Ejercicio 3, CKA – Certificados y PKI. Bloque 1.4. Cluster Architecture, Installation & Configuration

📝 Enunciado:

Estás administrando un clúster Kubernetes y necesitas validar, gestionar y reemplazar un certificado TLS caducado del kube-apiserver. Además, debes revisar la autoridad certificadora (CA) utilizada por el clúster y entender el flujo de validación de certificados.

🎯 Objetivos:

🔹 Paso 1: Localiza y examina el certificado TLS usado por el kube-apiserver.

🔹 Paso 2: Comprueba su fecha de expiración y emisor.

🔹 Paso 3: Renueva el certificado manualmente usando openssl (simulación), firmándolo con la CA del clúster.

🔹 Paso 4: Reemplaza el certificado antiguo por el nuevo y reinicia el componente.

🔹 Paso 5: Verifica que el API Server vuelve a estar operativo y el nuevo certificado está en uso.

📦 Datos del entorno:

El certificado del API server está en:
```
/etc/kubernetes/pki/apiserver.crt
```
La clave privada está en:
```
/etc/kubernetes/pki/apiserver.key
```

La CA que firma los certificados está en:

/etc/kubernetes/pki/ca.crt
/etc/kubernetes/pki/ca.key

💻 Comandos útiles:

1. Ver info de un certificado:

openssl x509 -in /etc/kubernetes/pki/apiserver.crt -text -noout

2. Generar un nuevo CSR (simulado):

openssl req -new -key /etc/kubernetes/pki/apiserver.key -out /tmp/apiserver.csr -subj "/CN=kube-apiserver"

3. Firmar el nuevo certificado con la CA:

openssl x509 -req -in /tmp/apiserver.csr -CA /etc/kubernetes/pki/ca.crt -CAkey /etc/kubernetes/pki/ca.key \
  -CAcreateserial -out /etc/kubernetes/pki/apiserver.crt -days 365 -sha256

4. Reiniciar el kube-apiserver (si es un static Pod):

docker ps | grep kube-apiserver
# o
crictl ps | grep kube-apiserver
# borra el contenedor si es necesario o espera a que se reinicie automáticamente al modificar el archivo

✅ Resultado esperado:

El nuevo certificado debe tener una nueva fecha de expiración.

El API Server debe estar accesible tras el reinicio:

bash
kubectl get componentstatuses
kubectl get nodes

Comentarios

Entradas populares de este blog

Autenticación y Autorización (Kubernetes).

La autenticación en Kubernetes es un aspecto crítico para la seguridad y control de acceso dentro de un clúster. Kubernetes proporciona varios mecanismos de autenticación para usuarios y cuentas de servicio, que deben pasar a través del API Server para realizar cualquier operación. En este artículo, revisaremos cómo funciona la autenticación y cómo puedes usar herramientas como kubectl y curl para interactuar de manera segura con el clúster. En primer lugar, ¿Qué es la autenticación y la autorización? • Autenticación: Es el proceso de verificar quién es un usuario. Responde a la pregunta "¿Quién eres?". • Autorización: El proceso de determinar qué acciones puede realizar un usuario autenticado. Responde a la pregunta "¿Qué puedes hacer?". Primer paso: Autenticación. La autenticación en Kubernetes es el proceso mediante el cual el sistema verifica la identidad de los usuarios y cuentas de servicio que intentan acceder al clúster. ...

Tip 1. Exámen CKA. Economiza y optimiza tu tiempo; Usa --help con el paginador Less en la ayuda.

📘 Domina los comandos --help y el uso de less en el examen CKA Durante el examen CKA (Certified Kubernetes Administrator) , uno de los recursos más potentes y completamente permitidos es el uso del --help en los comandos de Kubernetes. Además, puedes combinarlo con el paginador less para buscar y navegar fácilmente entre opciones. ✅ ¿Está permitido usar --help ? Sí, está 100% permitido . Puedes usar el --help de cualquier comando disponible en el entorno del examen: kubectl --help kubeadm init --help kubelet --help kubectl explain pod.spec.containers Estos comandos muestran la ayuda y las opciones disponibles directamente desde el sistema, sin necesidad de ir a la documentación. 🔍 ¿Cómo usar less para buscar rápidamente? Cuando la salida del comando es larga, puedes usar | less para verla de forma paginada y navegar más cómodamente. kubeadm init --help | less Una vez dentro de less , puedes buscar cualquier texto escribiendo /texto . Por ejemplo: /pod-networ...

TLS Bootstrapping en Kubernetes: Qué es, cómo funciona y por qué importa en el examen CKA

Uno de los conceptos que a menudo pasan desapercibidos en la administración de Kubernetes —pero que resultan clave tanto en entornos reales como en el examen CKA— es el TLS Bootstrapping . En este artículo entenderás qué es, cómo funciona, qué lo diferencia del kubeadm join tradicional y cómo puede aparecer en el examen. ¿Qué es TLS Bootstrapping? TLS Bootstrapping es el proceso por el cual el kubelet , el agente que corre en cada nodo, obtiene automáticamente un certificado TLS firmado por el clúster para autenticarse con el kube-apiserver . En otras palabras: permite que un nuevo nodo se una de forma segura al clúster sin necesidad de copiar manualmente los certificados. ¿Por qué es necesario? Cuando añades un nuevo nodo worker, su kubelet necesita autentic...

Kubernetes en Español | K8s Blog - Casti

Buscar este blog