注目★★★★★Kubernetes
Kubernetes v1.37、Pod CertificatesをGA化しTLS認証を内蔵
30秒で把握
- 1Kubernetes v1.37がPod CertificatesとTrust BundlesをGA化
- 2X.509によるTLS・mTLS認証をKubeletと署名者で実装
- 3証明書は自動ローテーション、アプリは更新検知が必要
要約
Kubernetes v1.37で、Pod CertificatesとCluster Trust Bundlesの基盤がGAになり、X.509証明書によるTLS・mTLS認証をコア機能に組み込んだ。従来のService Account JWTはBearer tokenのため、保有者が発行主体になりすませる問題があった。Pod CertificatesではKubeletが秘密鍵を生成して証明書を要求し、署名コントローラーが証明書を発行する。証明書の自動ローテーションに対応し、コアで提供される署名者の最大有効期間は24時間、外部署名者は91日。アプリケーションはファイル変更をinotifyまたはポーリングで検知する必要がある。Kubernetesは今後、Service向けTLS証明書やSPIFFEクライアント証明書の標準署名者を提供する予定だ。
あなたへの影響
KubernetesでTLS・mTLS認証を使うチームは、Pod Certificatesの証明書ローテーションとファイル更新検知を次スプリントで検証し、既存JWT認証との運用差を確認すべきです。
推奨：Tinycertで検証できますが、本番用途ではなく評価用です。