本日、Amazon Elastic Kubernetes Service (Amazon EKS) は証明書機関 (CA) ローテーションを発表しました。これにより、お客様は自動化された保護機能を持つ管理されたライフサイクルを通じて、クラスターの CA をローテーションできるようになります。各 Amazon EKS クラスターには、クラスターの Kubernetes API への暗号化された接続を可能にする独自の CA があり、有効期限が切れる前に CA をローテーションして、クラスターの運用とセキュリティを維持できるようになりました。2018 年のローンチ以降に作成された Amazon EKS クラスターには、10 年間の有効期間を持つ CA があり、その時代のクラスターは現在、CA ローテーション活動を開始すべき時期に近づいています。Amazon EKS での CA ローテーションは、共有責任です。Amazon EKS はローテーションのライフサイクルを管理し、後継 CA を信頼するように AWS マネージドコンポーネントを自動的に更新します。お客様は、アクティベーション前にワーカーノードを交換し、外部クライアントを後継 CA を信頼するように更新する責任があります。EKS Auto Mode インスタンスと AWS Fargate ノードは AWS によって自動的に更新されますが、お客様はクラスターの API サーバーに接続する外部クライアントを更新する責任があります。Amazon EKS は、CA 有効期限前の事前通知、お客様が作成しない場合に後継 CA を自動的に追加すること、お客様が独自のスケジュールでアクティベートしない場合に自動的にアクティベートすることなど、このプロセスを通じてお客様をサポートするための自動化された保護機能を提供します。ロールバック機能により、お客様は後継 CA への移行中に発生する可能性のある更新の問題を解決するために、以前の CA に戻すことができます。Amazon EKS CA ローテーションは、すべての商用 AWS リージョンで追加料金なしで利用できます。CA ローテーションを開始するには、AWS CLI、EKS API、CloudFormation、および AWS コンソールを使用できます。詳細については、Amazon EKS ドキュメントおよび Amazon EKS 証明書機関ローテーションの詳細をご覧ください。