# Kubernetes

> Da acceso privilegiado a clústeres de Kubernetes con kubectl y un ticket de un solo uso, sin repartir credenciales permanentes y con las sesiones grabadas.

URL: https://docs.ironchip.com/pam/recursos/kubernetes/

Esta página explica cómo funciona el acceso a Kubernetes con Ironchip PAM. Es para quien administra los clústeres y para quien se conecta a ellos con `kubectl`.

## Cómo funciona

La persona usa `kubectl` con un `kubeconfig` que le da la consola, con un ticket de un solo uso como token. El broker de Ironchip PAM retiene cada conexión mientras Ironchip comprueba la ventana, la dirección y los factores, y la dirige al clúster con la credencial del recurso, que la persona no conoce. Una aprobación cubre una orden completa.

- **Sin credenciales permanentes** repartidas por los portátiles.
- **Sin puertos de entrada.** Con [Ironchip Connect](https://docs.ironchip.com/pam/conceptos/arquitectura/#ironchip-connect) el clúster no se publica en internet.
- **Acceso limitado en el tiempo**, con una ventana que se cierra sola.
- **Grabado:** cada `kubectl exec` se graba como una terminal y cada petición a la API queda registrada. Consulta [Sesiones y grabaciones](https://docs.ironchip.com/pam/administracion/sesiones/).

## Cómo entra el broker

Al dar de alta el recurso, escribe la **URL** de la API del clúster (por ejemplo, `https://10.40.50.2:6443`) y elige el método: **A stored token** (el de una cuenta de servicio), **A stored client certificate** o **An IAM role**. La consola muestra las órdenes para crear la cuenta de servicio y su token.

## Pasos

1. Da de alta el clúster como [recurso](https://docs.ironchip.com/pam/administracion/recursos/) Kubernetes y añádelo a una [política de destino](https://docs.ironchip.com/pam/administracion/politicas/#pol%C3%ADticas-de-destino).
2. Nómbrala en un [acceso](https://docs.ironchip.com/pam/administracion/accesos/).
3. La persona [solicita el acceso](https://docs.ironchip.com/pam/usuarios/solicitar-acceso/), si hace falta, y en **PAM > My access** hace clic en **Credential**.
4. Guarda el `kubeconfig` que muestra la consola y úsalo:

   ```bash
   kubectl --kubeconfig ironchip-pam.yaml get pods
   ```

   El token elige el clúster: no hay nada más que configurar.