Amazon EKS DashboardでCAローテーションのフリート全体の一元的な可視化が可能に

Amazon Elastic Kubernetes Service (Amazon EKS) は、Amazon EKS Dashboard において、認証局 (CA) ローテーションの状態をフリート全体で一元的に確認できる機能を提供しました。AWS Organizations を介して、複数の AWS アカウントやリージョンに分散しているクラスターの CA 有効期限や自動ローテーション予定を、米国東部 (us-east-1) リージョンのダッシュボードから一箇所で管理できます。本機能は追加料金なしで利用可能です。

運用上のメリット

2018年以降に作成された EKS クラスターの CA 有効期限は 10 年となっており、初期のクラスターはそろそろ更新時期に差し掛かっています。これまで、多数のクラスターを運用している環境では、各クラスターの証明書期限を個別に確認し、ローテーション作業を計画的に的に実行することが困難でした。今回のアップデートにより、期限切れによるダウンタイムリスクを回避し、優先的に対応すべきクラスターを効率的に的に特定できるようになります。

日本国内の利用状況

本機能はすべての商用リージョンでサポートされているため、東京リージョン (ap-northeast-1) および大阪リージョン (ap-northeast-3) のクラスター状態も監視可能です。ただし、ダッシュボードへのアクセス自体は 米国東部 (us-east-1) リージョン から行う必要がある点に注意してください。

実務的なアドバイス

• 権限設定: 利用には AWS Organizations の管理アカウントで「信頼されたアクセス (trusted access)」を有効にする必要があります。プラットフォームチームはまずここから着手してください。
• コスト: 追加料金なしで利用できるため、、導入のコスト的なハードルはありません。

次のアクション

1. 管理アカウントで信頼されたアクセスを有効化し、us-east-1 リージョンで EKS Dashboard を確認してください。
2. 期限が近いクラスターをリストアップし、ローテーション計画を策定してください。

参考リソース

• Amazon EKS User Guide - Certificate authority rotation (https://docs.aws.amazon.com/eks/latest/userguide/certificate-authority-rotation.html)