Amazon EKS が、自動ライフサイクル管理による認証局 (CA) ローテーションに対応
本日、Amazon Elastic Kubernetes Service (Amazon EKS) は、自動化された保護機能を備えたマネージドライフサイクルを通じてクラスターの認証局 (CA) をローテーションできる、CA ローテーション機能を発表しました。各 Amazon EKS クラスターには、クラスターの Kubernetes API への暗号化接続を可能にする独自の CA がありますが、CA の有効期限が切れる前にローテーションすることで、クラスターの運用性とセキュリティを維持できるようになりました。
2018 年の提供開始以降作成された Amazon EKS クラスターの CA の有効期間は 10 年であり、この時期に作成されたクラスターは CA ローテーション作業を開始すべき時期に差し掛かっています。Amazon EKS における CA ローテーションは責任共有モデルです。Amazon EKS がローテーションのライフサイクルを管理し、AWS のマネージドコンポーネントが後継の CA を信頼するように自動的に更新します。お客様は、後継の CA が有効化される前に、ワーカーノードを置き換え、外部クライアントが後継の CA を信頼するように更新する責任を負います。EKS Auto Mode インスタンスと AWS Fargate ノードは AWS によって自動的に更新されますが、クラスターの API サーバーに接続する外部クライアントの更新は、引き続きお客様の責任となります。Amazon EKS は、このプロセスを通してお客様をサポートするための自動化された保護機能を提供します。これには、CA 有効期限前の事前通知、お客様が後継の CA を作成していない場合の自動追加、お客様が独自のスケジュールで有効化しない場合の自動有効化などが含まれます。ロールバック機能により、後継の CA への移行中に更新で問題が発生した場合、以前の CA に戻して解決できます。
Amazon EKS の CA ローテーションは、すべての商用 AWS リージョンで追加料金なしでご利用いただけます。CA ローテーションの使用を開始するには、AWS CLI、EKS API、CloudFormation、および AWS コンソールを使用できます。詳細については、Amazon EKS のドキュメントと Deep dive into Amazon EKS certificate authority rotation をご覧ください。