kubectlなどkubernetesクラスタとの通信は、クラスタごとのルートCAで署名されており、GKEのルートCAは5年で期限が切れるため手動更新が必要です。
Google Kubernetes Engineは全体的にマネージドサービスであるため、5年に1度の手動更新の存在は気づきにくいポイントです。
更新作業は、
クラスタ認証情報のローテーション
の説明に従って、gcloud container clusters updateコマンドで実行します。
--start-credential-rotationと--complete-credential-rotationの2段階に分かれており、それぞれでノードプールのアップグレードを伴うダウンタイムが発生します。
ルートCAの有効期限
クラスタ認証情報のローテーションは、かなり大がかりなアップグレードなのですが、現状、その有効期限を手軽に確認する手段がありません。
Action requiredのシステムメールで直前に通知されます。
自ら確認したい場合には、ルートCAを直接解析することで確認できました。
GKEのクラウドコンソール
の各クラスタ詳細画面に「クラスタの証明書を表示」というリンクがあり、ルートCAを表示できます。
証明書の情報を表示するには、以下のようにopensslコマンドでデコードします。
$ echo "ルートCA" | openssl x509 -text -noout
なお、ルートCA文字列は"BEGIN CERTIFICATE"と"END CERTIFICATE"も含みます。
ルートCAの有効期限が切れてしまうと操作不能になるため、可能なタイミングで差し替えを実施しなくてはなりません。
⁋ 2021/03/25↻ 2021/03/25
Google Kubernetes Engineは、Pod/ServiceのIPをVPCのサブネット範囲で動的に設定しています（古いクラスタでVPCネイティブでない場合をのぞく）。
Podと …
GKE(Google Kubernetes Engine)は、HTTPS サービスを Kubernetes Gateway/Ingress を用いて公開できます。
非 HTTP のサービスを公開するに …
Google Kubernetes Engineのフロントエンドを ingress にする場合、自動でGCPのヘルスチェックが作られ、これを通過しないとPodが正常動作していたとしてもバックエンドサー …
Google Cloudはネットワーク製品のラインアップが充実していますが、製品ごとに機能と受け付けるオプションが異なるため製品理解が重要です。
まず、製品名が互いに似通っていて区別しづらいため、 …
Google Kubernetes Engineが提供する 垂直Pod自動スケーリング (Vertical Pod Autoscaling)は、Podのコンテナリソース(CPU/RAM)を自動調整する …
Google Kubernetes Engine(GKE)は、Google Cloud Platform(GCP)上で動作するマネージドKubernetesです。GCPが提供する世界各国リージョンのデ …
Google Cloud Build は、CI/CD をホストするサービスです。
Artifact Registry と統合されており、GKE で動作させる docker イメージをビルドする用途に …
Google Kubernetes Engine（GKE）はKubernetesのマネージドサービスで、マスターノードがホストされています。また、Webの管理コンソールからバージョンを選択するだけでア …
kubernetesのデフォルト挙動では、podが取得するリモートIPがクラスターネットワークのIPになっています。
そのため、httpサーバーのログにも、10.0.0.1などのプライベートIPアクセ …
Google Kubernetes Engine(GKE、2017秋にGoogle Container Engineから改称)はGCE上に構築されたkubernetesのマネージドクラスタです。 …
Google Container Engine(GKE)など、クラウドインフラ上でdockerコンテナを動作させる場合、データ確保のため外部ディスクを利用するケースが多々あります。
GKEでは、設定フ …
Google Kubernetes Engineを用いてWebサービスを公開している場合、DNS設定する外部IPを同一のアドレスに固定する必要があります。
kubernetesのデフォルト挙動では、外 …
EN contents
Google Kubernetes Engine (GKE) can expose HTTPS services using Kubernetes Gateway/Ingress.
To expose …
