В GCP CloudSQL как сбросить учетные данные для GKE после удаления секретов - PullRequest
Новая
       63

В GCP CloudSQL как сбросить учетные данные для GKE после удаления секретов

0 голосов
/ 11 декабря 2018

При запуске нового кластера я случайно удалил секреты для cloudsql-oauth-credentials в промежуточном кластере / проекте.Есть ли способ повторно получить и установить их из "gcloud" или консоли для cloudSQL?У меня может быть копия оригинала, которая выглядит следующим образом (личные вещи удалены): 

{                                                                                                                                                                                                                                                                                                                                                                                          
  "type": "service_account",
  "project_id": "able-XXXXX-XXXXX",
  "private_key_id": "8adcffXXXX",
  "private_key": "-----BEGIN PRIVATE KEY-----\nMIIEvwIXXXXXXXXXX==\n-----END PRIVATE KEY-----\n",
  "client_email": "xxxx-service-account-sql-cli@able-xxxx.iam.gserviceaccount.com",
  "client_id": "10905637232xxxxx",
  "auth_uri": "https://accounts.google.com/o/oauth2/auth",
  "token_uri": "https://accounts.google.com/o/oauth2/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/notify-service-account-sql-cli%40ablexxxxx.iam.gserviceaccount.com"
}

Я надеюсь, что смогу использовать ее с: 

kubectl create  secret generic cloudsql-oauth-credentials --from-literal="credentials.json=`cat build/cloudsql-oauth-credentials.json`"

Примечание: этоиспользование стандартной конфигурации прокси-сервера sidecar на GCP для развертываний GKE.

1 Ответ

0 голосов
/ 03 января 2019

Продолжение, после большого замешательства я обнаружил, что был подключен к неправильному контейнеру в моем модуле, поэтому я не смог найти секреты для облачных учетных данных.Мне удалось найти учетные данные в моем модуле с помощью монтирования тома следующим образом: 

kubectl exec engine-cron-prod-deployment-788ddb4b8-bxmz9 -c postgres-proxy -it -- /bin/sh
/ # ls /secrets/cloudsql/                                                                                                                                                                                                                                                                  
credentials.json                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                          
/ # cat /secrets/cloudsql/credentials.json                                                                                                                                                                                                                                                 
{                                                                                                                                                                                                                                                                                          
  "type": "service_account",
  [..stuff deleted..]

Этот результат соответствует файлу, который я сохранил, так что мой файл keyfile.json (он же cloudsql-oauth-credentials.json) былправильный.

Для ясности, шаблон коляски в моем развертывании выглядит примерно так: 

spec:
  volumes:
  - name: ssl-certs
    hostPath:
      path: /etc/ssl/certs
  - name: cloudsql-oauth-credentials
    secret:
      secretName: cloudsql-oauth-credentials
  - name: cloudsql
    emptyDir:
  containers:
  - name: postgres-proxy
    image: gcr.io/cloudsql-docker/gce-proxy:1.09
    imagePullPolicy: Always
    command: ["/cloud_sql_proxy",
              "--dir=/cloudsql",
              "-instances=@@PROJECT@@:us-central1:@@DBINST@@=tcp:5432",
              "-credential_file=/secrets/cloudsql/credentials.json"]
    volumeMounts:
      - name: cloudsql-oauth-credentials
        mountPath: /secrets/cloudsql
        readOnly: true
      - name: ssl-certs
        mountPath: /etc/ssl/certs
      - name: cloudsql
        mountPath: /cloudsql

Выводы:

  • Независимо от одноговсегда можно удалить служебную учетную запись и создать новую, чтобы получить учетные данные, затем добавить эту учетную запись в нужные роли (для cloudsql) и начать заново, хотя это будет несколько болезненно и отнимает много времени.
  • Можно повторно-используйте эти учетные данные с другими кластерами GKE для подключения к той же базе данных cloudql, или можно создать новые учетные записи служб с теми же ролями, но с отдельным набором учетных данных.

Редактировать: для полноты можнотакже извлекайте и храните их секрет для безопасного хранения в качестве резервной копии.Используя get -o json, вы восстановите credentials.json как кодированный в base64 текст. 

$kubectl get -o json secret cloudsql-oauth-credentials                                                                                                                                                                                                                                                                                               
{                                                                                                                                                                                                                                                                                                                                                                                       
    "apiVersion": "v1",
    "data": {
        "credentials.json": "ewogICJ0eXBlIjogInNlcnZpY2VfYWNjb3VudCIsCiAgInByb2plY3RfaWQiOiAiYW...."
    },
    "kind": "Secret",
    "metadata": {
        "creationTimestamp": "2019-01-03T01:32:49Z",
        "name": "cloudsql-oauth-credentials",
        "namespace": "default",
        "resourceVersion": "12078",
        "selfLink": "/api/v1/namespaces/default/secrets/cloudsql-oauth-credentials",
        "uid": "7af2bdde-0ef7-11e9-92bd-123123123123"
    },
    "type": "Opaque"
}

Этот текст base64 может быть легко декодирован и сохранен: 

$ base64 -d < credentials.json.b64 | tee credentials.json
{                                                                                                                                                                                                                                                                                                                                                                                       
  "type": "service_account",
  "project_id": "xxx-xxx-xxx",
  "private_key_id": "abc123abc123abc123abc123abc123abc123",
  "private_key": "-----BEGIN PRIVATE KEY-----\nMIIEvwIBADANBgkqhkiG9...==\n-----END PRIVATE KEY-----\n",
  "client_email": "xxx-service-account-sql-cli@xxx-xxx-xxx.iam.gserviceaccount.com",
  "client_id": "321321321321321321",
  "auth_uri": "https://accounts.google.com/o/oauth2/auth",
  "token_uri": "https://accounts.google.com/o/oauth2/token",
  "auth_provider_x509_cert_url": "https://www.googleapis.com/oauth2/v1/certs",
  "client_x509_cert_url": "https://www.googleapis.com/robot/v1/metadata/x509/xxx-xxx-account-sql-cli%40xxx-xxx-xxx.iam.gserviceaccount.com"
}
...