Сегодня Amazon Elastic Kubernetes Service (Amazon EKS) анонсировал ротацию сертификатов удостоверяющего центра (CA), позволяющую клиентам ротировать CA своего кластера в рамках управляемого жизненного цикла с автоматическими средствами защиты. Каждый кластер Amazon EKS имеет свой собственный CA, который обеспечивает зашифрованные соединения с API Kubernetes кластера, и теперь вы можете ротировать CA до истечения срока его действия, чтобы обеспечить бесперебойную и безопасную работу вашего кластера.Кластеры Amazon EKS, созданные с момента запуска в 2018 году, имеют CA со сроком действия 10 лет, и кластеры той эпохи приближаются к моменту, когда следует начинать мероприятия по ротации CA. Ротация CA в Amazon EKS является общей ответственностью. Amazon EKS управляет жизненным циклом ротации и автоматически обновляет управляемые AWS компоненты для доверия к последующему CA. Клиенты несут ответственность за замену своих рабочих узлов и обновление внешних клиентов для доверия к последующему CA до его активации. Экземпляры EKS Auto Mode и узлы AWS Fargate обновляются автоматически AWS, но клиенты по-прежнему несут ответственность за обновление любых внешних клиентов, которые подключаются к серверу API кластера. Amazon EKS предоставляет автоматические средства защиты для поддержки клиентов в этом процессе, включая предварительные уведомления до истечения срока действия CA, автоматическое добавление последующего CA, если он не создан клиентом, и автоматическую активацию, если клиент не активирует его по собственному графику. Возможность отката позволяет клиентам вернуться к предыдущему CA для устранения любых проблем, которые могут возникнуть при их обновлениях во время перехода к последующему CA.Ротация CA Amazon EKS доступна без дополнительной платы во всех коммерческих регионах AWS. Чтобы начать работу с ротацией CA, вы можете использовать AWS CLI, EKS API, CloudFormation и консоль AWS. Для получения дополнительной информации см. документацию Amazon EKS и подробное описание ротации сертификатов удостоверяющего центра Amazon EKS.