Kubernetes

Esta página explica cómo funciona el acceso a Kubernetes con Ironchip PAM. Es para quien administra los clústeres y para quien se conecta a ellos con kubectl.

Cómo funciona

La persona usa kubectl con un kubeconfig que le da la consola, con un ticket de un solo uso como token. El broker de Ironchip PAM retiene cada conexión mientras Ironchip comprueba la ventana, la dirección y los factores, y la dirige al clúster con la credencial del recurso, que la persona no conoce. Una aprobación cubre una orden completa.

• Sin credenciales permanentes repartidas por los portátiles.
• Sin puertos de entrada. Con Ironchip Connect el clúster no se publica en internet.
• Acceso limitado en el tiempo, con una ventana que se cierra sola.
• Grabado: cada kubectl exec se graba como una terminal y cada petición a la API queda registrada. Consulta Sesiones y grabaciones.

Cómo entra el broker

Al dar de alta el recurso, escribe la URL de la API del clúster (por ejemplo, https://10.40.50.2:6443) y elige el método: A stored token (el de una cuenta de servicio), A stored client certificate o An IAM role. La consola muestra las órdenes para crear la cuenta de servicio y su token.

Pasos

1. Da de alta el clúster como recurso Kubernetes y añádelo a una política de destino.

2. Nómbrala en un acceso.

3. La persona solicita el acceso, si hace falta, y en PAM > My access hace clic en Credential.

4. Guarda el kubeconfig que muestra la consola y úsalo:

   kubectl --kubeconfig ironchip-pam.yaml get pods

   El token elige el clúster: no hay nada más que configurar.