu cluster. Somente solicitações autorizadas ao mestre do seu cluster, originadas de sub-redes incluídas nas regras do CBR, serão permitidas.

Se você quiser permitir solicitações provenientes de uma VPC diferente daquela em que seu cluster está localizado, é necessário incluir o endereço IP do ponto de extremidade do serviço em nuvem dessa VPC nas regras CBR.

Por exemplo, para acessar o terminal em serviço de nuvem privada de seu cluster, deve-se conectar à rede clássica da IBM Cloud ou à rede VPC por meio de uma VPN ou do IBM Cloud Direct Link. Você pode especificar apenas a sub-rede para o túnel VPN ou do tipo “ Direct Link ” em suas regras de CBR, de modo que apenas usuários autorizados da sua organização possam acessar o endpoint do serviço de nuvem privada a partir dessa sub-rede.

As regras públicas do CBR (caso seu cluster possua um endpoint de serviço público) também podem ajudar a impedir que os usuários acessem seu cluster após a revogação de sua autorização. Quando um usuário deixa a sua organização, você remove suas permissões do IBM Cloud IAM que concedem acesso a ele ao cluster. No entanto, o usuário pode ter copiado o arquivo de kubeconfig o de administrador de um cluster, o que lhe daria acesso a esse cluster. Se você tiver uma regra CBR pública que permita o acesso aos servidores mestres do seu cluster apenas a partir de sub-redes públicas conhecidas de propriedade da sua organização, a tentativa de acesso do usuário a partir de outro endereço IP público será bloqueada.

As sub-redes dos nós de trabalho são automaticamente adicionadas e removidas da implementação do CBR no backend (mas não das regras/zonas do CBR), de modo que os nós de trabalho possam sempre acessar o mestre do cluster e os usuários não precisem adicioná-las especificamente às suas próprias regras do CBR.

Para saber mais sobre como proteger seu cluster com regras CBR, consulte “Protegendo recursos do cluster com restrições baseadas no contexto ” e “Exemplos de cenários de restrições baseadas no contexto ”