2019-11-22

Want to do

• None

Achievement

• None

Diary

• Learn more about Kubernetes certificates

Note

• Accessing Kubelet API
  • https://gist.github.com/lizrice/c32740fac51db2a5518f06c3dae4944f
  • Kubelet の API にアクセスする
• Is there API documentation for Kubelet API
  • https://stackoverflow.com/questions/35075195/is-there-api-documentation-for-kubelet-api
  • Kubelet の API のドキュメントはないよってやつ
• Attacking Kubernetes through Kubelet
  • https://labs.f-secure.com/blog/attacking-kubernetes-through-kubelet/
  • Kubelet の API で Pod への exec ができるので ServiceAccount の token 取ってきて API Server に攻撃する話
  • Kubelet はデフォルトで匿名のアクセスを受け入れるので無効にするためには明示的にオプションを指定する必要がある
• Kubelet authentication/authorization
  • https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet-authentication-authorization/
  • Kubelet の認証認可の公式ドキュメント
• kubelet - command line tools reference
  • https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet/
  • Kubelet の起動オプション一覧
• Set Kubelet parameters via a config file
  • https://kubernetes.io/docs/tasks/administer-cluster/kubelet-config-file/
  • Kubelet のコマンドライン引数でオプションを指定するんじゃなくて config ファイルで設定しようという話
• Lyft のクラスタアップグレードの話
  • https://static.sched.com/hosted_files/kccncna19/8e/Handling%20Cluster%20Upgrades%20K8srotator.pdf
• KubeCon NA 2019(Day3) 参加メモ - Qiita
  • https://qiita.com/go_vargo/items/794b1a9b4491d547b858
  • 上の Lyft のクラスタアップグレードの話 とか Graceful Traffic の話とか
  • Pod の preStop に sleep 仕込むのは現状の最適解らしい
• Client Authentication against the API server and kubelet
  • https://docs.datadoghq.com/ja/integrations/faq/client-authentication-against-the-apiserver-and-kubelet/
  • Datadog agent の Kubelet の API Server の認証について
• TLS bootstrappingでkubeletクライアント証明書の作成、更新を自動化する
  • https://qiita.com/oke-py/items/cf83a174c5e95c9cbe0e
• TLS bootstrapping
  • https://kubernetes.io/docs/reference/command-line-tools-reference/kubelet-tls-bootstrapping/
  • 証明書の自動作成ができる