注目★★★★★AWS
Amazon EKS、クラスタCA自動更新機能を提供開始 — 10年有効期限の期限切れに対応
30秒で把握
- 1Amazon EKS が CA 自動更新機能を発表、2018 年以降作成のクラスタは 10 年有効期限が間近に
- 2AWS が更新ライフサイクルと AWS 管理コンポーネント自動更新を担当、お客様がワーカーノード・外部クライアント対応を実施
- 3有効期限切れ前通知・自動フォールバック・ロールバック機能で対応支援、本番環境での CA 更新テスト実施が必須
要約
Amazon EKS は、クラスタの認証局 (CA) を自動ライフサイクル管理で更新できる機能を発表した。2018 年の EKS 立ち上げ以降に作成されたクラスタの CA は 10 年の有効期限を持ち、有効期限切れを迎える時期が近づいている。CA 更新は AWS とお客様の共責：AWS が更新ライフサイクルと AWS 管理コンポーネントの後続 CA 信頼を自動化する一方、お客様はワーカーノードと外部クライアントを新 CA に対応させる責任を持つ。EKS Auto Mode インスタンスと Fargate ノードは AWS が自動更新するが、API サーバーに接続する外部クライアントはお客様が手動更新する必要がある。AWS は有効期限切れ前の事前通知、自動フォールバック機能、ロールバック機能で対応を支援する。
あなたへの影響
2018 年以降に EKS クラスタを構築した組織は、10 年有効期の CA 失効を避けるため、今年中にクラスタの CA 更新計画を策定・検証すべき。
推奨：AWS 管理コンポーネントは自動更新されるが、自社アプリケーションと外部クライアントの証明書信頼チェーン更新は手動となるため、本番環境での CA 更新テストと運用手順の確立が急務である。